테마

플랫폼 환경 요구 ​

FACEIT 같은 플랫폼은 IOMMU·VBS·Secure Boot를 요구한다. SS에서는 이 상태를 캡처하고 환경 노트로 남긴다. 환경 미충족은 치트 확정이 아니며, 판정 라벨에 직접 넣지 않는다.

왜 환경을 기록하나 ​

SS는 치트 흔적을 찾는 절차다. 환경 설정(IOMMU, HVCI, Secure Boot)은 치트 흔적이 아니라 치트가 작동할 수 있는 조건이다. "문이 잠겨 있지 않았다"와 "누가 들어갔다"는 다른 진술이고, 이 페이지의 표는 전자만 기록한다.

IOMMU가 꺼져 있으면 DMA 카드가 게임 메모리를 읽을 수 있다. HVCI가 꺼져 있으면 서명 없는 커널 드라이버를 로드할 수 있다. 하지만 "할 수 있다"와 "했다"는 다르다. 구형 메인보드는 IOMMU를 지원하지 않고, 게임 호환성 때문에 HVCI를 끄는 사용자도 많다.

플랫폼이 이 설정을 요구하면 미충족 자체가 규정 위반일 수 있다. 그 판단은 플랫폼 정책 문서가 한다. SS는 상태를 정확히 기록하는 역할만 맡는다.

각 항목이 막는 것 ​

IOMMU / Kernel DMA Protection ​

IOMMU(VT-d는 Intel, AMD-Vi는 AMD에서 쓰는 이름)는 장치가 접근할 수 있는 메모리 범위를 제한하는 하드웨어 단위다. Microsoft의 Kernel DMA Protection은 이를 활용해 핫플러그 장치(대표적으로 Thunderbolt)가 부팅 중이 아닌 상태에서 꽂혀도 임의 메모리 접근을 못 하게 막는다. FACEIT은 이를 "RAM의 방화벽"으로 설명한다.

범위 주의: Kernel DMA Protection은 핫플러그 경로를 중심으로 동작한다. 부팅 전부터 꽂혀 있는 내부 PCIe 슬롯 장치는 다른 문제다. "켜져 있다"가 DMA 불가능을 뜻하지 않는다.

메인보드 펌웨어 결함도 있다. 일부 UEFI 메인보드 펌웨어는 사전 부팅 DMA 보호가 켜져 있다고 OS에 알리면서 부팅 초기에 IOMMU를 제대로 초기화하지 못한다. 수정 전 BIOS에서는 설정이 켜짐이어도 OS 방어가 올라오기 전 구간에 DMA 장치가 메모리를 읽거나 쓸 수 있다. CERT/CC VU#382314(2025-12-17)로 공개됐고, 제조사별 CVE는 ASUS CVE-2025-11901, Gigabyte CVE-2025-14302, MSI CVE-2025-14303, ASRock CVE-2025-14304다. 제조사들이 BIOS 업데이트를 내고 있고, Vanguard는 해당 기기에 펌웨어 업데이트를 요구한다. 그래서 환경 기록에 메인보드 제조사·모델과 BIOS 버전·날짜(msinfo32 시스템 요약)를 남기고, 켜짐 표시만으로 사전 부팅 보호가 동작했다고 적지 않는다.

HVCI / Memory Integrity ​

HVCI(Hypervisor-Protected Code Integrity)는 VBS 위에서 커널 코드 무결성을 검사한다. 켜져 있으면 서명 요건을 못 채운 드라이버의 로드가 차단되고, Microsoft의 취약 드라이버 차단 목록이 강제되는 구성 중 하나다. OEM이 새 기기에서 기본 켜도록 Microsoft가 권고한다. 게임·주변기기 호환성 문제로 사용자가 끄는 경우가 흔하므로, 꺼짐은 "약한 환경"의 기록이지 "우회"의 증거가 아니다.

2026년 10월부터 Windows 품질 업데이트가 적격 기기에서 메모리 무결성을 켠다. 꺼져 있던 VBS도 함께 켜고, 켜기 전에 하드웨어 능력·호환성·성능 같은 준비 상태를 자동으로 평가한다. 사용자나 관리자가 이미 메모리 무결성을 끈 기기는 이 배포로 바뀌지 않는다. 따라서 이 시기 이후의 꺼짐에는 부적격 기기, 이전에 내린 끄기 결정, 호환성 사유가 모두 섞여 있고, 꺼짐 단독은 증거가 되지 않는다. 타임라인 안에서 상태가 바뀐 흔적이 있을 때만 리드로 남긴다.

VBS ​

Virtualization-Based Security는 하이퍼바이저 기반 격리의 상위 개념이고, HVCI는 그 위의 기능이다. FACEIT이 IOMMU와 VBS를 묶어 요구하는 이유는, IOMMU가 Windows에서 안정적으로 동작하려면 VBS가 필요하기 때문이라는 공개 설명에 따른다. msinfo32의 "Virtualization-based security" 항목으로 상태를 본다.

Secure Boot ​

부팅 체인의 각 구성 요소가 신뢰된 인증서로 서명됐는지 검사한다. UEFI + GPT가 필요하고 Legacy BIOS/MBR에서는 켤 수 없다. 부팅 단계에 끼어드는 경로(EFI 계열)를 닫는 역할이며, 꺼짐 자체는 구형 설치·듀얼부트·호환성 이유로도 흔하다.

TPM 2.0 ​

부팅 측정값을 기록·서명하는 하드웨어/펌웨어 모듈이다. FACEIT은 이 attestation으로 "부팅 과정이 깨끗했다"는 암호학적 보고를 안티치트가 검증하는 데 쓴다고 설명한다. 최근 10년 내 CPU·보드 대부분이 펌웨어 TPM(Intel PTT, AMD fTPM)을 갖고 있으나, 실제로 없는 하드웨어도 존재한다.

Smart App Control ​

Windows 11 22H2부터 있는 앱 제어 기능이다. 클라우드 보안 서비스가 안전하다고 확신하는 앱은 실행하고, 판단하지 못하면 서명을 보아 서명이 없거나 잘못된 앱을 막는다. 상태는 켜짐·평가·꺼짐 셋이고, Windows 보안 앱의 앱 및 브라우저 컨트롤에서 보거나 HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy의 VerifiedAndReputablePolicyState 값(0 꺼짐, 1 적용, 2 평가)으로 읽는다.

최근 Windows 업데이트가 적용된 기기에서는 Windows 보안 앱에서 Smart App Control을 끄거나, 끈 뒤에도 재설치 없이 다시 켤 수 있다. 그래서 지금 상태는 사건 당시의 상태를 말하지 않는다. 꺼짐에는 기업 관리 기기·개발자 모드에서의 자동 해제, 사용자의 수동 해제 같은 정상 사유가 흔하므로 꺼짐 단독은 신호가 아니다. 상태를 환경 항목으로 기록한다.

Windows 드라이버 정책 ​

2026년 4월 보안 업데이트부터 Windows 11 24H2 이후 버전과 Windows Server 2025는 만료된 교차 서명 프로그램으로 서명된 커널 드라이버를 기본으로 신뢰하지 않는다. 평가 모드로 시작해 조건을 채우면 강제 모드로 바뀌며, 모드 확인과 CodeIntegrity 3076·3077 해석은 Ring0 안전 깊이에 있다.

2PC / 캡처 카드 ​

치트가 아닌 용도의 2PC 구성(방송용 캡처 카드, 스트리밍 PC)은 흔하다. 이 항목은 "외부 처리 경로가 물리적으로 존재하는가"만 기록한다. 존재 자체는 DMA 진입 판단의 입력 중 하나이고, 단서로서의 가중치는 다른 증거가 정한다.

환경 점수 표 해석 ​

환경 점수 표는 다음 항목을 기록한다. 전부 "상태"이지 "행위"가 아니다.

항목기록판정 영향
IOMMU / Kernel DMA Protectionon / off / unknown가중치. 단독 Confirmed 금지
메인보드 제조사·모델, BIOS 버전·날짜문자열 그대로IOMMU 초기화 결함 대상인지 대조
HVCI / Memory integrityon / off가중치
VBSon / off가중치
Secure Booton / off플랫폼 정책 대조
TPM 2.0있음 / 없음플랫폼 정책 대조
Smart App Controlon / 평가 / off가중치. 현재 상태만 기록
Windows 드라이버 정책평가 / 강제 / 해당 없음CodeIntegrity 3076·3077 해석 입력
플랫폼 요구 미충족 여부yes / no환경·규정 이슈. 치트 확정과 분리
2PC / 캡처 카드yes / noDMA 진입 판단 입력

"가중치"는 다른 아티팩트와 합산할 때 판정을 강화하는 맥락 정보다. 단독으로 라벨을 올리거나 내리는 근거가 아니다. unknown은 확인 절차가 해당 기기에 없거나 접근이 안 됐다는 뜻이고, 빈칸보다 정보가 있는 상태다.

FACEIT 요구 사항 ​

FACEIT은 공개 FAQ 기준으로 아래 보안 설정을 단계적으로 요구하고 있다(변경될 수 있으므로 최신 공지를 확인한다).

항목요구비고
TPM 2.0필수Intel PTT / AMD fTPM 포함
Secure Boot필수UEFI + GPT 필요 (Legacy MBR 불가)
IOMMU (VT-d / AMD-Vi)단계적 확대VBS와 함께 요구. DMA 카드 접근 차단 목적
VBS (Virtualization-Based Security)IOMMU와 함께IOMMU 안정 지원용
Windows 112026-10-14부터 필수Windows 10 ESU 종료(2026-10-13)에 맞춤

FACEIT은 IOMMU+VBS 제한 롤아웃 3개월간 200명 이상의 DMA 치트 사용자를 밴했고, 그중 약 20명이 약 4,500달러 수준의 고가 장치를 썼다고 공개했다. IOMMU가 BIOS에 없는 하드웨어는 전면 적용 시 요구를 충족하지 못한다는 점도 명시한다. 환경 요구는 탐지 수단이 아니라 공격 경로 차단이 목적이다.

다른 플랫폼(EAC, BattlEye, Vanguard)도 유사한 방향으로 움직이고 있으나, 구체적 요구 사항은 각 플랫폼 공식 문서를 확인한다.

하드웨어 지원 여부의 구분 ​

환경 꺼짐을 해석할 때 "끈 것"과 "못 켜는 것"을 나눈다.

  • 못 켜는 경우: IOMMU 옵션 자체가 없는 구형 보드, TPM 2.0이 없는 CPU/보드, Legacy BIOS만 지원하는 설치. 이 경우 꺼짐은 가중치조차 약하다.
  • 끈 경우: 지원하는 하드웨어에서 BIOS·OS 설정으로 꺼둔 상태. 게임 성능·호환성 이유로 끄는 경우가 흔하므로 여전히 단독 증거는 아니지만, 타임라인 안에서 최근에 변경된 흔적이 있으면 리드(재검증이 필요한 단서, 용어집)로 남긴다.
  • 알 수 없는 경우: BIOS 접근이 허용되지 않았거나 확인 도구가 없는 경우. unknown으로 기록하고 단정하지 않는다.

SS에서의 역할 ​

  1. T+38~T+40 부근 (Ring3 소결 단계): 환경 점수 표를 채운다.
  2. msinfo32, Windows 보안 앱, PowerShell 명령으로 상태를 확인한다.
  3. 플랫폼이 요구하는 설정과 현재 상태를 대조해 증거 패키지 09-platform-env/에 남긴다.
  4. Ring0·DMA 에스컬레이션 진입 판단에 환경 상태를 입력한다.

환경 기록은 판정의 보조 입력이다. 판정 라벨(Confirmed/Suspicious/Insufficient/Clean(조건부))은 아티팩트 교차로 결정한다.

흔한 실수 ​

  • IOMMU/HVCI 꺼짐 단독으로 Confirmed 또는 Suspicious를 준다.
  • 환경 미충족을 치트 증거로 보고서에 기재한다.
  • 플랫폼 규정 위반과 치트 확정을 같은 문장에 섞는다.
  • SS 중 BIOS 설정 변경을 지시하거나 강제한다.
  • 캡처 카드·2PC의 존재 자체를 단서로 쓴다. 방송용 구성은 정상이다.
  • "Kernel DMA Protection 켜짐" 표시만 보고 사전 부팅 보호가 동작했다고 적는다. 메인보드 모델과 BIOS 버전을 함께 기록한다.

Sources ​

Next ​