Windows 10 Enterprise Security: Credential Guard og Device Guard

Sammendrag: "Oversikt over to nye sikkerhetsfunksjoner for Windows 10 Enterprise Ready: Credential Guard og Device Guard."

Hva er Device Guard og Credential Guard?

Device Guard og Credential Guard er virtualiseringsbasert sikkerhet (VBS). Med LSA-funksjoner (Local Security Authority) som bruker HVCI-drivere (Hypervisor Code Integrity) og en kompatibel BIOS med operativsystemet Windows 10 Enterprise/Education Edition. Den er bare tilgjengelig for datamaskiner som dekkes av en Microsoft Volume License Agreement (VLA).

Credential Guard bruker virtualiseringsbasert sikkerhet for å isolere hemmeligheter (påloggingsinformasjon), slik at bare rettighetsbeskyttet systemprogramvare kan få tilgang til dem. Uautorisert tilgang til disse hemmelighetene kan føre til tyveri av legitimasjon. Credential Guard forhindrer angrep ved å beskytte NT LAN Manager-protokollpassord (NTLM) og Kerberos Ticket Granting Tickets. Credential Guard bruker virtualiseringsbasert sikkerhet for å isolere hemmeligheter, slik at bare rettighetsbeskyttet systemprogramvare kan få tilgang til dem. Credential Guard er ikke avhengig av Device Guard.

Device Guard er en kombinasjon av sikkerhetsfunksjoner for maskinvare og programvare som er relatert til virksomheten. Når de er konfigurert sammen, låser de en enhet slik at den bare kan kjøre klarerte applikasjoner. Hvis det ikke er en klarert applikasjon, kan den ikke kjøres. Du kan konfigurere den til å låse en enhet. Slik at enheten bare kan kjøre klarerte applikasjoner som er definert i retningslinjene for kodeintegritet. Device Guard avhenger av virtualiseringsbasert sikkerhet (VBS).

Toppen av siden

Hvordan fungerer de?

Virtualiseringsbaserte sikkerhetsfunksjoner i Windows 10 Enterprise/Education utnytter en rekke sikkerhetselementer som UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Dell har bekreftet utvalgte Precision-, Latitude- og OptiPlex-datamaskiner som må ha oppdatert BIOS og HVCI-kompatible drivere.

UEFI-fastvareversjon 2.3.1 eller nyere: UEFI er låst, slik at innstillingene i UEFI ikke kan endres for å skade Device Guard-sikkerheten. (Oppstartsrekkefølge, oppstartsoppføringer, sikker oppstart, virtualiseringsutvidelser, IOMMU, Microsoft UEFI CA.)

Toppen av siden

Credential Guard.

• Maskinvaresikkerhet: Credential Guard øker sikkerheten til avledet domenelegitimasjon ved å dra nytte av plattformsikkerhetsfunksjoner, inkludert sikker oppstart og virtualisering.
• Bedre beskyttelse mot avanserte vedvarende trusler: Sikring av avledet domenelegitimasjon ved hjelp av virtualiseringsbasert sikkerhet blokkerer de legitimasjonstyveri-angrepsteknikkene og -verktøyene som brukes i mange målrettede angrep.
  • Virtualiseringsbasert sikkerhet beskytter hemmelighetene dine mot skadelig programvare som kjører i operativsystemet med administratorrettigheter.
• Administrasjon: Du kan administrere Credential Guard ved hjelp av gruppepolicy, WMI, fra en ledetekst og Windows PowerShell.

Beskytt avledet domenelegitimasjon med Credential Guard 

Toppen av siden

Device Guard.

• Bruk av tradisjonelle metoder som antivirusløsninger gir et utilstrekkelig forsvar mot nye angrep. (Signaturbasert oppdaging for å kjemp mot skadelig programvare.) Spesielt med tusenvis av nye skadelige filer som opprettes hver dag.
• Device Guard på Windows 10 Enterprise endres fra en modus der apper er klarert med mindre de blokkeres av en antivirusløsning eller annen sikkerhetsløsning. Det endres til en modus der operativsystemet bare klarerer autoriserte apper som er angitt av virksomheten din. Du angir disse klarerte appene ved å opprette policyer for kodeintegritet.

Fire måter å administrere Device Guard på

• Gruppepolicy: Windows 10 gir en administrativ mal for å konfigurere og implementere de konfigurerbare retningslinjene for kodeintegritet for organisasjonen din. Med denne malen kan du også angi hvilke maskinvarebaserte sikkerhetsfunksjoner du vil aktivere og implementere. Du kan administrere disse innstillingene sammen med eksisterende gruppepolicyobjekter (gruppepolicyobjekter), noe som gjør det enklere å implementere Device Guard-funksjoner.
• Microsoft System Center Configuration Manager: Du kan bruke System Center Configuration Manager til å forenkle implementering og administrasjon av katalogfiler. Den inkluderer policyer for kodeintegritet og maskinvarebaserte sikkerhetsfunksjoner, og gir også versjonskontroll.
• Windows PowerShell
• Microsoft Intune

Toppen av siden

Vanlige spørsmål.

Hva er Windows 10 Enterprise SKU?
Windows 10 Enterprise SKU er en annen Windows OS-versjon som bare er tilgjengelig for microsoft volumlisenskunder. De som kjøper datamaskiner med Windows 10 Professional-lisens, og deretter oppgraderer til Windows 10 Enterprise for å få trinnvise funksjoner. Windows 10 Enterprise har to sikkerhetsfunksjoner som ikke er tilgjengelige på Professional- eller Home SKU-er: Credential Guard og Device Guard. Detaljer om funksjonssammenligning mellom SKU-er i Windows-operativsystemet.

Hva er Device Guard og Credential Guard?
Device Guard og Credential Guard er de nye sikkerhetsfunksjonene som bare er tilgjengelige på Windows 10 Enterprise i dag. Device Guard er en kombinasjon av sikkerhetsfunksjoner for maskinvare og programvare som er relatert til virksomheten. Når de er konfigurert sammen, låser de en enhet slik at den bare kan kjøre klarerte applikasjoner. Hvis det ikke er en klarert applikasjon, kan den ikke kjøres. Credential Guard bruker virtualiseringsbasert sikkerhet for å isolere hemmeligheter (påloggingsinformasjon), slik at bare rettighetsbeskyttet systemprogramvare kan få tilgang til dem. Uautorisert tilgang til disse hemmelighetene kan føre til tyveri av legitimasjon. Credential Guard forhindrer angrep ved å beskytte NTLM-passordhasher og Kerberos Ticket Granting Tickets.

Hva er virtualiseringsbasert sikkerhet (VBS)?
Dette er beskyttelse som bruker hypervisoren til å beskytte kjernen og andre deler av operativsystemet. Med VBS standard kjernemoduskodeintegritetspolicy eller kodeintegritetspolicyen som du konfigurerer og implementerer, blir mer robust.

Hvordan kontrollerer jeg at virtualiseringsbasert beskyttelse av kodeintegritet er aktivert?
Den enkleste mekanismen er å kjøre systeminformasjonsappen (msinfo32). Se etter følgende linje: "Device Guard Security Services kjører." Den skal rapportere: "Hypervisor fremtvunget kodeintegritet." Det finnes også et Windows Management Instrumentation-grensesnitt (WMI) som kan gjennomgås ved hjelp av administrasjonsverktøy.

Hvis en datamaskin ikke er Win10 Enterprise-klar, kan den datamaskinen fortsatt kjøre på Win10 Enterprise?
Ja, så lenge en datamaskin er kjøpt med Win10 Pro. Volumlisenskunder kan alltid oppgradere datamaskinen til Win10 Enterprise. Alle trinnvise enterprise-funksjoner fungerer fint, bortsett fra Device Guard og Credential Guard. Grunnen til dette er at disse to sikkerhetsfunksjonene krever at BIOS-, driver- og prosessorfunksjoner er i samsvar med Microsofts krav.

Hva er kravene for å aktivere Device Guard og Credential Guard på Dell-datamaskinene mine?
Kunder som har tenkt å oppgradere datamaskinene sine for å aktivere Device Guard og Credential Guard, krever følgende tre kriterier:

1. Latitude-/OptiPlex-/Precision-/Venue-enheter må være Win10 Enterprise-klare. Kontroller at BIOS og driverne er oppdatert til versjonen som er Enterprise Ready-kompatibel. Se plattformlisten for detaljerte BIOS-/HVCI-drivere som er klare per plattform.
2. Konfigurasjonen må bruke DG/CG-kompatible prosessorer. Prosessorer som er DG/CG-kompatible, betyr at de støtter Intel VT-x- og VT-d-funksjoner. Disse funksjonene er obligatoriske krav for å støtte Device Guard og Credential Guard på Windows 10. Slik kontrollerer du om prosessoren støtter Intel VT-x og VT-d. Se denne koblingen for å: Intel-produktspesifikasjoner®
3. Kunder må ha en Microsoft-volumlisens. Win10 Enterprise er ikke en OEM SKU. Kunder kan bare få Win10 Enterprise-biter direkte fra Microsoft.

Detaljerte krav:

Flere krav for Windows 10 1607

Du må ha en Microsoft-volumlisens for Win10 Enterprise anskaffet direkte fra Microsoft (inkludert kunder som oppgraderer fra en Windows 10 Pro SKU som Dell leverer). Dell tilbyr ikke Windows 10 Enterprise som en OEM SKU.

Hvis du vil implementere Device Guard, kan du se: Implementeringsveiledning for Windows Defender Device Guard Hvis du vil implementere Credential Guard, kan du se: Krav og retningslinjer for implementeringsplanlegging for Credential Guard 

Hva er BIOS-innstillingene som må angis for Device Guard og Credential Guard?
Disse alternativene skal være aktivert. Kontroller at du har den nyeste BIOS-en som er oppført i den støttede BIOS-listen.

Slik validerer du Device Guard og Credential Guard.
Du kan bruke valideringsverktøyet Device Guard og Credential Guard

• Kontroller om datamaskinen er i stand til å kjøre Device Guard eller Credential Guard
• Deaktivere og aktivere Device Guard eller Credential Guard

Før du kjører verktøyet, må du kontrollere at du har aktivert riktig utførelsespolicy i PowerShell. (Se figur 1. Nedenfor)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Figur 1. – Utførelsespolicy i PowerShell-eksempel.

Slik validerer du: DG_Readiness.ps1 – kompatibel -[DG/CG/HVCI] -AutoReboot

Slik aktiverer du: DG_Readiness.ps1 – Aktiver -[DG/CG] – AutoReboot

Slik deaktiverer du: DG_Readiness.ps1 – Deaktiver -[DG/CG] -AutoReboot

Er datamaskinen min forhåndskonfigurert med Device Guard eller Credential Guard?
Nei, Dell sørger for at datamaskinene som er verifisert, er fullstendig verifisert fra et bios-fastvare- og HVCI-driversamsvarsperspektiv. Dette er alt du trenger for å aktivere datamaskinene for enheten eller Credential Guard. Du må aktivere funksjonene basert på aktiveringsbryteren ovenfor eller den trinnvise prosedyren i implementeringsveiledningen (se delen ressurser).

Hva er HVCI-driverberedskap, og hvordan vet jeg at jeg har de riktige driverne?
HVCI er hypervisorkodeintegritet. HVCI-tjenesten i Windows 10 bestemmer om koden som kjører i kjernemodus, er sikkert utformet og pålitelig. Den tilbyr muligheter for beskyttelse mot utnyttelse av null dag og sårbarhet. Det sikrer at all programvare kjører i kjernemodus, inkludert drivere, tildeler minne på en sikker måte og fungerer som de er tiltenkt.

Bruk DGReadiness Tool:

Slik validerer du: DG_Readiness.ps1 – kompatibel – HVCI -AutoReboot

MERK: Dell har bekreftet at driveren er klar på dell-støttede drivere. Hvis du installerer andre tredjepartsdrivere på datamaskinen, må du kontrollere at de er HVCI-kompatible. Driverkompatibilitet med Device Guard i Windows 10

Hvilke Dell-datamaskiner støtter Device Guard og Credential Guard?
For å aktivere Device Guard og Credential Guard krever Dell SkyLake- og KabyLake-generasjons datamaskiner både kompatible BIOS- og Hypervisor Code Integrity(HVCI)-kompatible drivere.

Her er alle datamaskinene som Dell støtter dette funksjonssettet på. Tabellen nedenfor viser driverversjoner og BIOS-versjoner for hver plattform.

Hvis en prosessor er vPro, betyr det at de er DG/CG-kompatible?
Ja. I tillegg er noen ikke-vPro-prosessorer også DG/CG(VT-x/VT-d)-kompatible. Slik kontrollerer du om prosessoren støtter Intel VT-x og VT-d. Se denne koblingen for å: Intel-produktspesifikasjoner®

Toppen av siden

Ressurser

• Windows 11 Enterprise Security: Credential Guard og Device Guard
• Veiledning for implementering av device guard
• Maskinvarekrav for Windows Defender Credential Guard
• Maskinvarekrav for Windows Defender Device Guard

Toppen av siden