Windows 10 Enterprise Security: Credential Guard y Device Guard

Resumen: "Visión general de dos nuevas características de seguridad de Windows 10 Enterprise Ready: Credential Guard y Device Guard”.

¿Qué es Device Guard y Credential Guard?

Device Guard y Credential Guard son seguridad basada en la virtualización (VBS). Con las funciones de autoridad de seguridad local (LSA) mediante controladores de integridad del código del hipervisor (HVCI) y un BIOS compatible con el sistema operativo Windows 10 Enterprise/Education Edition. Solo está disponible para computadoras cubiertas por un acuerdo de licencia por volumen (VLA) de Microsoft.

Credential Guard utiliza la seguridad basada en virtualización para aislar las señas secretas (credenciales) de modo que solo el software del sistema con privilegios pueda acceder a ellas. El acceso no autorizado a estos secretos puede provocar ataques de robo de credenciales. Credential Guard previene estos ataques protegiendo los hashes de contraseñas del protocolo de NT LAN Manager (NTLM) y los tickets de concesión de tickets Kerberos. Credential Guard utiliza la seguridad basada en virtualización para aislar las señas secretas de modo que solo el software del sistema con privilegios pueda acceder a ellas. Credential Guard no depende de Device Guard.

Device Guard es una combinación de características de seguridad de hardware y software relacionadas con la empresa. Cuando se configuran juntas, bloquean un dispositivo para que solo pueda ejecutar aplicaciones de confianza. Si no es una aplicación de confianza, no se puede ejecutar. Puede configurarla para bloquear un dispositivo. De modo que el dispositivo solo pueda ejecutar aplicaciones de confianza definidas en sus políticas de integridad de código. Device Guard depende de la seguridad basada en la virtualización (VBS).

Inicio de la página

¿Cómo funcionan?

Las características de seguridad basadas en la virtualización de Windows 10 Enterprise/Education aprovechan una variedad de elementos de seguridad, como UEFI, arranque seguro y módulo de plataforma segura (TPM) 2.0. Dell verificó computadoras Precision, Latitude y OptiPlex seleccionadas que deben tener controladores compatibles con BIOS y HVCI actualizados.

Firmware UEFI versión 2.3.1 o superior: UEFI está bloqueado, de modo que la configuración en UEFI no se puede cambiar para poner en riesgo la seguridad de Device Guard. (Orden de arranque, entradas de arranque, arranque seguro, extensiones de virtualización, IOMMU, Microsoft UEFI CA).

Inicio de la página

Credential Guard.

• Seguridad de hardware: Credential Guard aumenta la seguridad de las credenciales de dominio derivadas aprovechando las características de seguridad de la plataforma, incluidas el arranque seguro y la virtualización.
• Mejor protección contra amenazas persistentes avanzadas: La protección de las credenciales de dominio derivadas mediante la seguridad basada en virtualización bloquea las técnicas y las herramientas de ataque de robo de credenciales que se utilizan en muchos ataques dirigidos.
  • La seguridad basada en virtualización protege sus señas secretas contra malware que se ejecuta en el sistema operativo con privilegios de administrador.
• Facilidad de administración: Puede administrar Credential Guard mediante la política de grupo, WMI, desde un símbolo del sistema y Windows PowerShell.

Proteja las credenciales de dominio derivadas con Credential Guard 

Inicio de la página

Device Guard.

• El uso de métodos tradicionales, como las soluciones antivirus, proporciona una defensa inadecuada contra nuevos ataques. (Detección basada en firmas para combatir el malware). Especialmente con miles de nuevos archivos maliciosos creados todos los días.
• Device Guard en Windows 10 Enterprise cambia de un modo en el que las aplicaciones son confiables, a menos que se bloquee con un antivirus u otra solución de seguridad. Cambia a un modo en el que el sistema operativo solo confía en las aplicaciones autorizadas que establezca su empresa. Puede designar estas aplicaciones de confianza mediante la creación de políticas de integridad de código.

Cuatro maneras de administrar Device Guard

• Política de grupo: Windows 10 proporciona una plantilla administrativa para configurar e implementar las políticas de integridad de código configurables para su organización. Esta plantilla también le permite especificar qué características de seguridad basadas en hardware desea habilitar e implementar. Puede administrar esta configuración junto con los objetos de política de grupo (GPO) existentes, lo que facilita la implementación de las características de Device Guard.
• Microsoft System Center Configuration Manager: Puede utilizar System Center Configuration Manager para simplificar la implementación y la administración de archivos de catálogo. Incluidas las políticas de integridad del código y las características de seguridad basadas en hardware, también proporciona control de versiones.
• Windows PowerShell
• Microsoft Intune

Inicio de la página

Preguntas frecuentes.

¿Qué es el SKU de Windows 10 Enterprise?
El SKU de Windows 10 Enterprise es una versión diferente del SO Windows que solo está disponible para los clientes con licencia por volumen de Microsoft. Aquellos que compran equipos con la licencia de Windows 10 Professional y, luego, actualizan a Windows 10 Enterprise para obtener características incrementales. Windows 10 Enterprise incluye dos características de seguridad que no están disponibles en SKU Professional o Home: Credential Guard y Device Guard. Detalles de la comparación de características entre los SKU del SO Windows.

¿Qué es Device Guard y Credential Guard?
Device Guard y Credential Guard son las nuevas características de seguridad que solo están disponibles en Windows 10 Enterprise en la actualidad. Device Guard es una combinación de características de seguridad de hardware y software relacionadas con la empresa. Cuando se configuran juntas, bloquean un dispositivo para que solo pueda ejecutar aplicaciones de confianza. Si no es una aplicación de confianza, no se puede ejecutar. Credential Guard utiliza la seguridad basada en virtualización para aislar las señas secretas (credenciales) de modo que solo el software del sistema con privilegios pueda acceder a ellas. El acceso no autorizado a estos secretos puede provocar ataques de robo de credenciales. Credential Guard previene estos ataques protegiendo los hashes de contraseñas NTLM y los tickets de concesión de tickets Kerberos.

¿Qué es la seguridad basada en la virtualización (VBS)?
Esta es una protección que utiliza el hipervisor para ayudar a proteger el kernel y otras partes del SO. Con la política de integridad de código de modo kernel predeterminada de VBS o la política de integridad de código que configura e implementa se vuelve más sólida.

¿Cómo puedo verificar que la protección basada en la virtualización para la integridad de código esté habilitada?
El mecanismo más simple es ejecutar la aplicación de información del sistema (msinfo32). Busque la línea siguiente: "Servicios de seguridad de Device Guard en ejecución". Debe informar lo siguiente: "Integridad del código impuesta por el hipervisor". También hay una interfaz del Instrumental de administración de Windows (WMI) para su revisión mediante herramientas de administración.

Si un sistema no está preparado para Win10 Enterprise, ¿ese sistema puede seguir ejecutándose en Win10 Enterprise?
Sí, siempre y cuando se adquiera un sistema con Win10 Pro. Los clientes de licencias por volumen siempre pueden actualizar ese sistema a Win10 Enterprise. Todas las características incrementales de Enterprise funcionarán bien, EXCEPTO Device Guard y Credential Guard. Esto se debe a que estas dos características de seguridad requieren características de BIOS, controlador y procesador para cumplir con los requisitos de Microsoft.

¿Cuáles son los requisitos para habilitar Device Guard y Credential Guard en mis computadoras Dell?
Los clientes que desean actualizar sus sistemas para habilitar Device Guard y Credential Guard requieren los siguientes tres criterios:

1. Los dispositivos Latitude/OptiPlex/Precision/Venue deben ser Win10 para uso empresarial. Asegúrese de que el BIOS y los controladores estén actualizados a la versión apta para uso empresarial. Consulte la lista de plataformas para obtener detalles sobre la preparación de los controladores de BIOS/HVCI por plataforma.
2. La configuración debe utilizar procesadores compatibles con DG/CG. Los procesadores compatibles con DG/CG significan que soportan las características de Intel VT-x y VT-d. Estas características son requisitos obligatorios para soportar Device Guard y Credential Guard en Windows 10. Para comprobar si el procesador soporta Intel VT-x y VT-d. Consulte este enlace para: Especificaciones del producto Intel®
3. Los clientes deben tener una licencia por volumen de Microsoft; Win10 Enterprise no es un SKU de OEM. Los clientes solo pueden obtener bits de Win10 Enterprise directamente de Microsoft.

Requisitos detallados:

Más requisitos para Windows 10 1607

Debe tener una licencia por volumen de Microsoft para Win10 Enterprise adquirida directamente desde Microsoft (incluidos los clientes que actualizan desde un SKU de Windows 10 Pro que Dell envía). Dell no proporciona Windows 10 Enterprise como un SKU de OEM.

Si desea implementar Device Guard, consulte: Guía de implementación de Device Guard de Windows Defender Para implementar Credential Guard, consulte: Requisitos y pautas para la planificación de la implementación de Credential Guard 

¿Cuáles son los ajustes del BIOS que se deben establecer para Device Guard y Credential Guard?
Estas opciones deben estar habilitadas. Asegúrese de tener la versión más reciente del BIOS que aparece en la lista de BIOS soportados.

¿Cómo validar Device Guard y Credential Guard?
Puede utilizar la herramienta de validación de Device Guard y Credential Guard

• Compruebe si la computadora puede ejecutar Device Guard o Credential Guard
• Deshabilitar y habilitar Device Guard o Credential Guard

Antes de ejecutar la herramienta, asegúrese de haber habilitado la política de ejecución correcta en PowerShell. (Vea la Figura 1 a continuación)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Figura 1. - Ejemplo de política de ejecución en PowerShell.

Para validar: DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

Para habilitar: DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

Para deshabilitar: DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

¿Mi computadora está preconfigurada con Device Guard o Credential Guard?
No, Dell garantiza que las computadoras verificadas estén completamente verificadas desde una perspectiva de cumplimiento del firmware del BIOS y del controlador HVCI. Esto es todo lo que necesita para habilitar las computadoras para Device o Credential Guard. Debe habilitar las características según el switch de habilitación anterior o el procedimiento paso a paso en la guía de implementación (consulte la sección Resources).

¿Qué es la preparación del controlador HVCI y cómo sé que tengo los controladores correctos?
HVCI es la integridad del código del hipervisor. El servicio HVCI en Windows 10 determina si el código que se ejecuta en modo kernel está diseñado de manera segura y confiable. Ofrece funcionalidades de protección contra vulnerabilidades y día cero. Garantiza que todo el software que se ejecuta en modo kernel, incluidos los controladores, asigne memoria de forma segura y funcione según lo previsto.

Utilice la herramienta DGReadiness:

Para validar: DG_Readiness.ps1 –Capable –HVCI -AutoReboot

NOTA: Dell verificó la preparación del controlador en los controladores soportados por Dell. Si instala cualquier otro controlador de otros fabricantes en la computadora, debe asegurarse de que cumplan con HVCI. Compatibilidad de controladores con Device Guard en Windows 10

¿Qué computadoras Dell soportan Device Guard y Credential Guard?
Para habilitar Device Guard y Credential Guard, las computadoras de generación Dell SkyLake y KabyLake requieren un BIOS compatible y controladores que cumplen con la integridad del código del hipervisor (HVCI).

Estas son todas las computadoras en las que Dell soporta esta característica. En la siguiente tabla, se enumeran las versiones de los controladores y las versiones del BIOS para cada plataforma.

Si un procesador es vPro, ¿significa que son compatibles con DG/CG?
Sí. Además, algunos procesadores que no son vPro también son compatibles con DG/CG (VT-x/VT-d). Para comprobar si el procesador soporta Intel VT-x y VT-d. Consulte este enlace para: Especificaciones del producto Intel®

Inicio de la página

Recursos

• Windows 11 Enterprise Security: Credential Guard y Device Guard
• Guía de implementación de Device Guard
• Requisitos de hardware de Credential Guard de Windows Defender
• Requisitos de hardware de Device Guard de Windows Defender

Inicio de la página