Windows 10 Enterprise Security: Credential Guard och Device Guard

Sammanfattning: "Översikt över två nya Windows 10 Enterprise Ready Security-funktioner: Credential Guard och Device Guard."

Vad är Device Guard och Credential Guard?

Device Guard och Credential Guard är virtualiseringsbaserad säkerhet (VBS). Med LSA-funktioner (Local Security Authority) med hjälp av HVCI-drivrutiner (Hypervisor Code Integrity) och en kompatibel BIOS med operativsystemet Windows 10 Enterprise/Education Edition. Den är endast tillgänglig för datorer som omfattas av ett VLA (Microsoft Volume License Agreement).

Credential Guard använder virtualiseringsbaserad säkerhet för att isolera hemligheter (autentiseringsuppgifter) så att endast behöriga systemprogram kan komma åt dem. Obehörig åtkomst till dessa hemligheter kan leda till stöldattacker på autentiseringsuppgifter. Credential Guard förhindrar dessa attacker genom att skydda NTLM-lösenordshassor (NT LAN Manager Protocol) och Kerberos Ticket Granting Tickets. Credential Guard använder virtualiseringsbaserad säkerhet för att isolera hemligheter så att endast behöriga systemprogram kan komma åt dem. Credential Guard är inte beroende av Device Guard.

Device Guard är en kombination av företagsrelaterade säkerhetsfunktioner för maskinvara och programvara. När de konfigureras tillsammans låser de en enhet så att den bara kan köra betrodda program. Om det inte är ett betrott program kan det inte köras. Du kan konfigurera den så att den låser en enhet. Så att enheten endast kan köra betrodda program som definieras i din kodintegritetspolicy. Device Guard beror på virtualiseringsbaserad säkerhet (VBS).

Sidans överkant

Hur fungerar de?

Virtualiseringsbaserade säkerhetsfunktioner i Windows 10 Enterprise/Education använder en rad olika säkerhetselement, till exempel UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Dell har verifierat att utvalda Precision-, Latitude- och OptiPlex-datorer måste ha uppdaterade BIOS- och HVCI-kompatibla drivrutiner.

UEFI version 2.3.1 eller senare av den fasta programvaran: UEFI är låst så att inställningarna i UEFI inte kan ändras till att äventyra Device Guard-säkerheten. (Startordning, startposter, säker start, virtualiseringstillägg, IOMMU, Microsoft UEFI CA.)

Sidans överkant

Credential Guard.

• Maskinvarusäkerhet: Credential Guard ökar säkerheten för härledda domänuppgifter genom att dra nytta av plattformssäkerhetsfunktioner, inklusive säker start och virtualisering.
• Bättre skydd mot avancerade beständiga hot: Att skydda härledda domänuppgifter med hjälp av den virtualiseringsbaserade säkerheten blockerar tekniker och verktyg för stöldangrepp på inloggningsuppgifter som används i många riktade attacker.
  • Virtualiseringsbaserad säkerhet skyddar dina hemligheter mot skadliga program som körs i operativsystemet med administratörsbehörighet.
• Hanterbarhet: Du kan hantera Credential Guard med hjälp av grupprinciper, WMI, från en kommandotolk och Windows PowerShell.

Skydda härledd domänbehörighet med Credential Guard 

Sidans överkant

Enhetsskydd.

• Användning av traditionella metoder som antiviruslösningar ger otillräckligt skydd mot nya attacker. (Signaturbaserad detektering för skydd mot skadlig programvara.) Speciellt med tusentals nya skadliga filer skapade varje dag.
• Device Guard i Windows 10 Enterprise ändras från ett läge där appar är betrodda om de inte blockeras av ett antivirusprogram eller någon annan säkerhetslösning. Det ändras till ett läge där operativsystemet endast litar på auktoriserade appar som har angetts av företaget. Du anger dessa betrodda appar genom att skapa kodintegritetspolicyer.

Fyra sätt att hantera Device Guard

• Grupprincip: Windows 10 innehåller en administrativ mall för att konfigurera och driftsätta konfigurerbara kodintegritetspolicyer för din organisation. I den här mallen kan du även ange vilka maskinvarubaserade säkerhetsfunktioner du vill aktivera och driftsätta. Du kan hantera dessa inställningar tillsammans med dina befintliga grupprincipobjekt (GPO), vilket gör det enklare att implementera Device Guard-funktioner.
• Microsoft System Center Configuration Manager: Du kan använda System Center Configuration Manager för att förenkla distribution och hantering av katalogfiler. Den omfattar kodintegritetspolicyer och maskinvarubaserade säkerhetsfunktioner och ger även versionskontroll.
• Windows PowerShell
• Microsoft Intune

Sidans överkant

Vanliga frågor och svar.

Vad är artikelrad för Windows 10 Enterprise?
Windows 10 Enterprise SKU är en annan Windows OS-version som endast är tillgänglig för Microsoft-volymlicenskunder. De som köper datorer med Windows 10 Professional-licens och sedan uppgraderar till Windows 10 Enterprise för att få inkrementella funktioner. Windows 10 Enterprise innehåller två säkerhetsfunktioner som inte är tillgängliga på SKU:er för Professional eller Home: Credential Guard och Device Guard. Detaljerad funktionsjämförelse mellan Windows OS SKU:er.

Vad är Device Guard och Credential Guard?
Device Guard och Credential Guard är de nya säkerhetsfunktionerna som bara finns på Windows 10 Enterprise idag. Device Guard är en kombination av företagsrelaterade säkerhetsfunktioner för maskinvara och programvara. När de konfigureras tillsammans låser de en enhet så att den bara kan köra betrodda program. Om det inte är ett betrott program kan det inte köras. Credential Guard använder virtualiseringsbaserad säkerhet för att isolera hemligheter (autentiseringsuppgifter) så att endast behöriga systemprogram kan komma åt dem. Obehörig åtkomst till dessa hemligheter kan leda till stöldattacker på autentiseringsuppgifter. Credential Guard förhindrar dessa attacker genom att skydda NTLM-lösenordshash- och Kerberos Ticket Granting Tickets.

Vad är virtualiseringsbaserad säkerhet (VBS)?
Det här är ett skydd som använder hypervisor för att skydda kärnan och andra delar av operativsystemet. Med VBS blir kodintegritetspolicyn för standardläge eller kodintegritetspolicyn som du konfigurerar och distribuerar mer robust.

Hur kontrollerar jag att virtualiseringsbaserat skydd för kodintegritet är aktiverat?
Den enklaste mekanismen är att köra programmet Systeminformation (msinfo32). Sök efter följande rad: "Device Guard Security Services Running." Den ska rapportera: "Hypervisor framtvingad kodintegritet." Det finns även ett WMI-gränssnitt (Windows Management Instrumentation) för granskning med hanteringsverktyg.

Kan datorn fortfarande köras på Win10 Enterprise om datorn inte är redo för Win10 Enterprise?
Ja, så länge som en dator köps med Win10 Pro. Kunder med volymlicens kan alltid uppgradera datorn till Win10 Enterprise. Alla inkrementella enterprise-funktioner fungerar bra förutom Device Guard och Credential Guard. Detta beror på att dessa två säkerhetsfunktioner kräver att BIOS-, drivrutins- och processorfunktioner är kompatibla med Microsofts krav.

Vilka är kraven för att aktivera Device Guard och Credential Guard på mina Dell-datorer?
Kunder som har för avsikt att uppgradera sina datorer för att aktivera Device Guard och Credential Guard kräver följande tre kriterier:

1. Latitude-/OptiPlex-/Precision-/Venue-enheter måste vara Win10 Enterprise Ready. Kontrollera att BIOS och drivrutinerna är uppdaterade till den version som är Enterprise Ready-kompatibel. Se plattformslistan för detaljerad beredskap för BIOS/HVCI-drivrutiner per plattform.
2. Konfigurationen måste använda DG/CG-kapabla processorer. Processorer som är DG/CG-kapabla innebär att de stöder Intel VT-x- och VT-d-funktioner. Dessa funktioner är obligatoriska krav för att stödja Device Guard och Credential Guard i Windows 10. För att kontrollera om processorn har stöd för Intel VT-x och VT-d. Se den här länken för att: Specifikationer för Intel-produkter®
3. Kunder måste ha en Microsoft-volymlicens; Win10 Enterprise är inte en OEM-artikelrad. Kunder kan bara få Win10 Enterprise-bitar direkt från Microsoft.

Detaljerade krav:

Fler krav för Windows 10 1607

Du måste ha en Microsoft-volymlicens för Win10 Enterprise som införskaffas direkt från Microsoft (inklusive kunder som uppgraderar från en Windows 10 Pro-artikelrad som Dell skickar). Dell tillhandahåller inte Windows 10 Enterprise som artikelrad för OEM.

Om du vill installera Device Guard, se: Distribueringsguide för Windows Defender Device Guard Information om hur du installerar Credential Guard finns i: Krav och riktlinjer för distributionsplanering för Credential Guard 

Vilka BIOS-inställningar måste ställas in för Device Guard och Credential Guard?
De här alternativen bör vara aktiverade. Se till att du har den senaste BIOS-versionen som finns med i listan över BIOS som stöds.

Hur validerar jag Device Guard och Credential Guard?
Du kan använda verktyget för verifiering av Device Guard och Credential Guard

• Kontrollera om datorn kan köra Device Guard eller Credential Guard
• Avaktivera och aktivera Device Guard eller Credential Guard

Innan du kör verktyget ska du kontrollera att du har aktiverat rätt körningspolicy i PowerShell. (Se bild 1. Nedan)

Set-ExecutionPolicy – ExecutionPolicy RemoteSigned

Bild 1. – Körningsprincipen i PowerShell-exemplet.

Så här validerar du: DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

Så här aktiverar du: DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot (automatisk start)

Så här inaktiverar du: DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

Är min dator förkonfigurerad med Device Guard eller Credential Guard?
Nej, Dell garanterar att de datorer som verifierats är fullständigt verifierade ur ett bios-programvaru- och HVCI-drivrutinskompatibilitetsperspektiv. Det här är allt du behöver för att aktivera datorerna för enheten eller Credential Guard. Du måste aktivera funktionerna baserat på aktivera switchen ovan eller steg-för-steg-proceduren i distributionsguiden (se avsnittet resurser).

Vad är beredskapen för HVCI-drivrutiner och hur vet jag att jag har rätt drivrutiner?
HVCI är hypervisorkodintegritet. HVCI-tjänsten i Windows 10 avgör om kod som körs i kärnläge är säkert utformad och tillförlitlig. Den erbjuder zero dag och sårbarhetsbedriftsfunktioner. Den säkerställer att all programvara körs i kärnläge, inklusive drivrutiner, på ett säkert sätt allokerar minne och fungerar som de är avsedda.

Använd DGReadiness-verktyget:

Så här validerar du: DG_Readiness.ps1 –Capable –HVCI -AutoReboot

OBS! Dell har kontrollerat att drivrutinen är redo för de drivrutiner som stöds av Dell. Om du installerar andra drivrutiner från tredje part på datorn måste du se till att de är HVCI-kompatibla. Drivrutinskompatibilitet med Device Guard i Windows 10

Vilka Dell-datorer har stöd för Device Guard och Credential Guard?
För att aktivera Device Guard och Credential Guard krävs både kompatibla BIOS- och HVCI-kompatibla drivrutiner för Dell SkyLake- och KabyLake-datorer.

Här är alla datorer som Dell har stöd för den här funktionen på. I tabellen nedan visas drivrutinsversionerna och BIOS-versionerna för varje plattform.

Om en processor är vPro, innebär det att de är kapabla till DG/CG?
Ja. Dessutom är vissa processorer som inte är vPro även kapabla till DG/CG (VT-x/VT-d). För att kontrollera om processorn har stöd för Intel VT-x och VT-d. Se den här länken för att: Specifikationer för Intel-produkter®

Sidans överkant

Resurser

• Windows 11 Enterprise Security: Credential Guard och Device Guard
• Driftsättningsmanual för Device Guard
• Maskinvarukrav för Windows Defender Credential Guard
• Maskinvarukrav för Windows Defender Device Guard

Sidans överkant