Windows 10 Enterprise-beveiliging: Credential Guard en Device Guard

Samenvatting: "Overzicht van twee nieuwe Windows 10 Enterprise Ready beveiligingsfuncties: Credential Guard en Device Guard."

Wat is Device Guard en Credential Guard?

Device Guard en Credential Guard zijn virtualization-based security (VBS). Met LSA-functies (Local Security Authority) met Hypervisor Code Integrity (HVCI) drivers en een compatibel BIOS met het Windows 10 Enterprise/Education Edition-besturingssysteem. Deze is alleen beschikbaar voor computers die onder een Microsoft Volume License Agreement (VLA) vallen.

Credential Guard maakt gebruik van beveiliging op basis van virtualisatie om geheimen (referenties) te isoleren, zodat alleen geprivilegieerde systeemsoftware toegang heeft. Onbevoegde toegang tot deze geheimen kan leiden tot diefstal van referenties. Credential Guard voorkomt deze aanvallen door het NT LAN Manager protocol (NTLM) wachtwoord hashes en Tickets voor het verlenen van Kerberos-tickets te beschermen. Credential Guard maakt gebruik van beveiliging op basis van virtualisatie om geheimen te isoleren, zodat alleen systeemsoftware met bevoegdheden toegang heeft. Credential Guard is niet afhankelijk van Device Guard.

Device Guard is een combinatie van hardware- en softwarebeveiligingsfuncties die betrekking hebben op bedrijven. Wanneer ze samen zijn geconfigureerd, vergrendelen ze een apparaat zodat het alleen vertrouwde applicaties kan uitvoeren. Als het geen vertrouwde applicatie is, kan deze niet worden uitgevoerd. U kunt het configureren om een apparaat vast te zetten. Zodat het apparaat alleen vertrouwde applicaties kan uitvoeren die zijn gedefinieerd in uw code-integriteitsbeleid. Device Guard is afhankelijk van Virtualization Based Security (VBS).

Naar boven

Hoe werken ze?

Op virtualisatie gebaseerde beveiligingsfuncties van Windows 10 Enterprise/Education maken gebruik van een reeks beveiligingselementen zoals UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Dell heeft bepaalde Precision, Latitude en OptiPlex computers geverifieerd die bijgewerkte BIOS- en HVCI-compatibele drivers moeten hebben.

UEFI-firmware versie 2.3.1 of hoger: UEFI is vergrendeld, zodat de instellingen in UEFI niet kunnen worden gewijzigd om Device Guard-beveiliging in gevaar te brengen. (Opstartvolgorde, opstartvermeldingen, Secure Boot, virtualisatie-extensies, IOMMU, Microsoft UEFI CA.)

Naar boven

Credential Guard.

• Hardwarebeveiliging: Credential Guard verhoogt de beveiliging van afgeleide domeinreferenties door te profiteren van platformbeveiligingsfuncties zoals Secure Boot en virtualisatie.
• Betere bescherming tegen geavanceerde permanente bedreigingen: Het beveiligen van afgeleide domeinreferenties met behulp van de op virtualisatie gebaseerde beveiliging blokkeert de aanvalstechnieken en tools voor diefstal van referenties die worden gebruikt bij veel gerichte aanvallen.
  • Beveiliging op basis van virtualisatie beschermt uw geheimen tegen malware die in het besturingssysteem wordt uitgevoerd met beheerdersbevoegdheden.
• Beheerbaarheid: U kunt Credential Guard beheren met behulp van Groepsbeleid, WMI, vanaf een opdrachtprompt en Windows PowerShell.

Bescherm afgeleide domeinreferenties met Credential Guard 

Naar boven

Device Guard.

• Het gebruik van traditionele methoden zoals antivirusoplossingen biedt een ontoereikende verdediging tegen nieuwe aanvallen. (Op handtekening gebaseerde detectie om malware te bestrijden.) Vooral met duizenden nieuwe schadelijke bestanden die elke dag worden gemaakt.
• Device Guard in Windows 10 Enterprise verandert van een modus waarin apps worden vertrouwd, tenzij geblokkeerd door een antivirus- of andere beveiligingsoplossing. Het verandert in een modus waarin het besturingssysteem alleen geautoriseerde apps vertrouwt die zijn ingesteld door uw onderneming. U wijst deze vertrouwde apps aan door code-integriteitsbeleid te maken.

Vier manieren om Device Guard te beheren

• Groepsbeleid: Windows 10 biedt een beheersjabloon voor het configureren en implementeren van het configureerbare code-integriteitsbeleid voor uw organisatie. Met deze sjabloon kunt u ook opgeven welke hardwaregebaseerde beveiligingsfuncties u wilt inschakelen en implementeren. U kunt deze instellingen beheren samen met uw bestaande Groepsbeleidsobjecten (GPO's), waardoor het eenvoudiger is om Device Guard-functies te implementeren.
• Microsoft System Center Configuration Manager: U kunt System Center Configuration Manager gebruiken om de implementatie en het beheer van catalogusbestanden te vereenvoudigen. Inclusief code-integriteitsbeleid en op hardware gebaseerde beveiligingsfuncties, biedt het ook versiebeheer.
• Windows PowerShell
• Microsoft Intune

Naar boven

Veelgestelde vragen.

Wat is de SKU van Windows 10 Enterprise?
Windows 10 Enterprise SKU is een andere Windows OS-versie die alleen beschikbaar is voor klanten met Microsoft-volumelicenties. Degenen die computers met de Windows 10 Professional-licentie kopen en vervolgens upgraden naar Windows 10 Enterprise om incrementele functies te verkrijgen. Windows 10 Enterprise bevat twee beveiligingsfuncties die niet beschikbaar zijn op Professional of Home SKU's: Credential Guard en Device Guard. Details van functievergelijking tussen SKU's van Windows-besturingssystemen.

Wat is Device Guard en Credential Guard?
Device Guard en Credential Guard zijn de nieuwe beveiligingsfuncties die momenteel alleen beschikbaar zijn op Windows 10 Enterprise. Device Guard is een combinatie van hardware- en softwarebeveiligingsfuncties die betrekking hebben op bedrijven. Wanneer ze samen zijn geconfigureerd, vergrendelen ze een apparaat zodat het alleen vertrouwde applicaties kan uitvoeren. Als het geen vertrouwde applicatie is, kan deze niet worden uitgevoerd. Credential Guard maakt gebruik van beveiliging op basis van virtualisatie om geheimen (referenties) te isoleren, zodat alleen geprivilegieerde systeemsoftware toegang heeft. Onbevoegde toegang tot deze geheimen kan leiden tot diefstal van referenties. Credential Guard voorkomt deze aanvallen door NTLM-wachtwoord hashes en Tickets voor het verlenen van Kerberos-tickets te beschermen.

Wat is virtualization based security (VBS)?
Dit is bescherming die gebruikmaakt van de hypervisor om de kernel en andere delen van het besturingssysteem te beschermen. Met het VBS standaard kernel-mode code-integriteitsbeleid of het code-integriteitsbeleid dat u configureert en implementeert, wordt het robuuster.

Hoe controleer ik of Virtualization Based Protection of Code Integrity is ingeschakeld?
Het eenvoudigste mechanisme is om de app System Information (msinfo32) uit te voeren. Zoek de volgende regel: "Device Guard Security Services running." Het zou moeten rapporteren: "Hypervisor heeft code-integriteit afgedwongen." Er is ook een WMI-interface (Windows Management Instrumentation) die kan worden gecontroleerd met behulp van beheertools.

Als een computer niet geschikt is voor Win10 Enterprise, kan die computer dan nog steeds worden uitgevoerd op Win10 Enterprise?
Ja, zolang een computer is aangeschaft met Win10 Pro. Klanten met volumelicenties kunnen die computer altijd upgraden naar Win10 Enterprise. Alle incrementele Enterprise-functies werken prima, BEHALVE Device Guard en Credential Guard. Dit komt doordat voor deze twee beveiligingsfuncties BIOS-, driver- en processorfuncties moeten voldoen aan de Microsoft-vereisten.

Wat zijn de vereisten om Device Guard en Credential Guard in te schakelen op mijn Dell computers?
Klanten die van plan zijn hun computers te upgraden om Device Guard en Credential Guard in te schakelen, hebben de volgende drie criteria nodig:

1. Latitude/OptiPlex/Precision/Venue apparaten moeten geschikt zijn voor Win10 Enterprise. Zorg ervoor dat het BIOS en de drivers zijn bijgewerkt naar de versie die geschikt is voor Enterprise Ready. Zie de lijst met platformen voor gedetailleerde BIOS/HVCI-drivers die gereed zijn per platform.
2. De configuratie moet gebruikmaken van processors die geschikt zijn voor DG/CG. Processors die geschikt zijn voor DG/CG, betekent dat ze Intel VT-x- en VT-d-functies ondersteunen. Deze functies zijn verplichte vereisten voor de ondersteuning van Device Guard en Credential Guard in Windows 10. Controleren of uw processor Intel VT-x en VT-d ondersteunt. Zie deze koppeling naar: Intel® productspecificaties
3. Klanten moeten over een Microsoft-volumelicentie beschikken; Win10 Enterprise is geen OEM SKU. Klanten kunnen alleen direct Win10 Enterprise-bits van Microsoft krijgen.

Gedetailleerde vereisten:

Meer vereisten voor Windows 10 1607

U moet een Microsoft-volumelicentie voor Win10 Enterprise rechtstreeks van Microsoft hebben aangeschaft (inclusief klanten die upgraden van een Windows 10 Pro SKU die door Dell wordt geleverd). Dell biedt Windows 10 Enterprise niet als OEM SKU.

Als u Device Guard wilt implementeren, raadpleegt u: Windows Defender Device Guard implementatiehandleiding Zie als u Credential Guard wilt implementeren: Vereisten en richtlijnen voor implementatieplanning voor Credential Guard 

Wat zijn de BIOS-instellingen die moeten worden ingesteld voor Device Guard en Credential Guard?
Deze opties moeten worden ingeschakeld. Zorg ervoor dat u het nieuwste BIOS hebt dat in de lijst met ondersteunde BIOS's wordt vermeld.

Device Guard en Credential Guard
valideren U kunt de Device Guard en Credential Guard validatietool gebruiken

• Controleer of de computer Device Guard of Credential Guard kan uitvoeren
• Device Guard of Credential Guard uitschakelen en inschakelen

Voordat u de tool uitvoert, moet u ervoor zorgen dat u het juiste uitvoeringsbeleid hebt ingeschakeld in PowerShell. (Zie Afbeelding 1. Hieronder)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Afbeelding 1. - Uitvoeringsbeleid in powershell-voorbeeld.

Valideren: DG_Readiness.ps1 -Geschikt -[DG/CG/HVCI] -AutoReboot

Inschakelen: DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

Uitschakelen: DG_Readiness.ps1 -Disable -[DG/CG] -AutoReboot

Is mijn computer vooraf geconfigureerd met Device Guard of Credential Guard?
Nee, Dell zorgt ervoor dat de geverifieerde computers volledig zijn geverifieerd vanuit het perspectief van BIOS-firmware en HVCI-drivercompliance. Dit is alles wat u nodig hebt om de computers voor het apparaat of Credential Guard in te schakelen. U moet de functies inschakelen op basis van de schakeloptie hierboven of de stapsgewijse procedure in de implementatiehandleiding (zie het gedeelte Resources).

Wat is DECI-drivergereedheid en hoe weet ik dat ik de juiste drivers heb?
HVCI is integriteit hypervisorcode. De HVCI-service in Windows 10 bepaalt of code die in de kernelmodus wordt uitgevoerd veilig is ontworpen en betrouwbaar is. Het biedt Zero Day en mogelijkheden voor misbruik van beveiligingslekken. Het zorgt ervoor dat alle software wordt uitgevoerd in de kernelmodus, inclusief drivers, veilig geheugen toewijst en werkt zoals ze bedoeld zijn.

Gebruik de DGReadiness Tool:

Valideren: DG_Readiness.ps1 –Geschikt – HVCI - AutoReboot

OPMERKING: Dell heeft de gereedheid van de driver op de door Dell ondersteunde drivers geverifieerd. Als u andere drivers van derden op de computer installeert, moet u ervoor zorgen dat deze compatibel zijn met HVCI. Drivercompatibiliteit met Device Guard in Windows 10

Welke Dell computers ondersteunen Device Guard en Credential Guard?
Om Device Guard en Credential Guard in te schakelen, vereisen Dell SkyLake en KabyLake generatie computers zowel compatibele BIOS- als Hypervisor Code Integrity (HVCI)-compatibele drivers.

Hier zijn alle computers waarop Dell deze functie ondersteunt. In de tabel hieronder vindt u de driverversies en de BIOS-versies voor elk platform.

Als een processor vPro is, betekent dat dan dat ze DG/CG-compatibel zijn?
Ja. Daarnaast zijn sommige niet-vPro processors ook geschikt voor DG/CG (VT-x/VT-d). Controleren of uw processor Intel VT-x en VT-d ondersteunt. Zie deze koppeling naar: Intel® productspecificaties

Naar boven

Bronnen

• Windows 11 Enterprise-beveiliging: Credential Guard en Device Guard
• Implementatiehandleiding apparaatbeveiliging
• Hardwarevereisten voor Windows Defender Credential Guard
• Hardwarevereisten voor Windows Defender Device Guard

Naar boven