Windows 10 Enterprise Security: Credential Guard og Device Guard

Sammendrag: "Oversikt over to nye Windows 10 Enterprise Ready Security-funksjoner: Credential Guard og Device Guard."

Hva er Device Guard og Credential Guard?

Device Guard og Credential Guard er virtualiseringsbasert sikkerhet (VBS). Med LSA-funksjoner (Local Security Authority) som bruker HVCI-drivere (Hypervisor Code Integrity) og en kompatibel BIOS med operativsystemet Windows 10 Enterprise/Education Edition. Den er bare tilgjengelig for datamaskiner som dekkes av en volumlisensavtale for Microsoft (VLA).

Credential Guard bruker virtualiseringsbasert sikkerhet for å isolere hemmeligheter (påloggingsinformasjon), slik at bare priviligert systemprogramvare kan få tilgang. Uautorisert tilgang til disse hemmelighetene kan føre til tyveri av legitimasjon. Credential Guard forhindrer angrep ved å beskytte NTLM-passordhasher (NT LAN Manager Protocol) og Kerberos Ticket Granting Tickets. Credential Guard bruker virtualiseringsbasert sikkerhet for å isolere hemmeligheter, slik at bare priviligert systemprogramvare kan få tilgang. Credential Guard er ikke avhengig av Device Guard.

Device Guard er en kombinasjon av bedriftsrelaterte sikkerhetsfunksjoner for maskinvare og programvare. Når de konfigureres sammen, låser de enheten slik at den bare kan kjøre klarerte applikasjoner. Du kan ikke kjøre applikasjonen hvis det ikke er en klarert applikasjon. Du kan konfigurere den til å låse en enhet ned. Slik at enheten bare kan kjøre klarerte programmer som er definert i policyene for kodeintegritet. Device Guard avhenger av virtualiseringsbasert sikkerhet (VBS).

Toppen av siden

Hvordan fungerer de?

Virtualiseringsbaserte sikkerhetsfunksjoner i Windows 10 Enterprise/Education drar nytte av en rekke sikkerhetselementer som UEFI, sikker oppstart og Trusted Platform Module (TPM) 2.0. Dell har verifisert utvalgte Precision-, Latitude- og OptiPlex-datamaskiner som må ha oppdaterte BIOS- og HVCI-kompatible drivere.

UEFI-fastvareversjon 2.3.1 eller nyere: UEFI er låst, slik at innstillingene i UEFI ikke kan endres slik at Device Guard-sikkerheten kompromitteres. (Oppstartsrekkefølge, oppstartsoppføringer, sikker oppstart, virtualiseringsutvidelser, IOMMU, Microsoft UEFI CA.)

Toppen av siden

Legitimasjonsvakt.

• Maskinvaresikkerhet: Credential Guard øker sikkerheten til avledet domenelegitimasjon ved å dra nytte av sikkerhetsfunksjonene på plattformen, inkludert sikker oppstart og virtualisering.
• Bedre beskyttelse mot avanserte vedvarende trusler: Sikring av avledet domenelegitimasjon ved hjelp av virtualiseringsbasert sikkerhet blokkerer teknikker og verktøy for tyveri av legitimasjon som brukes i mange målrettede angrep.
  • Virtualiseringsbasert sikkerhet beskytter hemmelighetene dine mot skadelig programvare som kjører i operativsystemet med administrative rettigheter.
• Administrasjon: Du kan administrere Credential Guard ved hjelp av gruppepolicy, WMI, fra en ledetekst og Windows PowerShell.

Beskytt avledet domenelegitimasjon med Credential Guard 

Toppen av siden

Device Guard.

• Bruk av tradisjonelle metoder som antivirusløsninger gir et utilstrekkelig forsvar mot nye angrep. (Signaturbasert gjenkjenning for å bekjempe skadelig programvare.) Spesielt med tusenvis av nye ondsinnede filer opprettet hver dag.
• Device Guard på Windows 10 Enterprise endres fra en modus der apper er klarert, med mindre de blokkeres av en antivirus- eller annen sikkerhetsløsning. Den endres til en modus der operativsystemet bare stoler på godkjente apper angitt av bedriften din. Du angir disse klarerte appene ved å opprette policyer for kodeintegritet.

Fire måter å administrere Device Guard på

• Gruppepolicy: Windows 10 inneholder en administrativ mal for å konfigurere og distribuere policyer for konfigurerbar kodeintegritet for organisasjonen. Denne malen gjør det også mulig å angi hvilke maskinvarebaserte sikkerhetsfunksjoner du vil aktivere og distribuere. Du kan administrere disse innstillingene sammen med eksisterende gruppepolicyobjekter (GPO-er), noe som gjør det enklere å implementere Device Guard-funksjoner.
• Microsoft System Center Configuration Manager: Du kan bruke System Center Configuration Manager til å forenkle distribusjon og administrasjon av katalogfiler. Inkludert kodeintegritetspolicyer og maskinvarebaserte sikkerhetsfunksjoner, gir den også versjonskontroll.
• Windows PowerShell
• Microsoft Intune

Toppen av siden

Ofte stilte spørsmål.

Hva er Windows 10 Enterprise SKU?
Windows 10 Enterprise SKU er en annen versjon av Windows-operativsystemet som bare er tilgjengelig for Microsoft-volumlisenskunder. De som kjøper datamaskiner med Windows 10 Professional-lisensen, og deretter oppgraderer til Windows 10 Enterprise for å få inkrementelle funksjoner. Windows 10 Enterprise inkluderer to sikkerhetsfunksjoner som ikke er tilgjengelige på Professional- eller Home-SKU-er: Credential Guard og Device Guard.

Hva er Device Guard og Credential Guard?
Device Guard og Credential Guard er de nye sikkerhetsfunksjonene som bare er tilgjengelige på Windows 10 Enterprise i dag. Device Guard er en kombinasjon av bedriftsrelaterte sikkerhetsfunksjoner for maskinvare og programvare. Når de konfigureres sammen, låser de enheten slik at den bare kan kjøre klarerte applikasjoner. Du kan ikke kjøre applikasjonen hvis det ikke er en klarert applikasjon. Credential Guard bruker virtualiseringsbasert sikkerhet for å isolere hemmeligheter (påloggingsinformasjon), slik at bare priviligert systemprogramvare kan få tilgang. Uautorisert tilgang til disse hemmelighetene kan føre til tyveri av legitimasjon. Credential Guard forhindrer angrep ved å beskytte NTLM-passordhasher og Kerberos Ticket Granting Tickets.

Hva er virtualiseringsbasert sikkerhet (VBS)?
Dette er beskyttelse som bruker hypervisoren til å beskytte kjernen og andre deler av operativsystemet. Med VBS blir standard integritetspolicy for kjernemodus eller kodeintegritetspolicyen du konfigurerer og distribuerer, mer robust.

Hvordan kontrollerer jeg at virtualiseringsbasert beskyttelse av kodeintegritet er aktivert?
Den enkleste mekanismen er å kjøre appen Systeminformasjon (msinfo32). Se etter følgende linje: "Device Guard Security Services kjører." Det skal rapportere: "Hypervisorhåndhevet kodeintegritet." Det finnes også et Windows Management Instrumentation-grensesnitt (WMI) for gjennomgang ved hjelp av administrasjonsverktøy.

Hvis en datamaskin ikke er klar for Win10 Enterprise, kan datamaskinen fortsatt kjøre på Win10 Enterprise?
Ja, så lenge en datamaskin er kjøpt med Win10 Pro. Volumlisenskunder kan alltid oppgradere datamaskinen til Win10 Enterprise. Alle trinnvise Enterprise-funksjoner fungerer fint BORTSETT fra Device Guard og Credential Guard. Dette er fordi disse to sikkerhetsfunksjonene krever at BIOS-, driver- og prosessorfunksjonene overholder Microsofts krav.

Hva er kravene for å aktivere Device Guard og Credential Guard på Dell-datamaskinene mine?
Kunder som har til hensikt å oppgradere datamaskinene sine for å aktivere Device Guard og Credential Guard, må ha følgende tre kriterier:

1. Latitude-/OptiPlex-/Precision/Venue-enheter må være klare for Win10 Enterprise. Kontroller at BIOS og driverne er oppdatert til versjonen som er Enterprise-klar. Se plattformlisten for detaljert beredskap for BIOS/HVCI-drivere per plattform.
2. Konfigurasjonen må bruke DG/CG-kompatible prosessorer. Prosessorer som er DG/CG-kompatible, betyr at de støtter Intel VT-x- og VT-d-funksjoner. Disse funksjonene er obligatoriske krav for å støtte Device Guard og Credential Guard i Windows 10. Slik kontrollerer du om prosessoren støtter Intel VT-x og VT-d. Se denne lenken til: Intel-produktspesifikasjoner®
3. Kunder må ha en Microsoft-volumlisens. Win10 Enterprise er ikke en OEM SKU. Kunder kan bare få Win10 Enterprise-biter fra Microsoft direkte.

Detaljerte krav:

Flere krav til Windows 10 1607

Du må ha en Microsoft-volumlisens for Win10 Enterprise anskaffet direkte fra Microsoft (inkludert kunder som oppgraderer fra en Windows 10 Pro SKU som Dell leverer). Dell tilbyr ikke Windows 10 Enterprise som OEM SKU.

Hvis du vil distribuere Device Guard, kan du se: Implementeringsveiledning for Windows Defender Device Guard Hvis du vil distribuere Credential Guard, kan du se: Retningslinjer for krav og implementeringsplanlegging for Credential Guard 

Hva er BIOS-innstillingene som må angis for Device Guard og Credential Guard?
Disse alternativene skal være aktivert. Kontroller at du har den nyeste BIOS-versjonen som er oppført på listen over støttede BIOS.

Hvordan validerer jeg Device Guard og Credential Guard
?Du kan bruke valideringsverktøyene Device Guard og Credential Guard

• Kontroller om datamaskinen er i stand til å kjøre Device Guard eller Credential Guard
• Deaktiver og aktiver Device Guard eller Credential Guard

Før du kjører verktøyet, må du kontrollere at du har aktivert riktig retningslinje for kjøring i PowerShell. (Se figur 1. nedenfor)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Figur 1. - Utførelsespolicy i PowerShell-eksempel.

Slik validerer du: DG_Readiness.ps1 –Capable – [DG/CG/HVCI] –AutoReboot

Slik aktiverer du: DG_Readiness.ps1 – aktiver – [DG/CG] –AutoReboot

Slik deaktiverer du: DG_Readiness.ps1 –disable -[DG/CG] -AutoReboot

Er datamaskinen min forhåndskonfigurert med Device Guard eller Credential Guard?
Nei, Dell sørger for at de verifiserte datamaskinene er fullstendig verifisert fra et BIOS-fastvare- og HVCI-driversamsvarsperspektiv. Dette er alt du trenger for å aktivere datamaskinene for enheten eller Credential Guard. Du må aktivere funksjonene basert på aktiver svitsjen ovenfor eller trinnvis fremgangsmåte i implementeringsveiledningen (se ressursdelen).

Hva er HVCI Driver Readiness, og hvordan vet jeg at jeg har de riktige driverne?
HVCI er hypervisorkodeintegritet. HVCI-tjenesten i Windows 10 avgjør om kode som kjører i kjernemodus, er sikkert utformet og pålitelig. Det tilbyr Zero Day, og sårbarhet utnytte beskyttelse evner. Det sikrer at all programvare kjører i kjernemodus, inkludert drivere, tildeler minne på en sikker måte og fungerer som de er ment.

Bruk DGReadiness-verktøyet:

Slik validerer du: DG_Readiness.ps1 –Capable –HVCI –AutoReboot

MERK: Dell har bekreftet at driveren er klar på de Dell-støttede driverne. Hvis du installerer andre tredjepartsdrivere på datamaskinen, må du sørge for at de er HVCI-kompatible. Driverkompatibilitet med Device Guard i Windows 10

Hvilke Dell-datamaskiner støtter Device Guard og Credential Guard?
For å aktivere Device Guard og Credential Guard krever Dell SkyLake- og KabyLake-generasjonsdatamaskiner både kompatible BIOS- og HVCI-kompatible drivere (Hypervisor Code Integrity).

Her er alle datamaskinene som Dell støtter denne funksjonen satt på. Tabellen nedenfor inneholder driverversjoner og BIOS-versjoner for hver plattform.

Hvis en prosessor er vPro, betyr det at de er DG/CG-kompatible?
Ja. I tillegg er noen ikke-vPro-prosessorer også DG / CG (VT-x / VT-d) kompatible. Slik kontrollerer du om prosessoren støtter Intel VT-x og VT-d. Se denne lenken til: Intel-produktspesifikasjoner®

Toppen av siden

Ressurser

• Windows 11 Enterprise Security: Credential Guard og Device Guard
• Implementeringsveiledning for Device Guard
• Maskinvarekrav for Windows Defender Credential Guard
• Maskinvarekrav for Windows Defender Device Guard

Toppen av siden