Windows 10 Enterprise Güvenliği: Credential Guard ve Device Guard

Özet: "İki yeni Windows 10 Enterprise Ready Güvenlik özelliğine genel bakış: Credential Guard ve Device Guard."

Device Guard ve Credential Guard nedir?

Device Guard ve Credential Guard, Sanallaştırma tabanlı güvenliktir (VBS). Windows 10 Enterprise/Education Edition işletim sistemi ile Hipervizör Korumalı Kod Bütünlüğü (HVCI) sürücüleri ve uyumlu bir BIOS kullanan Yerel Güvenlik Yetkilisi (LSA) işlevleriyle. Yalnızca Microsoft Toplu Lisans Sözleşmesi (VLA) kapsamındaki bilgisayarlar için geçerlidir.

Credential Guard, gizli bilgileri (kimlik bilgilerini) yalnızca ayrıcalıklı sistem yazılımının erişebileceği şekilde yalıtmak için sanallaştırma tabanlı güvenlik kullanır. Bu gizli bilgilere yetkisiz erişim, kimlik bilgisi hırsızlığı saldırılarına neden olabilir. Credential Guard, NT LAN Manager protokolü (NTLM) parola karmalarını ve Kerberos Anahtar Verme Anahtarlarını koruyarak bu saldırıları önler. Credential Guard, gizli bilgileri yalnızca ayrıcalıklı sistem yazılımının erişebileceği şekilde yalıtmak için sanallaştırma tabanlı güvenlik kullanır. Credential Guard, Device Guard'a bağlı değildir.

Device Guard, kurumla ilgili donanım ve yazılım güvenlik özelliklerinin bir bileşimidir. Bunlar birlikte yapılandırıldığında, yalnızca güvenilir uygulamaları çalıştırabilmesi için aygıtı kilitlerler. Bir uygulama güvenilir değilse çalıştırılamaz. Aygıtı kilitlemek için bu özelliği yapılandırabilirsiniz. Böylece aygıt, yalnızca kod bütünlüğü ilkelerinizde belirtilen güvenilir uygulamaları çalıştırabilir. Device Guard, Sanallaştırma tabanlı güvenliğe (VBS) bağlıdır.

Sayfanın Başı

Nasıl çalışırlar?

Windows 10 Enterprise/Education'ın Sanallaştırma Tabanlı Güvenlik özellikleri; UEFI, Güvenli Önyükleme, Güvenilir Platform Modülü (TPM) 2.0 gibi çeşitli güvenlik öğelerini kullanır. Dell, BIOS ve HVCI uyumlu sürücülerin güncelleştirilmiş olması gereken belirli Precision, Latitude ve OptiPlex bilgisayarları doğrulamıştır.

UEFI bellenim sürümü 2.3.1 veya üzeri: UEFI kilitlenir, böylece UEFI ayarları Device Guard güvenliğini tehlikeye atacak şekilde değiştirilemez. (Önyükleme sırası, Önyükleme girişleri, Güvenli Önyükleme, Sanallaştırma uzantıları, IOMMU, Microsoft UEFI CA.)

Sayfanın Başı

Credential Guard.

• Donanım güvenliği: Credential Guard, Güvenli Önyükleme ve sanallaştırma dahil olmak üzere platform güvenlik özelliklerinden faydalanarak elde edilen etki alanı kimlik bilgilerinin güvenliğini artırır.
• İleri düzeydeki kalıcı tehditlere karşı daha iyi koruma: Elde edilen etki alanı kimlik bilgilerinin güvenliğini sanallaştırma tabanlı güvenlik kullanarak sağlamak, çok sayıda hedeflenen saldırıda kullanılan kimlik bilgisi hırsızlık saldırı tekniklerini ve araçlarını engeller.
  • Sanallaştırma tabanlı güvenlik, yönetici ayrıcalıklarıyla işletim sisteminde çalışan Kötü Amaçlı Yazılımlara karşı gizli bilgileri korur.
• Yönetilebilirlik: Bir komut isteminden ve Windows PowerShell'den Grup İlkesini, WMI'yi kullanarak Credential Guard'ı yönetebilirsiniz.

Protect derived domain credentials with Credential Guard (Credential Guard ile elde edilen etki alanı kimlik bilgilerini koruyun) 

Sayfanın Başı

Device Guard.

• Antivirüs çözümleri gibi geleneksel yöntemlerin sağladığı savunma, yeni saldırılar karşısında yetersizdir. (Kötü amaçlı yazılımlarla mücadele etmek için imzaya dayalı algılama.) Özellikle her gün binlerce yeni kötü amaçlı dosyanın oluşturulduğu bir ortamda.
• Windows 10 Enterprise'da Device Guard özelliği; uygulamaların, bir antivirüs veya başka bir güvenlik çözümü tarafından engellenmediği sürece güvenilir olduğu bir moddan çıkar. İşletim sisteminin yalnızca kurumunuz tarafından belirlenmiş yetkili uygulamalara güvendiği bir moda geçer. Kod bütünlüğü ilkeleri oluşturarak bu güvenilir uygulamaları siz belirlersiniz.

Device Guard'ı yönetmenin dört yolu

• Grup İlkesi: Windows 10, kuruluşunuz için yapılandırılabilir kod bütünlüğü ilkelerini yapılandırmak ve dağıtmak için bir yönetim şablonu sağlar. Bu şablon, hangi donanım tabanlı güvenlik özelliklerini etkinleştirmek ve dağıtmak istediğinizi belirtmenize de olanak sağlar. Bu ayarları mevcut Grup İlkesi Nesneleriniz (GPO'lar) ile birlikte yönetebilirsiniz. Bu sayede Device Guard özelliklerinin uygulanması daha kolay hale gelir.
• Microsoft System Center Yapılandırma Yöneticisi: Katalog dosyalarının dağıtımını ve yönetimini basitleştirmek için System Center Yapılandırma Yöneticisi'ni kullanabilirsiniz. Kod bütünlüğü ilkeleri ve donanım tabanlı güvenlik özellikleri ile birlikte sürüm denetimi de sağlar.
• Windows PowerShell
• Microsoft Intune

Sayfanın Başı

Sık Sorulan Sorular.

Windows 10 Enterprise SKU'su nedir?
Windows 10 Enterprise SKU'su, yalnızca toplu Microsoft lisansı alan müşterilere sunulan farklı bir Windows işletim sistemi sürümüdür. Windows 10 Professional lisansına sahip bilgisayarlar satın alan ve ardından artımlı özellikler elde etmek için Windows 10 Enterprise'a yükseltenler. Windows 10 Enterprise, Professional veya Home SKU'larında mevcut olmayan iki güvenlik özelliği içerir: Credential Guard ve Device Guard.

Device Guard ve Credential Guard nedir?
Device Guard ve Credential Guard, şu anda yalnızca Windows 10 Enterprise'da kullanılabilen yeni güvenlik özellikleridir. Device Guard, kurumla ilgili donanım ve yazılım güvenlik özelliklerinin bir bileşimidir. Bunlar birlikte yapılandırıldığında, yalnızca güvenilir uygulamaları çalıştırabilmesi için aygıtı kilitlerler. Bir uygulama güvenilir değilse çalıştırılamaz. Credential Guard, gizli bilgileri (kimlik bilgilerini) yalnızca ayrıcalıklı sistem yazılımının erişebileceği şekilde yalıtmak için sanallaştırma tabanlı güvenlik kullanır. Bu gizli bilgilere yetkisiz erişim, kimlik bilgisi hırsızlığı saldırılarına neden olabilir. Credential Guard, NTLM parola karmalarını ve Kerberos Anahtar Verme Anahtarlarını koruyarak bu saldırıları önler.

Sanallaştırma tabanlı güvenlik (VBS) nedir?
Bu, çekirdeğin ve işletim sisteminin diğer parçalarının korunmasına yardımcı olmak için hipervizörü kullanan bir korumadır. VBS ile varsayılan çekirdek modu kod bütünlüğü ilkesi veya yapılandırdığınız ya da dağıttığınız kod bütünlüğü ilkesi daha sağlam hale gelir.

Kod Bütünlüğünün Sanallaştırma Tabanlı Korunması özelliğinin etkin olduğunu nasıl doğrularım?
En basit yöntem, Sistem Bilgileri uygulamasını (msinfo32) çalıştırmaktır. Aşağıdaki satırı arayın: "Cihaz Koruyucu Güvenlik Hizmetleri Çalıştırılıyor." Şunu bildirmelidir: "Hiper yönetici Kod Bütünlüğü'nü zorunlu kıldı." Ayrıca yönetim araçlarını kullanarak gözden geçirme için bir Windows Yönetim Araçları (WMI) arabirimi de vardır.

Bir bilgisayar Win10 Enterprise Ready (Enterprise kullanımına hazır) olmasa bile Win10 Enterprise'da çalışır mı?
Bilgisayar, Win10 Pro ile satın alındıysa evet. Toplu lisans alan müşteriler, bu bilgisayarı her zaman Win10 Enterprise'a yükseltebilir. Device Guard ve Credential Guard HARİÇ, tüm Enterprise artımlı özellikleri düzgün çalışır. Bunun nedeni, bu iki güvenlik özelliğinin BIOS, sürücü ve işlemci özelliklerinin Microsoft gereksinimleriyle uyumlu olmasını gerektirmesidir.

Dell bilgisayarlarımda Device Guard ve Credential Guard'ı etkinleştirme gereksinimleri nelerdir?
Device Guard ve Credential Guard'ı etkinleştirmek için bilgisayarlarını yükseltmek isteyen müşteriler için aşağıdaki üç kriter gerekir:

1. Latitude/OptiPlex/Precision/Venue aygıtların Win10 Enterprise Ready olması gerekir. BIOS ve sürücülerin Enterprise Ready özellikli sürüme güncelleştirilmiş olduğundan emin olun. Platform başına BIOS/HVCI sürücülerinin hazır olma durumunu ayrıntılı olarak görmek için platform listesine bakın.
2. Yapılandırmada DG/CG özellikli işlemciler kullanılması gerekir. İşlemcilerin DG/CG özellikli olması, Intel VT-x ve VT-d özelliklerini destekledikleri anlamına gelir. Bu özellikler, Windows 10'da Device Guard ve Credential Guard'ın desteklenmesi için zorunlu gereksinimlerdir. İşlemcinizin Intel VT-x ve VT-d'yi destekleyip desteklemediğini kontrol etmek için aşağıdaki bağlantıya bakın: Intel® Ürün Özellikleri
3. Müşterilerin Microsoft Toplu Lisansına sahip olmaları gerekir; Win10 Enterprise, bir OEM SKU'su değildir. Müşteriler doğrudan Microsoft'dan yalnızca Win10 Enterprise bitleri alabilir.

Gereksinimlerle ilgili ayrıntılar:

Windows 10 1607 için Diğer Gereksinimler

Win10 Enterprise için doğrudan Microsoft'dan tedarik edilen bir Microsoft Toplu Lisansına sahip olmanız gerekir (Dell'in gönderdiği Windows 10 Pro SKU'sundan yükselten müşteriler dahil). Dell, OEM SKU'su olarak Windows 10 Enterprise sağlamaz.

Device Guard'ı dağıtmak istiyorsanız bkz.: Windows Defender Device Guard deployment guide (Windows Defender Device Guard dağıtım rehberi) Credential Guard'ı dağıtmak için bkz.: Requirements and deployment planning guidelines for Credential Guard (Credential Guard için gereksinimler ve dağıtım planlama yönergeleri) 

Device Guard ve Credential Guard için yapılması gereken BIOS ayarları nedir?
Bu seçenekler etkinleştirilmelidir. Desteklenen BIOS listesinde belirtilen en yeni BIOS'a sahip olduğunuzdan emin olun.

Device Guard ve Credential Guard nasıl doğrulanır?
Device Guard and Credential Guard validation tool (Device Guard ve Credential Guard doğrulama aracı) bağlantısını kullanabilirsiniz

• Bilgisayarın Device Guard ve Credential Guard çalıştırıp çalıştıramadığını kontrol edin
• Device Guard veya Credential Guard'ı etkinleştirin veya devre dışı bırakın

Aracı çalıştırmadan önce PowerShell'de doğru yürütme ilkesini etkinleştirdiğinizden emin olun. (Bkz. Şekil 1. Aşağıda)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Şekil 1. - PowerShell örneğinde yürütme ilkesi.

Doğrulamak için: DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

Etkinleştirmek için: DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

Devre dışı bırakmak için: DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

Bilgisayarım Device Guard veya Credential Guard ile önceden yapılandırılmış mı?
Hayır. Dell, doğrulanan bilgisayarların BIOS bellenimi ve HVCI sürücüsü uyumluluğu açısından tam olarak doğrulandığından emin olur. Bilgisayarlarda Device Guard veya Credential Guard'ı etkinleştirmek için ihtiyacınız olan tek şey budur. Yukarıdaki etkinleştirme anahtarına veya dağıtım rehberindeki adım adım prosedüre göre özellikleri etkinleştirmeniz gerekir (Kaynaklar bölümüne bakın).

HVCI Sürücü Hazır Olma Durumu nedir ve doğru sürücülere sahip olduğumu nasıl bilebilirim?
HVCI, Hipervizör Korumalı Kod Bütünlüğü'dür. Windows 10'da HVCI hizmeti, çekirdek modunda çalışan kodun güvenli bir şekilde tasarlanmış ve güvenilir olup olmadığını belirler. Sıfır Gün ve güvenlik açığından yararlanmaya karşı koruma özellikleri sunar. Sürücüler de dahil olmak üzere tüm yazılımların çekirdek modunda çalışmasını, belleği güvenli bir şekilde ayırmasını ve amaçlandığı şekilde çalışmasını sağlar.

DGReadiness Aracını kullanın:

Doğrulamak için: DG_Readiness.ps1 –Capable –HVCI -AutoReboot

NOT: Dell, Dell tarafından desteklenen sürücülerde sürücülerin hazır olma durumunu doğrulamıştır. Bilgisayara başka bir üçüncü taraf sürücüsü kurulumu yaparsanız bunların HVCI uyumluluğundan emin olun. Driver compatibility with Device Guard in Windows 10 (Windows 10'da Device Guard ile sürücü uyumluluğu)

Hangi Dell bilgisayarlar Device Guard ve Credential Guard'ı destekler?
Dell SkyLake ve KabyLake nesil bilgisayarlar, Device Guard ve Credential Guard'ı etkinleştirmek için hem uyumlu bir BIOS hem de Hipervizör Korumalı Kod Bütünlüğü (HVCI) uyumlu sürücüler gerektirir.

Dell'in bu özelliği desteklediği tüm bilgisayarlar aşağıda verilmiştir. Aşağıdaki tabloda her platform için sürücü sürümleri ve BIOS sürümleri listelenmiştir.

Bir işlemci vPro ise bu, DG/CG özellikli olduğu anlamına mı gelir?
Evet. Buna ek olarak, bazı vPro olmayan işlemciler de DG/CG (VT-x/VT-d) özelliklidir. İşlemcinizin Intel VT-x ve VT-d'yi destekleyip desteklemediğini kontrol etmek için aşağıdaki bağlantıya bakın: Intel® Ürün Özellikleri

Sayfanın Başı

Kaynaklar

• Windows 11 Enterprise Güvenliği: Credential Guard ve Device Guard
• Aygıt koruma dağıtım kılavuzu
• Windows Defender Credential Guard donanım gereksinimleri
• Windows Defender Device Guard donanım gereksinimleri

Sayfanın Başı