Sécurité de Windows 10 Entreprise : Credential Guard et Device Guard

Résumé : « Présentation de deux nouvelles fonctions de sécurité sous Windows 10 Entreprise : Credential Guard et Device Guard. »

Qu’est-ce que Device Guard et Credential Guard ?

Device Guard et Credential Guard sont des solutions de sécurité basée sur la virtualisation (VBS). Avec des fonctions LSA (Local Security Authority) utilisant des pilotes HVCI (Hypervisor Code Integrity) et un BIOS compatible avec le système d’exploitation Windows 10 édition Entreprise/Éducation. Uniquement disponible pour les ordinateurs couverts par un contrat de licence en volume (VLA) Microsoft.

Credential Guard utilise la sécurité basée sur la virtualisation pour isoler les secrets (informations d’identification) afin que seuls les logiciels système autorisés puissent y accéder. L’accès non autorisé à ces secrets peut entraîner des attaques ou vol d’informations d’identification. Credential Guard empêche ces attaques en protégeant les hachages de mot de passe NTLM et les tickets TGT Kerberos. Credential Guard utilise la sécurité basée sur la virtualisation pour isoler les secrets afin que seuls les logiciels système autorisés puissent y accéder. Credential Guard ne dépend pas de Device Guard.

Device Guard est une combinaison de fonctions de sécurité matérielle et logicielle liées à l’entreprise. Lorsqu’elles sont configurées ensemble, elles permettent de verrouiller un appareil afin que celui-ci puisse uniquement exécuter des applications de confiance. S’il ne s’agit pas d’une application de confiance, elle ne sera pas exécutée. Vous pouvez configurer la solution pour verrouiller un périphérique. Ainsi, le périphérique en question ne pourra exécuter que des applications de confiance définies dans les règles d’intégrité de votre code. Device Guard repose sur la sécurité basée sur la virtualisation (VBS).

Haut de la page

Comment cela fonctionne-t-il ?

Les fonctions de sécurité basée sur la virtualisation de Windows 10 Entreprise/Éducation s’appuient sur un éventail d’éléments de sécurité tels que UEFI, Secure Boot, TPM (Trusted Platform Module) 2.0. Dell s’est assurée que certains ordinateurs Precision, Latitude et OptiPlex devaient disposer de pilotes compatibles avec le BIOS et HVCI mis à jour.

Firmware UEFI version 2.3.1 ou supérieure : UEFI est verrouillé, de sorte que ses paramètres ne peuvent pas être modifiés pour compromettre la sécurité Device Guard. (Ordre de démarrage, entrées de démarrage, Secure Boot, extensions de virtualisation, IOMMU, Microsoft UEFI CA.)

Haut de la page

Credential Guard.

• Sécurité matérielle : Credential Guard renforce la sécurité des informations d’identification du domaine dérivé en tirant parti des fonctions de sécurité de la plateforme, notamment le démarrage sécurisé et la virtualisation.
• Meilleure protection contre les menaces avancées persistantes : La sécurisation des informations d’identification du domaine dérivé à l’aide de la sécurité basée sur la virtualisation bloque les attaques ou les tentatives de vol d’informations d’identification et les outils utilisés dans de nombreuses attaques ciblées.
  • La sécurité basée sur la virtualisation protège vos secrets contre les logiciels malveillants qui pourraient s’exécuter dans le système d’exploitation avec des privilèges d’administration.
• Facilité de gestion : Vous pouvez gérer Credential Guard à l’aide de la stratégie de groupe, de WMI, à partir d’une invite de commande et de Windows PowerShell.

Protégez les informations d’identification du domaine dérivé avec Credential Guard 

Haut de la page

Device Guard.

• Les méthodes traditionnelles telles que les solutions antivirus ne sont plus adaptées contre les nouvelles attaques. (Détection basée sur les signatures pour lutter contre les logiciels malveillants.) Surtout lorsque des milliers de nouveaux fichiers malveillants sont créés chaque jour.
• Device Guard sous Windows 10 Entreprise ne propose plus un mode dans lequel les applications sont approuvées, sauf si elles sont bloquées par un antivirus ou une autre solution de sécurité. Il vous invite dans un mode où le système d’exploitation ne fait confiance qu’aux applications autorisées définies par votre entreprise. Vous désignez ces applications de confiance en créant des règles d’intégrité du code.

Quatre façons de gérer Device Guard

• Stratégie de groupe : Windows 10 fournit un modèle d’administration pour configurer et déployer les règles d’intégrité du code configurables pour votre organisation. Ce modèle vous permet également d’indiquer les fonctions de sécurité matérielles que vous souhaitez activer et déployer. Vous pouvez gérer ces paramètres avec vos objets de stratégie de groupe (GPO) existants, ce qui simplifie la mise en œuvre des fonctions Device Guard.
• Microsoft System Center Configuration Manager : Vous pouvez utiliser System Center Configuration Manager pour simplifier le déploiement et la gestion des fichiers de catalogue. En plus des règles d’intégrité du code et des fonctions de sécurité matérielles, il fournit également un gestion de versions.
• Windows PowerShell
• Microsoft Intune

Haut de la page

Questions fréquentes.

Qu’est-ce que la référence SKU de Windows 10 Enterprise ?
La référence SKU de Windows 10 Enterprise est une version différente du système d’exploitation Windows qui n’est disponible que pour les clients disposant de licences en volume Microsoft. Les personnes qui acquièrent des ordinateurs avec la licence Windows 10 Professionnel, puis effectuent une mise à niveau vers Windows 10 Entreprise pour obtenir des fonctionnalités incrémentielles. Windows 10 Entreprise comprend deux fonctions de sécurité qui ne sont pas disponibles avec les références SKU Professionnel ou Famille : Credential Guard et Device Guard. Comparaison des fonctions des différentes références SKU du système d’exploitation Windows.

Qu’est-ce que Device Guard et Credential Guard ?
Device Guard et Credential Guard sont les nouvelles fonctions de sécurité disponibles, actuellement, uniquement avec Windows 10 Entreprise. Device Guard est une combinaison de fonctions de sécurité matérielle et logicielle liées à l’entreprise. Lorsqu’elles sont configurées ensemble, elles permettent de verrouiller un appareil afin que celui-ci puisse uniquement exécuter des applications de confiance. S’il ne s’agit pas d’une application de confiance, elle ne sera pas exécutée. Credential Guard utilise la sécurité basée sur la virtualisation pour isoler les secrets (informations d’identification) afin que seuls les logiciels système autorisés puissent y accéder. L’accès non autorisé à ces secrets peut entraîner des attaques ou vol d’informations d’identification. Credential Guard empêche ces attaques en protégeant les hachages de mot de passe NTLM et les tickets TGT Kerberos.

Qu’est-ce que la sécurité basée sur la virtualisation (VBS) ?
Il s’agit d’un moyen de protection qui utilise l’hyperviseur pour protéger le noyau et d’autres parties du système d’exploitation. Accompagnée de la stratégie d’intégrité du code en mode noyau par défaut de la VBS ou de la stratégie d’intégrité du code que vous décidez de configurer et déployer, elle devient plus robuste.

Comment vérifier que la protection basée sur la virtualisation de l’intégrité du code est activée ?
Le mécanisme le plus simple consiste à exécuter l’application Informations système (msinfo32). Recherchez la ligne suivante : « Services de sécurité Device Guard en cours d’exécution. » Elle doit indiquer : « Intégrité du code appliquée par l’hyperviseur. » Il existe également une interface WMI (Windows Management Instrumentation) pour vérifier à l’aide des outils de gestion.

Si un ordinateur n’est pas livré avec Windows 10 Enterprise, peut-il, malgré tout, exécuter Windows 10 Enterprise ?
Oui, tant qu’il est acheté avec Windows 10 Pro. Les clients disposant de licences en volume peuvent toujours mettre à niveau cet ordinateur vers Windows 10 Enterprise. Toutes les fonctionnalités incrémentielles d’Entreprise fonctionnent correctement, À L’EXCEPTION de Device Guard et Credential Guard. En effet, ces deux fonctions de sécurité nécessitent que les fonctionnalités du BIOS, du pilote et du processeur soient conformes aux exigences de Microsoft.

Quelles sont les conditions requises pour activer Device Guard et Credential Guard sur mes ordinateurs Dell ?
Les clients souhaitant mettre à niveau leurs ordinateurs en vue d’activer Device Guard et Credential Guard devront respecter les trois critères suivants :

1. Les appareils Latitude/OptiPlex/Precision/Venue doivent pouvoir exécuter Windows 10 Entreprise. Assurez-vous que le BIOS et les pilotes ont été mis à jour vers la version prenant en charge Enterprise. Reportez-vous à la liste des plateformes pour obtenir des informations détaillées sur la préparation des pilotes BIOS/HVCI par plateforme.
2. La configuration doit utiliser des processeurs compatibles DG/CG. Les processeurs compatibles DG/CG prennent en charge les fonctionnalités Intel VT-x et VT-d. Ces fonctionnalités sont obligatoires pour prendre en charge Device Guard et Credential Guard sous Windows 10. Pour savoir si votre processeur prend en charge Intel VT-x et VT-d, consultez ce lien : Caractéristiques techniques du produit Intel®
3. Les clients doivent disposer d’une licence en volume Microsoft ; Windows 10 Enterprise n’est pas une référence SKU OEM. Les clients peuvent uniquement obtenir des bits Windows 10 Enterprise directement auprès de Microsoft.

Exigences détaillées :

Plus d’exigences pour Windows 10 1607

Vous devez disposer d’une licence en volume Microsoft pour Windows 10 Enterprise acquise directement auprès de Microsoft (y compris les clients qui réalisent une mise à niveau à partir d’une référence SKU Windows 10 Pro fournie par Dell). Dell ne fournit pas Windows 10 Enterprise en tant que référence SKU OEM.

Si vous souhaitez déployer Device Guard, consultez la section : Guide de déploiement de Windows Defender Device Guard Pour déployer Credential Guard, consultez la section : Recommandations concernant la configuration requise et la planification du déploiement de Credential Guard 

Quels paramètres du BIOS doivent être définis pour Device Guard et Credential Guard ?
Ces options doivent être activées. Assurez-vous que vous disposez de la dernière version du BIOS répertoriée dans la liste des BIOS pris en charge.

Comment valider Device Guard et Credential Guard ?
Vous pouvez utiliser l’outil de validation pour Device Guard et Credential Guard

• Vérifiez si l’ordinateur peut exécuter Device Guard ou Credential Guard
• Désactiver et activer Device Guard ou Credential Guard

Avant d’exécuter l’outil, assurez-vous d’avoir activé la stratégie d’exécution appropriée dans PowerShell. (Voir Figure 1 ci-dessous)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Figure 1. - Stratégie d’exécution dans l’exemple PowerShell.

Pour valider : DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

Pour activer : DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

Pour désactiver : DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

Device Guard et Credential Guard sont-ils préconfigurés sur mon ordinateur ?
Non, Dell s’assure que les ordinateurs vérifiés le sont entièrement du point de vue de la conformité du firmware du BIOS et du pilote HVCI. C’est tout ce dont vous avez besoin pour permettre à votre ordinateur de recevoir Device Guard ou Credential Guard. Vous devez activer les fonctionnalités selon le commutateur d’activation ci-dessus ou selon la procédure étape par étape fournie dans le guide de déploiement (voir la section ressources).

Qu’est-ce que la préparation des pilotes HVCI et comment savoir si je dispose des bons pilotes ?
HVCI signifie Hypervisor Code Integrity. Le service HVCI de Windows 10 détermine si le code s’exécutant en mode noyau est conçu en toute sécurité et est digne de confiance. Il offre des fonctionnalités de protection instantanée et contre les failles de sécurité. Il garantit que chaque logiciel s’exécute en mode noyau, y compris les pilotes, qu’il alloue de manière sécurisée la mémoire et qu’il fonctionne comme attendu.

Utilisez l’outil DGReadiness :

Pour valider : DG_Readiness.ps1 –Capable –HVCI -AutoReboot

Remarque : Dell a vérifié la préparation des pilotes au niveau des pilotes pris en charge par Dell. Si vous installez des pilotes tiers sur votre ordinateur, vous devez vous assurer qu’ils sont compatibles HVCI. Compatibilité des pilotes avec Device Guard sous Windows 10

Quels ordinateurs Dell prennent en charge Device Guard et Credential Guard ?
Pour activer Device Guard et Credential Guard, les ordinateurs de génération Dell SkyLake et KabyLake nécessitent à la fois un BIOS compatible et des pilotes compatibles HVCI (Hypervisor Code Integrity).

Voici tous les ordinateurs Dell qui prennent en charge cette fonctionnalité. Le tableau ci-dessous répertorie les versions des pilotes et du BIOS pour chaque plateforme.

Si le processeur est un vPro, cela signifie-t-il qu’il est compatible DG/CG ?
Oui. En outre, certains processeurs qui ne sont pas vPro sont également compatibles DG/CG (VT-x/VT-d). Pour savoir si votre processeur prend en charge Intel VT-x et VT-d, consultez ce lien : Caractéristiques techniques du produit Intel®

Haut de la page

Ressources

• Sécurité de Windows 11 Entreprise : Credential Guard et Device Guard
• Guide de déploiement de Device Guard
• Configuration matérielle requise pour Windows Defender Credential Guard
• Configuration matérielle requise pour Windows Defender Device Guard

Haut de la page