Ce este Credential Guard și cum verific dacă este activat

Protejarea acreditărilor în Windows a devenit o sarcină critică pentru orice companie care ia în serios securitatea cibernetică. De fiecare dată când un utilizator se conectează, acreditările sunt generate și stocate. secrete de autentificare extrem de valoroase (hash-uri, tichete, token-uri etc.) care, dacă ajung în mâinile unui atacator, îi permit acestuia să se deplaseze în rețea ca și cum ar fi un utilizator legitim. Tocmai aici intervine Credential Guard.

Windows Defender Credential Guard este o caracteristică de securitate care valorifică Securitate bazată pe virtualizare (VBS) pentru a izola aceste secrete și a împiedica accesul sistemului de operare „normal” sau al programelor malware cu privilegii ridicate la ele. Deși nu este o soluție miraculoasă și nu acoperă toate tipurile de acreditări sau toți vectorii de atac, reduce drastic eficacitatea tehnicilor clasice, cum ar fi Pasează-l pe Hash și Pass-the-Ticketprecum și instrumente precum Mimikatz în multe scenarii.

Ce este mai exact Windows Defender Credential Guard?

Credential Guard este o caracteristică Windows concepută pentru a Protejați acreditările de domeniu și alte secrete de autentificare Această tehnologie protejează împotriva atacurilor care încearcă să le citească direct din memoria sistemului. A apărut pentru prima dată în Windows 10 Enterprise și Windows Server 2016 și este încă prezentă în versiunile ulterioare de Windows 11 și Windows Server.

În termeni generali, Credential Guard se bazează pe VBS pentru a executa o parte a procesului de securitate într-un mediu izolat de hipervizor, separat de sistemul de operare principal. În loc ca secretele să se afle direct în memoria procesului tradițional al Autorității Locale de Securitate (LSA)lsass.exe), sunt stocate într-un proces protejat și independent, de obicei gestionat de LsaIso.exe, la care se poate accesa doar prin intermediul codului cel mai privilegiat și de încredere.

Această separare are ca scop prevenirea unor programe malware care au obținut privilegii de administrator prin simpla descărcarea memoriei LSASS pentru a extrage hash-uri NTLM, tichete Kerberos sau acreditări stocate în Managerul de acreditări. Abordarea nu este de a modifica protocoalele de autentificare, ci de a pentru a securiza locul și modul în care sunt stocate acreditările în memorie.

Secrete și servicii protejate de Credential Guard

Funcția protejează diverse tipuri de acreditări care au fost în mod tradițional o țintă principală pentru atacatori. Printre secretele pe care Credential Guard le protejează se numără, în principal, cele legate de:

• NTLMHash-uri de parolă NTLM utilizate pentru autentificare.
• KerberosMai exact, Tichetul de Acordare a Tichetelor (TGT), care vă permite să solicitați alte tichete de servicii.
• Manager de acreditări: acreditări de domeniu stocate de aplicații și servicii.
• Autentificări locale și la distanță care depind de acreditările domeniului.

În versiunile anterioare de Windows, aceste secrete se aflau în memoria procesului. LSASS într-un mod accesibil pentru un atacator cu privilegii ridicate. Cu Credential Guard activat, rulează un proces LSA izolat care nu expune direct aceste secrete instrumentelor care încearcă să citească memoria sistemului de operare standard.

Cum funcționează securitatea bazată pe virtualizare (VBS) și modul virtual securizat (VSM)

Cheia Credential Guard este VBS, o tehnologie care utilizează hypervisorul Windows pentru a crea medii de execuție izolate în cadrul aceleiași mașini fizice. În cadrul acestui mediu, adesea numit Mod Virtual Secure (VSM), rulează servicii de securitate care gestionează secretele de autentificare.

Când Credential Guard este activ, secretele sunt stocate în memoria din VSM și nu în spațiul normal de memorie al sistemului de operareHipervizorul asigură accesul doar la codul verificat și cu privilegii ridicate. În acest fel, chiar dacă un atacator reușește să compromită sistemul de operare cu privilegii de administrator, șansele sale de a citi direct acele secrete sunt mult reduse.

Pe hardware-ul modern care include un TPM 2.0 compatibil, datele persistente VSM pot fi criptate cu un Cheia principală VSMAceastă cheie este stocată și protejată de TPM și de mecanismele sale rădăcină de încredere la nivel de firmware. Prin urmare, chiar dacă cineva încearcă să modifice procesul de pornire sau să cloneze un disc, Nu veți putea accesa secrete protejate în afara unui mediu verificat..

De asemenea, este important de menționat că Credential Guard nu stochează de obicei date precum următoarele pe disc: Hash NTLM sau TGTAcestea sunt regenerate la fiecare conectare și se pierd între reporniri, astfel încât nu depind direct de cheia principală VSM sau de TPM pentru a rămâne în siguranță după o oprire.

Limite și acreditări pe care Credential Guard nu le protejează

În ciuda avantajelor sale, Credential Guard are limitări clare care trebuie înțelese Pentru a evita excesul de încredere. Există acreditări și fluxuri de autentificare care nu se încadrează în domeniul său de protecție sau care pur și simplu nu funcționează la fel atunci când funcția este activă.

Pe de o parte, când este activat Credential Guard, anumite protocoale vechi, cum ar fi NTLMv1, MS-CHAPv2, Digest și CredSSP Nu pot utiliza acreditări dintr-o sesiune deja conectată. Aceasta înseamnă că autentificarea unică (SSO) cu aceste protocoale nu mai funcționează. Aplicațiile care depind de ele pot solicita din nou un nume de utilizator și o parolă sau pot utiliza acreditările stocate în Magazinul Windows. care în aceste cazuri nu sunt protejate de Credential Guard.

În plus, există metode de gestionare a acreditărilor care nu intră complet în sfera acestei funcții, cum ar fi:

• Software terț care stochează parole sau token-uri în afara infrastructurii Windows standard.
• Conturi locale și conturi Microsoft, care nu beneficiază de același tip de izolare ca și acreditările de domeniu.
• Baze de date Active Directory găzduit pe controlere de domeniu Windows Server. Credential Guard nu protejează direct baza de date Active Directory sau canalele de intrare a acreditărilor în servicii precum Remote Desktop Gateway.
• Keylogger-e și alte dispozitive de captare a intrării: dacă atacatorul înregistrează apăsările de taste, poate fura parola înainte ca aceasta să fie stocată în LSASS sau în sandbox.
• Atacuri fizice echipamentului (de exemplu, acces la memoria internă sau citire pe disc folosind tehnici avansate).

De asemenea, trebuie menționat că Credential Guard nu împiedică un atacator care are deja programe malware pe mașină să obțină acces. Folosește privilegiile acreditărilor valide care au fost obținute prin metode alternative. De exemplu, dacă un administrator se conectează la o mașină deja compromisă, atacatorul poate profita de sesiunea sa activă pentru a efectua acțiuni cu permisiunile sale, chiar dacă nu poate extrage hash-ul NTLM din mediul sandbox.

Pe de altă parte, credențiale de conectare memorate în cache Autentificările Windows (adesea numite „autentificări memorate în cache”) nu se încadrează nici în categoria acreditărilor reutilizabile pe alte computere. Acestea sunt stocate în registrul local și sunt utilizate doar pentru a valida autentificările atunci când domeniul nu este disponibil. Acestea sunt gestionate de politica de securitate „Autentificare interactivă: Numărul de autentificări anterioare memorate în cache” și Nu sunt protejate în mod specific de Credential Guard.

În cele din urmă, Vouchere de servicii Kerberos Acestea nu sunt protejate de Credential Guard, deși TGT este. Și când Credential Guard este activ, Kerberos nu va permite delegarea nerestricționată sau criptarea DES, nici pentru acreditările inițiate, nici pentru acreditările solicitate sau salvate.

Beneficii împotriva atacurilor de furt de acreditări

Obiectivul principal al Credential Guard este de a opri atacurile de tip „furt și reutilizare” a acreditărilor, în special:

• Pasează-l pe Hashreutilizarea hash-urilor NTLM furate pentru autentificarea pe alte sisteme.
• Pass-the-Ticketutilizarea abuzivă a tichetelor Kerberos (TGT sau serviciu) obținute de pe o mașină compromisă.

Prin izolarea secretelor în VSM și limitarea accesului la acestea, multe dintre tehnicile care utilizează instrumente precum Mimikatz sunt blocate. descărcarea memoriei LSASSÎntr-un mediu fără Credential Guard, Mimikatz poate extrage hash-uri NTLM și tichete Kerberos fără prea multe dificultăți odată ce atacatorul are privilegii de administrator. Cu Credential Guard activat, procesul LSA izolat împiedică disponibilitatea acestor secrete în memoria accesibilă din sistemul de operare standard.

Chiar și așa, este important să înțelegem că Credential Guard nu este invulnerabil. Mimikatz și instrumente similare pot, de exemplu, captează acreditările în timp ce acestea sunt introduseDacă sistemul este deja compromis și utilizatorul privilegiat se conectează ulterior, autorul lucrării Mimikatz a avertizat că, dacă atacatorul obține controlul asupra endpoint-ului înainte ca administratorul să introducă datele de autentificare, există încă modalități de a le fura. În plus, Credential Guard nu protejează împotriva utilizării rău intenționate a datelor de autentificare de către... utilizatori interni legitimiDacă cineva are acces autorizat la o resursă, această tehnologie nu o va împiedica să copieze date sensibile.

Activat în mod implicit în Windows 11 și Windows Server

În versiunile recente ale sistemului, Microsoft a mers un pas mai departe și a permis combinarea dintre VBS și Credential Guard pe anumite dispozitive. Începând cu Windows 11, versiunea 22H2 și Windows Server 2025, computerele care îndeplinesc cerințele minime au aceste caracteristici activate automat.

Setarea din fabrică este efectuată în mod normal fără blocare UEFIAceasta înseamnă că administratorii pot dezactiva Credential Guard de la distanță dacă consideră acest lucru esențial, de exemplu, din cauza unei incompatibilități critice cu o aplicație veche. Când Credential Guard este activat, VBS este, de asemenea, activat automat.

Este important de știut că, dacă o echipă avea deja Credential Guard dezactivat explicit Înainte de a face upgrade la o versiune de Windows în care funcția este activată în mod implicit, starea „dezactivat” este menținută după upgrade. Politica explicită are întotdeauna prioritate față de comportamentul implicit după o repornire.

Cerințe hardware, firmware și software

Pentru ca Credential Guard să ofere o protecție eficientă, dispozitivul trebuie să respecte cerințe minime hardware, firmware și sistem de operareCu cât hardware-ul este mai modern și mai complet, cu atât nivelul de protecție care poate fi obținut este mai mare.

Cerințele cheie includ:

• procesor pe 64 de biți, cu suport pentru virtualizarea hardware-ului.
• Securitate bazată pe virtualizare activat (VBS).
• Încărcare sigură activat și configurat.

În plus, deși nu este întotdeauna obligatoriu, este recomandat să aveți:

• TPM (Modulul de platformă de încredere) versiunea 1.2 sau 2.0, fie discretă, fie cu firmware, pentru a conecta protecția la hardware și a stoca în siguranță cheile principale.
• Blocare UEFIceea ce împiedică un atacator să dezactiveze Credential Guard pur și simplu prin modificarea intrărilor din registry sau a modificărilor de configurație de nivel scăzut.

Echipele care îndeplinesc aceste cerințe de bază pot fi eligibile pentru ratinguri de securitate suplimentare și niveluri mai ridicate de protecție împotriva amenințărilor care încearcă să exploateze lanțul de boot sau accesul direct la memorie.

Utilizarea Credential Guard pe mașini virtuale Hyper-V

Credential Guard poate proteja secretele și în cadrul mașinilor virtuale care rulează pe Hyper-V, la fel cum o face și pe hardware-ul fizic. Atunci când este activat într-o mașină virtuală, secretele sunt izolate de atacurile provenite de la în cadrul aceleiași mașini virtuale.

Totuși, există nuanțe importante: Credential Guard nu oferă protecție împotriva atacurilor cu privilegii ridicate lansate de gazdă pe care rulează mașina virtuală. Adică, administratorul gazdă sau un atacator care controlează sistemul fizic subiacent poate avea în continuare opțiuni de manipulare.

Pentru ca Credential Guard să funcționeze pe o mașină virtuală Hyper-V, sunt necesare cel puțin următoarele:

• O gazdă Hyper-V cu IOMMU (unitate de gestionare a memoriei de intrare/ieșire) compatibilă.
• O mașină virtuală de Generația a 2-a, care acceptă bootarea UEFI securizată și extensiile necesare.

De pe gazdă, este chiar posibil să dezactivați Credential Guard pentru o anumită mașină virtuală folosind PowerShell, cu o comandă similară cu Set-VMSecurity -VirtualizationBasedSecurityOptOut $true, indicând numele mașinii virtuale.

Licențe și ediții Windows compatibile

Credential Guard nu este disponibil în toate edițiile de Windows. Microsoft l-a rezervat pentru versiunile mai orientate spre afaceri și educație, excluzând anumite ediții profesionale standard.

În ceea ce privește compatibilitatea cu ediția Windows, în general, se aplică următoarele:

• Windows Enterprise- Acceptă Credential Guard.
• Windows Educationcompatibil.
• Windows Pro și Windows Pro Education/SE: nu includ asistență directă pentru Credential Guard.

În ceea ce privește drepturile de licențiere, funcționalitatea este legată de abonamentele la nivel de întreprindere și educație. Printre licențele care Da, acordă drepturi de utilizare Protecția acreditărilor include:

• Windows Enterprise E3
• Windows Enterprise E5
• Windows Education A3
• Windows Education A5

Alte licențe, cum ar fi Windows Pro sau Pro Education Standard, nu includ aceste drepturi în mod implicit. Pentru informații mai detaliate despre ce include fiecare licență și ce scenarii acoperă, se recomandă consultarea documentației oficiale. Licențiere Windows.

Impactul asupra aplicațiilor și protocoalelor de autentificare

Activarea Credential Guard are consecințe directe în unele protocoale de autentificare vechi și anumite funcționalități de Kerberos și NTLM, pe care multe aplicații vechi încă le folosesc. Înainte de o implementare în masă, este esențial să se identifice cerințele și să se testeze compatibilitatea.

Aplicațiile vor înceta să funcționeze corect dacă necesită oricare dintre următoarele capabilități:

• Sprijin pentru Criptarea DES în Kerberos.
• Delegare Kerberos fără restricții.
• Extracția Kerberos TGT din sistem.
• Utilizarea NTLMv1 ca protocol de autentificare.

Alte scenarii nu neapărat strică aplicația, dar o fac crește riscul de expunere acreditărilor dacă acestea sunt încă utilizate:

• Autentificare implicită care capturează sau reutilizează acreditări în text simplu.
• Delegarea acreditărilor fără garanții adecvate.
• Protocoale precum MS-CHAPv2 y CredSSPceea ce poate obliga utilizatorul să introducă acreditări care sunt apoi stocate într-un mod mai puțin sigur.

Unele servicii sau aplicații care încearcă legați direct procesul izolat LSAIso.exe Acestea pot cauza probleme de performanță sau defecțiuni dacă nu sunt proiectate să funcționeze cu acest nou model. În schimb, serviciile care se bazează implicit pe Kerberos, cum ar fi partajările SMB sau conexiunile Remote Desktop bine configurate, Ar trebui să continue să funcționeze normal când este activată funcția Credential Guard.

Cum se activează Credential Guard în mediile corporative

Recomandarea de securitate este să activați Credential Guard. înainte de a adăuga un dispozitiv la domeniu sau înainte ca un utilizator de domeniu să se conecteze pentru prima dată, astfel încât secretele să nu fie niciodată stocate fără protecție sporită. Dacă este activat după ce mașina a fost utilizată o perioadă de timp, este posibil ca unele acreditări să fi fost deja compromise.

Există mai multe metode principale pentru activarea Credential Guard pe o flotă de dispozitive Windows:

• Microsoft Intune / MDM.
• Comandă de politică de grup (GPO).
• Configurarea directă a registrului.

Configurare folosind politicile Microsoft Intune și MDM

Într-un mediu gestionat de Intune, configurațiile pot fi implementate prin profiluri de securitate sau politici personalizate. Fluxul de lucru tipic implică crearea unei politici de protecție a contului sau a unui echivalent și setarea parametrilor pentru Activați VBS și definiți configurația Credential Guard.

Când se utilizează un CSP (Configuration Service Provider - Furnizor de servicii de configurare), cum ar fi DeviceGuard, cheile relevante includ:

• Nume configurație: „Activare securitate bazată pe virtualizare”. OMA-URI: ./Device/Vendor/MSFT/Policy/Config/DeviceGuard/EnableVirtualizationBasedSecurityTip de date: număr întreg. Valoare: 1 a permite.
• Nume configurație: „Configurare Credential Guard”. OMA-URI: ./Device/Vendor/MSFT/Policy/Config/DeviceGuard/LsaCfgFlagsTip de date: număr întreg. Valori tipice:
  • 1: activat cu blocarea UEFI.
  • 2: activat fără blocare.

Odată ce politica a fost aplicată grupului dorit de dispozitive sau utilizatori, este necesar reporniți computerul astfel încât hypervisorul și mediul VSM să se inițializeze corect și Credential Guard să devină operațional.

Activarea utilizând Politica de grup (GPO)

În domeniile bazate pe Active Directory, modul clasic de configurare a Credential Guard este prin intermediul Editor de politici de grupPoate fi configurat atât în ​​Editorul de politici locale al fiecărui computer, cât și în GPO-urile legate de OU-uri sau de întregul domeniu.

Calea de configurare standard este:

Configurare dispozitiv → Șabloane administrative → Sistem → Protecție dispozitiv

În cadrul acelei căi, trebuie să editați politica „Activați securitatea bazată pe virtualizare” și să îi setați starea la ActivatÎn meniul derulant „Setări Credential Guard”, puteți alege între „Activat cu blocare UEFI” sau „Activat fără blocare”, în funcție de nivelul de restricție dorit. După actualizarea politicii și o repornire, protecția va fi activă.

Configurare avansată prin intermediul Registrului

Pentru scenarii sau automatizări specifice, este posibilă și configurarea Credential Guard prin manipularea directă a Registrul WindowsCele mai relevante chei sunt:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
  Cheie: EnableVirtualizationBasedSecurity (REG_DWORD). Valoare: 1 pentru a activa VBS.
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
  Cheie: RequirePlatformSecurityFeatures (REG_DWORD). Valori tipice:
  • 1 a se utiliza numai în portul securizat.
  • 3 pentru a utiliza bootarea securizată și protecția DMA.
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
  Cheie: LsaCfgFlags (REG_DWORD). Valori:
  • 1Activați Credential Guard cu blocare UEFI.
  • 2Activați Credential Guard fără blocare.

După aplicarea acestor modificări, trebuie să reporniți mașina pentru ca noua configurație să aibă efect și mediul protejat să pornească.

Cum să verifici dacă Credential Guard funcționează de fapt

O greșeală frecventă este să te concentrezi exclusiv asupra faptului dacă procesul LsaIso.exe Apare în Managerul de activități, sugerând că este activ Credential Guard. Microsoft nu recomandă această metodă ca verificare definitivă, deoarece ar putea nu reflectă cu exactitate starea reală de protecție.

În schimb, există trei metode mai fiabile pentru a verifica starea Credential Guard:

• Instrument Informații despre sistem (msinfo32.exe).
• Comandourile PowerShell.
• Recenzie a evenimentelor din Vizualizator de evenimente.

Cu Informații despre sistem, pur și simplu rulați msinfo32.exeSelectați „Rezumat sistem” și bifați câmpul „Se execută servicii de securitate bazate pe virtualizare”. Dacă „Credential Guard” este listat printre serviciile active, înseamnă că Funcția chiar funcționează..

Prin intermediul PowerShell, puteți executa comanda:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning

Valoarea returnată va indica starea execuției:

• 0Credential Guard dezactivat (nu rulează).
• 1Credential Guard activat și operațional.

În plus, evenimentele conexe pot fi revizuite în Vizualizatorul de evenimente, filtrând după Windows Logs\System din cauza originii evenimentelor WinInitAnaliza periodică a acestor evenimente, combinată cu interogări WMI sau audituri de securitate, ajută la confirmați starea și sănătatea implementării pe întreaga flotă.

Opțiuni pentru dezactivarea Credential Guard

Deși nu este ideal din punct de vedere al siguranței, uneori este necesar Dezactivați Credential Guard din cauza problemelor de compatibilitate cu aplicații critice sau protocoale vechi care nu pot fi înlocuite pe termen scurt.

Procedura de dezactivare a funcției variază în funcție de modul în care a fost activată inițial. În general, ar trebui:

• Reveniți la configurația aplicată de Intune, GPO sau Registry, readucând valorile VBS și LsaCfgFlags la starea lor dezactivată.
• Reporniți dispozitivul pentru a opri încărcarea componentelor de securitate bazate pe virtualizare.

Dacă Credential Guard a fost configurat cu Blocare UEFILucrurile devin puțin mai complicate deoarece o parte a stării este stocată în variabile EFI din cadrul firmware-ului. În acest caz, pe lângă anularea configurației în Windows, este necesar să rulați o serie de comenzi cu bcdedit dintr-o linie de comandă cu privilegii ridicate pentru a încărca un instrument de configurare special (SecConfig.efi) în timpul pornirii.

Fluxul este de obicei cam așa:

• Montați o partiție EFI temporară folosind mountvol și copiați-l SecConfig.efi.
• Creați o intrare pentru încărcătorul de sistem cu bcdedit /createarătând spre SecConfig.efi.
• Configurați o secvență de pornire temporară pentru a executa acea intrare la următoarea repornire și transmiteți-i opțiunea DEZACTIVARE-LSA-ISO.
• Reporniți mașina și, când apare mesajul de pre-pornire, Confirmați modificarea configurației UEFI astfel încât dezactivarea să persiste.

Fără această confirmare, firmware-ul nu va înregistra modificarea, iar Credential Guard va rămâne blocat la nivel UEFI, chiar dacă configurația a fost modificată în cadrul sistemului de operare.

În mașinile virtuale, gazda Hyper-V poate dezactiva utilizarea VBS și Credential Guard pentru o anumită mașină virtuală utilizând comanda PowerShell. Set-VMSecurity cu opțiunea de excludere corespunzătoare.

În unele medii, s-a observat că, după anumite actualizări Windows, computerele care utilizau autentificarea Desktop la distanță cu SSO sau metode vechi încep să afișeze mesaje care acreditările nu mai sunt valabileÎn multe dintre aceste cazuri, soluția temporară aplicată a fost dezactivarea Credential Guard din politica de grup locală (GPEDIT.msc), navigarea la Configurație computer → Șabloane administrative → Sistem → Protecție dispozitiv → „Activare securitate bazată pe virtualizare” și marcarea opțiunii de configurare Credential Guard ca „Dezactivat”.

Credential Guard s-a impus ca o componentă cheie a strategiilor de protecție a identității în Windows, în special în mediile cu Active Directory extins și conturi privilegiate extrem de sensibile. VBS, TPM și izolarea memorieiAceastă tehnologie îngreunează mult viața atacatorilor care încearcă să se miște lateral prin furtul de acreditări din memoria endpoint-urilor și serverelor, cu condiția să fie completată de bune practici, instrumente de monitorizare și o gestionare rezonabilă a aplicațiilor și protocoalelor moștenite.