Безопасность в Windows 10 Корпоративная. Credential Guard и Device Guard

Резюме: «Обзор двух новых функций безопасности для Windows 10 Корпоративная: Credential Guard и Device Guard».

Что такое Device Guard и Credential Guard?

Device Guard и Credential Guard — это функции для обеспечения безопасности на основе виртуализации (VBS). С помощью функций Local Security Authority (LSA), использующих драйверы Hypervisor Code Integrity (HVCI), и BIOS, совместимой с операционной системой Windows 10 Корпоративная или Windows 10 для образовательных учреждений. Доступно только для компьютеров, на которые распространяется корпоративное лицензионное соглашение Microsoft (VLA).

Credential Guard изолирует секреты (учетные данные) с помощью средства обеспечения безопасности на основе виртуализации так, что доступ к секретам может получить только привилегированное системное ПО. Несанкционированный доступ к секретам может способствовать атакам с хищением учетных данных. Credential Guard в Защитнике Windows предотвращает эти атаки, защищая хэши паролей NTLM (протокола NT LAN Manager) и билеты на получение билетов (TGT) протокола Kerberos. Credential Guard изолирует секреты с помощью средства обеспечения безопасности на основе виртуализации так, что доступ к секретам может получить только привилегированное системное ПО. Credential Guard не зависит от Device Guard.

Device Guard — это сочетание аппаратных и программных функций корпоративной безопасности. При совместной настройке они блокируют устройство, чтобы оно могло запускать только доверенные приложения. Если это не доверенное приложение, его нельзя запустить. Можно настроить блокировку устройства. Так устройство сможет запускать только доверенные приложения, определенные в политиках целостности кода. Device Guard зависит от средства обеспечения безопасности на основе виртуализации (VBS).

Наверх

Как они работают?

Функции безопасности на основе виртуализации в Windows 10 Корпоративная или Windows 10 для образовательных учреждений используют ряд элементов безопасности, таких как UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Компания Dell проверила компьютеры Precision, Latitude и OptiPlex, на которых должны быть установлены обновленные драйверы, совместимые с BIOS и HVCI.

Микропрограмма UEFI версии 2.3.1 или выше: UEFI заблокирован, поэтому его настройки нельзя изменить, так как это может нарушить безопасность Device Guard. (Порядок загрузки, загрузочные записи, Secure Boot, расширения виртуализации, IOMMU, ИС Microsoft UEFI.)

Наверх

Credential Guard.

• Безопасность оборудования: Credential Guard повышает безопасность производных учетных данных домена, используя такие функции безопасности платформы, как Secure Boot и виртуализация.
• Улучшенная защита от постоянных угроз повышенной сложности. Защита производных учетных данных домена с помощью средства обеспечения безопасности на основе виртуализации блокирует распространенные методы и инструменты, используемые для кражи учетных данных.
  • Средство обеспечения безопасности на основе виртуализации обладает правами администратора и защищает секреты от вредоносного ПО в операционной системе.
• Возможности управления. Можно управлять Credential Guard с помощью групповой политики, WMI, командной строки и Windows PowerShell.

Защита производных учетных данных домена с помощью Credential Guard 

Наверх

Device Guard.

• Использование традиционных методов, например антивирусов, недостаточно защищает систему от новых атак. (Обнаружение на основе сигнатур для борьбы с вредоносным ПО.) Особенно при условии того, что каждый день создаются тысячи новых вредоносных файлов.
• Функция Device Guard в Windows 10 Корпоративная переходит из режима, в котором приложения являются доверенными, если они блокируются антивирусом или другим решением для обеспечения безопасности. Она переходит в режим, в котором операционная система доверяет только авторизованным приложениям, установленным вашей компанией. Эти доверенные приложения можно назначить путем создания политик целостности кода.

Четыре способа управления Device Guard

• Групповая политика. Windows 10 предоставляет административный шаблон для конфигурации и развертывания настраиваемых политик целостности кода для вашей организации. Этот шаблон также позволяет указать, какие аппаратные функции безопасности необходимо включить и развернуть. Можно управлять этими параметрами вместе с существующими объектами групповой политики (GPO), что упрощает внедрение функций Device Guard.
• Microsoft System Center Configuration Manager. System Center Configuration Manager можно использовать для упрощения развертывания файлов каталогов и управления ими. Кроме того, политики целостности кода и аппаратные функции безопасности также обеспечивают управление версиями.
• Windows PowerShell
• Microsoft Intune

Наверх

Часто задаваемые вопросы.

Что такое Windows 10 Корпоративная SKU?
Конфигурация Windows 10 Корпоративная — это другая версия ОС Windows, доступная только пользователям лицензий Microsoft. Пользователи, приобретающие компьютеры с лицензией Windows 10 Профессиональная, а затем модернизирующие ОС до Windows 10 Корпоративная для получения дополнительных функций. Windows 10 Корпоративная включает в себя две функции безопасности, которые недоступны в SKU Windows Профессиональная или Домашняя: Credential Guard и Device Guard. Сравнение характеристик SKU ОС Windows.

Что такое Device Guard и Credential Guard?
Device Guard и Credential Guard — это новые функции безопасности, которые доступны только в Windows 10 Корпоративная. Device Guard — это сочетание аппаратных и программных функций корпоративной безопасности. При совместной настройке они блокируют устройство, чтобы оно могло запускать только доверенные приложения. Если это не доверенное приложение, его нельзя запустить. Credential Guard изолирует секреты (учетные данные) с помощью средства обеспечения безопасности на основе виртуализации так, что доступ к секретам может получить только привилегированное системное программное обеспечение. Несанкционированный доступ к секретам может способствовать атакам с хищением учетных данных. Credential Guard в Защитнике Windows предотвращает эти атаки, защищая хэши паролей NTLM и билеты на получение билетов (TGT) протокола Kerberos.

Что такое средство обеспечения безопасности на основе виртуализации (VBS)?
Это инструмент защиты, который использует гипервизор для защиты ядра и других компонентов ОС. При использовании политики целостности кода режима ядра VBS по умолчанию или политики целостности кода, которую вы настраиваете и развертываете, повышается надежность.

Как проверить, включена ли защита целостности кода на основе виртуализации?
Очень просто: запустите приложение «Сведения о системе» (msinfo32). Найдите следующую строку: «Службы безопасности Device Guard выполняются». В ней должно быть указано: «Условие обязательной целостности кода низкоуровневой оболочки». Также имеется интерфейс WMI (инструментария управления Windows) для проверки с помощью инструментов управления.

Если компьютер не поддерживает Win10 Корпоративная, может ли он работать на Win10 Корпоративная?
Да, если компьютер приобретен с Win10 Pro. Заказчики с лицензией на тома всегда могут модернизировать этот компьютер до версии Win10 Корпоративная. Все дополнительные функции версии Корпоративная работают нормально, КРОМЕ Device Guard и Credential Guard. Это связано с тем, что эти две функции безопасности требуют, чтобы BIOS, драйвер и характеристики процессора соответствовали требованиям Microsoft.

Каковы требования для включения Device Guard и Credential Guard на компьютерах Dell?
Заказчикам, которые планируют модернизировать свой компьютер для включения функций Device Guard и Credential Guard, необходимо выполнить следующие три критерия.

1. Устройства Latitude/OptiPlex/Precision/Venue должны быть готовы к использованию в среде Windows 10 Корпоративная. Убедитесь, что BIOS и драйверы обновлены до версии, которая поддерживает версию Корпоративная. Для получения подробной информации о поддержке драйверов BIOS/HVCI на каждой платформе см. список платформ.
2. В конфигурации должны использоваться процессоры с поддержкой DG/CG. Процессоры с поддержкой DG/CG поддерживают функции Intel VT-x и VT-d. Эти функции являются обязательными требованиями для запуска Device Guard и Credential Guard в Windows 10. Чтобы проверить, поддерживает ли ваш процессор Intel VT-x и VT-d см. ссылку на: Спецификации продуктов Intel®
3. Заказчики должны обладать корпоративной лицензией Microsoft; Win10 Корпоративная не является SKU OEM. Заказчики могут получить биты Win10 Корпоративная только напрямую от Microsoft.

Подробные требования:

Дополнительные требования для Windows 10 1607

Требуется корпоративная лицензия Microsoft для Win10 Корпоративная, приобретенная непосредственно в Microsoft (включая заказчиков, которые модернизируют ОС Windows 10 Pro, поставляемую Dell). Dell не предоставляет Windows 10 Корпоративная в качестве SKU OEM.

Сведения о развертывании Device Guard см. в разделе: Руководство по развертыванию функции Device в Защитнике Windows Сведения о развертывании Credential Guard см. в разделе: Требования и руководства по планированию развертывания для Credential Guard 

Какие настройки BIOS необходимо задать для Device Guard и Credential Guard?
Эти параметры должны быть включены. Убедитесь, что установлена последняя версия BIOS, указанная в списке поддерживаемых версий.

Как проверить Device Guard и Credential Guard?
Можно использовать инструмент проверки Device Guard и Credential Guard

• Проверьте, поддерживает ли компьютер запуск Device Guard или Credential Guard
• Отключите и включите Device Guard или Credential Guard

Перед запуском инструмента убедитесь, что в PowerShell включена правильная политика выполнения. (см. рис. 1 ниже)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Рис. 1 - Пример политики выполнения в PowerShell.

Для проверки: DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

Для включения: DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

Для отключения: DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

На моем компьютере предварительно настроена функция Device Guard или Credential Guard?
Нет. Dell определяет, что проверенные компьютеры полностью совместимы с микропрограммой BIOS и драйвером HVCI. Это все, что необходимо для включения компьютеров для Device Guard или Credential Guard. Необходимо включить функции с помощью приведенной выше инструкции по включению коммутатора или пошаговой процедуры, описанной в руководстве по развертыванию (см. раздел «Ресурсы»).

Что такое готовность драйвера HVCI и как узнать, что у меня есть подходящие драйверы?
HVCI — это целостность кода гипервизора. Служба HVCI в Windows 10 определяет, безопасно ли создан код, запущенный в режиме ядра, и можно ли ему доверять. Так обеспечивается защита нулевого дня, а также защита от уязвимостей и эксплойтов. Это гарантирует, что все ПО работает в режиме ядра, включая драйверы, безопасно выделяет память и работает ожидаемым образом.

Используйте инструмент DGReadiness:

Для проверки: DG_Readiness.ps1 –Capable –HVCI -AutoReboot

ПРИМЕЧАНИЕ. Компания Dell проверила готовность драйвера к работе с поддерживаемыми драйверами Dell. При установке на компьютер других драйверов сторонних производителей необходимо убедиться, что они совместимы с HVCI. Совместимость драйверов с Device Guard в Windows 10

Какие компьютеры Dell поддерживают Device Guard и Credential Guard?
Чтобы включить Device Guard и Credential Guard, компьютеры Dell Skylake и KabyLake должны иметь совместимые драйверы BIOS и Hypervisor Code Integrity (HVCI).

Ниже перечислены все компьютеры, на которых Dell поддерживает этот набор функций. В приведенной ниже таблице перечислены версии драйверов и BIOS для каждой платформы.

Если используется процессор vPro, значит ли это, что он поддерживает DG/CG?
Да. Кроме того, некоторые процессоры, версия которых отличается от vPro, также поддерживают технологию DG/CG (VT-x/VT-d). Чтобы проверить, поддерживает ли ваш процессор Intel VT-x и VT-d см. ссылку на: Спецификации продуктов Intel®

Наверх

Ресурсы

• Безопасность в Windows 11 Корпоративная. Credential Guard и Device Guard
• Руководство по развертыванию Device Guard
• Требования к оборудованию для функции Credential Guard в Защитнике Windows
• Требования к оборудованию для функции Device Guard в Защитнике Windows

Наверх