Windows 10 Enterprise-säkerhet: Credential Guard och Device Guard

Sammanfattning: "Översikt över två nya säkerhetsfunktioner i Windows 10 Enterprise Ready: Credential Guard och Device Guard."

Vad är Device Guard och Credential Guard?

Device Guard och Credential Guard är virtualiseringsbaserad säkerhet (VBS). Med LSA-funktioner (Local Security Authority) med HVCI-drivrutiner (Hypervisor Code Integrity) och ett kompatibelt BIOS med operativsystemet Windows 10 Enterprise/Education Edition. Den är endast tillgänglig för datorer som omfattas av ett Microsoft-volymlicensavtal (VLA).

Credential Guard använder virtualiseringsbaserad säkerhet för att isolera hemligheter (autentiseringsuppgifter) så att endast behöriga systemprogram är kan komma åt dem. Obehörig åtkomst till dessa hemligheter kan leda till stöldangrepp på autentiseringsuppgifter. Credential Guard förhindrar dessa attacker genom att skydda NTLM-lösenordshashar (NT LAN Manager Protocol) och Kerberos Ticket Granting Tickets Credential Guard använder virtualiseringsbaserad säkerhet för att isolera hemligheter så att endast behöriga systemprogram vara kan komma åt dem. Credential Guard är inte beroende av Device Guard.

Device Guard är en kombination av företagsrelaterade säkerhetsfunktioner för maskin- och programvara. När de är konfigurerade tillsammans låser de en enhet så att den bara kan köra pålitliga program. Om det inte är ett tillförlitligt program kan det inte köras. Du kan konfigurera den för att låsa en enhet. Så att enheten bara kan köra betrodda program som definieras i kodintegritetsprinciperna. Device Guard är beroende av virtualiseringsbaserad säkerhet (VBS).

Sidans överkant

Hur fungerar de?

Virtualiseringsbaserade säkerhetsfunktioner i Windows 10 Enterprise/utbildning utnyttjar en rad säkerhetselement som UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Dell har verifierat utvalda Precision-, Latitude- och OptiPlex-datorer som måste ha uppdaterade BIOS- och HVCI-kompatibla drivrutiner.

Fast programvara för UEFI version 2.3.1 eller senare: UEFI är låst så att inställningarna i UEFI inte kan ändras för att äventyra Device Guard-säkerheten. (Startordning, startposter, säker start, virtualiseringstillägg, IOMMU, Microsoft UEFI CA.)

Sidans överkant

Skydd av inloggningsuppgifter.

• Maskinvarusäkerhet: Credential Guard ökar säkerheten för härledda domänuppgifter genom att dra nytta av plattformens säkerhetsfunktioner, inklusive säker start och virtualisering.
• Bättre skydd mot avancerade, beständiga hot: Genom att skydda härledda domänautentiseringsuppgifter med hjälp av virtualiseringsbaserad säkerhet blockeras de tekniker och verktyg för stöld av autentiseringsuppgifter som används i många riktade attacker.
  • Virtualiseringsbaserad säkerhet skyddar dina hemligheter mot skadlig kod som körs i operativsystemet med administratörsbehörighet.
• Hanterbarhet: Du kan hantera Credential Guard med hjälp av grupprincip, WMI, från en kommandotolk och Windows PowerShell.

Skydda härledda domänautentiseringsuppgifter med Credential Guard 

Sidans överkant

Enhetsskydd.

• Att använda traditionella metoder som antiviruslösningar ger ett otillräckligt försvar mot nya attacker. (Signaturbaserad detektering för att bekämpa skadlig kod.) Särskilt med tusentals nya skadliga filer som skapas varje dag.
• Device Guard på Windows 10 Enterprise ändras från ett läge där appar är betrodda om de inte blockeras av ett antivirus eller annan säkerhetslösning. Den ändras till ett läge där operativsystemet endast litar på auktoriserade appar som angetts av ditt företag. Du anger dessa betrodda appar genom att skapa kodintegritetsprinciper.

Fyra sätt att hantera Device Guard

• Grupprincip: Windows 10 tillhandahåller en administrativ mall för att konfigurera och distribuera konfigurerbara kodintegritetsprinciper för din organisation. Med den här mallen kan du också ange vilka maskinvarubaserade säkerhetsfunktioner du vill aktivera och distribuera. Du kan hantera de här inställningarna tillsammans med dina befintliga grupprincip objekt (GPO), vilket gör det enklare att implementera Device Guard-funktioner.
• Konfigurationshanterare för Microsoft System Center: Du kan använda System Center Configuration Manager för att förenkla distribution och hantering av katalogfiler. Inklusive kodintegritetspolicyer och maskinvarubaserade säkerhetsfunktioner, ger den också versionskontroll.
• Windows PowerShell
• Microsoft Intune

Sidans överkant

Vanliga frågor och svar.

Vad är Windows 10 Enterprise SKU?
Windows 10 Enterprise SKU är en annan Windows OS-version som endast är tillgänglig för Microsofts volymlicenskunder. De som köper datorer med Windows 10 Professional-licensen och sedan uppgraderar till Windows 10 Enterprise för att få inkrementella funktioner. Windows 10 Enterprise innehåller två säkerhetsfunktioner som inte är tillgängliga på Professional eller Home SKU:er: Credential Guard och Device Guard.

Vad är Device Guard och Credential Guard?
Device Guard och Credential Guard är de nya säkerhetsfunktionerna som bara finns på Windows 10 Enterprise idag. Device Guard är en kombination av företagsrelaterade säkerhetsfunktioner för maskin- och programvara. När de är konfigurerade tillsammans låser de en enhet så att den bara kan köra pålitliga program. Om det inte är ett tillförlitligt program kan det inte köras. Credential Guard använder virtualiseringsbaserad säkerhet för att isolera hemligheter (autentiseringsuppgifter) så att endast behöriga systemprogram är kan komma åt dem. Obehörig åtkomst till dessa hemligheter kan leda till stöldangrepp på autentiseringsuppgifter. Credential Guard förhindrar dessa attacker genom att skydda NTLM-lösenordshashar och Kerberos biljettbeviljande biljetter.

Vad är virtualiseringsbaserad säkerhet (VBS)?
Det här är ett skydd som använder hypervisor-programmet för att skydda kerneln och andra delar av operativsystemet. Med VBS-standardkodintegritetsprincipen för kernelläge eller kodintegritetsprincipen som du konfigurerar och distribuerar blir mer robust.

Hur kontrollerar jag att virtualiseringsbaserat skydd av kodintegritet är aktiverat?
Den enklaste mekanismen är att köra appen Systeminformation (msinfo32). Leta efter följande rad: "Device Guard-säkerhetstjänster körs." Den bör rapportera följande: "Hypervisor enforced Code Integrity." Det finns också ett WMI-gränssnitt (Windows Management Instrumentation) för granskning med hjälp av hanteringsverktyg.

Om en dator inte är Win10 Enterprise Ready, kan datorn fortfarande köras på Win10 Enterprise?
Ja, så länge en dator köps med Win10 Pro. Volymlicenskunder kan alltid uppgradera datorn till Win10 Enterprise. Alla inkrementella Enterprise-funktioner fungerar bra FÖRUTOM Device Guard och Credential Guard. Det beror på att dessa två säkerhetsfunktioner kräver att BIOS-, drivrutins- och processorfunktionerna är kompatibla med Microsofts krav.

Vilka är kraven för att aktivera Device Guard och Credential Guard på mina Dell-datorer?
Kunder som tänker uppgradera sina datorer för att aktivera Device Guard och Credential Guard kräver följande tre kriterier:

1. Latitude-/OptiPlex-/Precision-/Venue-enheter måste vara Win10 Enterprise Ready. Se till att BIOS och drivrutiner är uppdaterade till den version som är företagsklar. Se plattformslistan för mer information om BIOS/HVCI-drivrutiners beredskap per plattform.
2. Konfigurationen måste använda DG/CG-kompatibla processorer. Processorer som är DG/CG-kompatibla innebär att de stöder Intel VT-x- och VT-d-funktioner. Dessa funktioner är obligatoriska krav för att stödja Device Guard och Credential Guard på Windows 10. Kontrollera om processorn har stöd för Intel VT-x och VT-d. Se den här länken för att: Intels® produktspecifikationer
3. Kunder måste ha en Microsoft-volymlicens. Win10 Enterprise är inte en OEM-SKU. Kunder kan bara få Win10 Enterprise-bitar direkt från Microsoft.

Detaljerade krav:

Fler krav för Windows 10 1607

Du måste ha en Microsoft-volymlicens för Win10 Enterprise som införskaffas direkt från Microsoft (inklusive kunder som uppgraderar från en Windows 10 Pro-SKU som Dell levererar). Dell tillhandahåller inte Windows 10 Enterprise som OEM-artikel.

Om du vill distribuera Device Guard kan du läsa: Distributionsmanual för Windows Defender Device Guard Information om hur du distribuerar Credential Guard finns i: Krav och riktlinjer för distributionsplanering för Credential Guard 

Vilka BIOS-inställningar måste ställas in för Device Guard och Credential Guard?
De här alternativen bör vara aktiverade. Se till att du har den senaste BIOS-versionen som finns med i listan över BIOS som stöds.

Hur validerar jag Device Guard och Credential Guard?
Du kan använda valideringsverktyget Device Guard och Credential Guard

• Kontrollera om datorn kan köra Device Guard eller Credential Guard
• Avaktivera och aktivera Device Guard eller Credential Guard

Innan du kör verktyget kontrollerar du att du har aktiverat rätt körningsprincip i PowerShell. (Se figur 1. Nedan)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Bild 1. - Körningsprincip i PowerShell-exempel.

Så här validerar du: DG_Readiness.ps1 –Kapabel – [DG/CG/HVCI] –AutoReboot

Så här aktiverar du: DG_Readiness.ps1 –Aktivera –[DG/CG] –Automatisk omstart

Så här inaktiverar du: DG_Readiness.ps1 –Inaktivera –[DG/CG] –AutoReboot

Är min dator förkonfigurerad med Device Guard eller Credential Guard?
Nej, Dell garanterar att de datorer som verifieras är fullständigt verifierade ur ett perspektiv av överensstämmelse med den fasta programvaran för BIOS och HVCI-drivrutiner. Det här är allt du behöver för att aktivera datorerna för enheten eller Credential Guard. Du måste aktivera funktionerna baserat på aktiveringsknappen ovan eller den stegvisa proceduren i distributionsguiden (se resursavsnittet).

Vad är HVCI Driver Readiness och hur vet jag att jag har rätt förare?
HVCI står för Hypervisor Code Integrity. HVCI-tjänsten i Windows 10 avgör om kod som körs i kernelläge är säkert utformad och tillförlitlig. Den erbjuder Zero Day- och sårbarhetsskydd. Det säkerställer att all programvara körs i kernelläge, inklusive drivrutiner, allokerar minne på ett säkert sätt och fungerar som de är avsedda.

Använd DGReadiness-verktyget:

Så här validerar du: DG_Readiness.ps1 –Kapabel –HVCI –AutoReboot

OBS! Dell har verifierat att drivrutinerna är förberedda på de drivrutiner som stöds. Om du installerar andra drivrutiner från tredje part på datorn måste du se till att de är HVCI-kompatibla. Drivrutinskompatibilitet med Device Guard i Windows 10

Vilka Dell-datorer har stöd för Device Guard och Credential Guard?
För att aktivera Device Guard och Credential Guard kräver Dell SkyLake- och KabyLake-generationsdatorer både kompatibla drivrutiner som är kompatibla med BIOS och HVCI (Hypervisor Code Integrity).

Här är alla datorer som Dell har supporten för den här funktionen inställd på. I tabellen nedan visas drivrutinsversionerna och BIOS-versionerna för varje plattform.

Om en processor är vPro, betyder det att de är DG/CG-kapabla?
Ja. Dessutom är vissa processorer som inte är vPro också DG/CG (VT-x/VT-d)-kompatibla. Kontrollera om processorn har stöd för Intel VT-x och VT-d. Se den här länken för att: Intels® produktspecifikationer

Sidans överkant

Resurser

• Windows 11 Enterprise-säkerhet: Credential Guard och Device Guard
• Distributionsmanual för enhetsskydd
• Maskinvarukrav för Windows Defender Credential Guard
• Maskinvarukrav för Windows Defender Device Guard

Sidans överkant