วิธีล้าง Pagefile.sys เมื่อปิดเครื่องใน Windows 10 / 8 / 7

กลับมาที่หัวข้อความปลอดภัยของข้อมูลที่เก็บใน RAM ผมเจอความจำเป็นต้องตั้งค่าการล้าง Swap File (Pagefile) ใน Windows อัตโนมัติ เมื่อปิดเครื่องคอมพิวเตอร์ ข้อมูลในหน่วยความจำ (RAM) จะถูกล้างอัตโนมัติ แต่ข้อมูลที่เก็บใน Paging File (pagefile.sys) ไม่ถูกล้างโดย Default ขณะที่ระบบทำงาน ข้อมูลลับหรือรหัสผ่านของแอปพลิเคชัน協力者 จาก RAM อาจไป parar ใน pagefile.sys บนฮาร์ดดิสก์ (เช่น เมื่อขาดหน่วยความจำจริง หรือเมื่อ Dump ข้อมูลจากแอปที่ไม่ทำงาน) ใน Windows ที่ทำงานอยู่ Paging File ใช้ได้เฉพาะ Windows เอง แต่ถ้าคอมพิวเตอร์ปิดเครื่อง โจมตีที่มีการเข้าถึงดิสก์ทางกายภาพอาจคัดลอก Paging File และดึงข้อมูลลับออกมาได้

จึงควรล้าง Pagefile เมื่อ Windows Shutdown (หรือ Restart) โดย Default ฟีเจอร์นี้ปิดอยู่

สามารถเปิดใช้งานฟีเจอร์ล้าง Pagefile อัตโนมัติเมื่อ Shutdown/Reboot ได้ผ่าน Group Policy หรือ Registry

วิธี 1: ใช้ Group Policy

1. เปิด Group Policy Editor (Local gpedit.msc หรือ Domain gpmc.msc)
2. ไปที่ Computer Configuration → Windows Settings → Security Settings → Local Policies → Security Options
3. ในหน้าต่างด้านขวา หา Policy Shutdown: Clear virtual memory pagefile และเปิดใช้งาน (Enabled)

วิธี 2: ใช้ Registry

1. รัน regedit.exe
2. ไปที่ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
3. สร้าง DWORD ใหม่ชื่อ ClearPageFileAtShutdown ค่า 1 (ถ้ามีอยู่แล้ว แก้ค่าเป็น 1)

หรือใช้คำสั่ง PowerShell:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management' -Name ClearPageFileAtShutdown -Value 1

รีสตาร์ท Windows เพื่อนำการเปลี่ยนแปลงไปใช้

ครั้งต่อไปที่ปิดเครื่อง ระบบจะล้าง pagefile.sys โดยการเขียนทับด้วยศูนย์ ขึ้นอยู่กับขนาด Paging File เวลา Shutdown (หรือ Restart) อาจเพิ่มขึ้นอย่างมาก – 10-30 นาที ด้วยนโยบายนี้เปิดอยู่ hiberfil.sys ก็จะถูกล้างเช่นกัน (ถ้าปิด Sleep Mode) ตอนนี้เกือบจะเป็นไปไม่ได้ที่จะกู้ข้อมูลจาก Pagefile กลับมา