Windows 10 Enterprise-sikkerhed: Credential Guard og Device Guard

Overblik: "Oversigt over to nye Windows 10 Enterprise Ready Security-funktioner: Credential Guard og Device Guard."

Hvad er Device Guard og Credential Guard?

Device Guard og Credential Guard er virtualiseringsbaseret sikkerhed (VBS). Med LSA-funktioner (Local Security Authority) ved hjælp af HVCI-drivere (Hypervisor Code Integrity) og en kompatibel BIOS med Windows 10 Enterprise/Education Edition-operativsystemet. Den er kun tilgængelig for computere, der er dækket af en Microsoft-volumenlicensaftale (VLA).

Credential Guard bruger virtualiseringsbaseret sikkerhed til at isolere hemmeligheder (legitimationsoplysninger), så kun privilegeret systemsoftware har adgang til dem. Uautoriseret adgang til disse hemmeligheder kan føre til forsøg på tyveri af legitimationsoplysninger. Credential Guard forhindrer de angreb ved at beskytte NT LAN Manager-adgangskodehashes (NTLM) og Kerberos Ticket Granting Tickets. Credential Guard bruger virtualiseringsbaseret sikkerhed til at isolere hemmeligheder, så kun privilegeret systemsoftware har adgang til dem. Credential Guard er ikke afhængig af Device Guard.

Device Guard er en kombination af virksomhedsrelaterede hardware- og softwaresikkerhedsfunktioner. Når de er konfigureret sammen, låser de en enhed, så den kun kan køre pålidelige applikationer. Hvis det ikke er et program, der er tillid til, kan det ikke køre. Du kan konfigurere den til at låse en enhed ned. Så enheden kun kan køre pålidelige programmer, der er defineret i dine kodeintegritetspolitikker. Device Guard afhænger af virtualiseringsbaseret sikkerhed (VBS).

Til toppen af siden

Hvordan fungerer de?

Virtualiseringsbaserede sikkerhedsfunktioner i Windows 10 Enterprise/Education udnytter en række sikkerhedselementer som UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Dell har verificeret udvalgte Precision-, Latitude- og OptiPlex-computere, der skal have opdaterede BIOS- og HVCI-kompatible drivere.

UEFI-firmwareversion 2.3.1 eller nyere: UEFI er låst, så indstillingerne i UEFI ikke kan ændres for at kompromittere Device Guard-sikkerheden. (Startrækkefølge, startposter, sikker start, virtualiseringsudvidelser, IOMMU, Microsoft UEFI CA.)

Til toppen af siden

Legitimationsbeskyttelse.

• Hardwaresikkerhed: Credential Guard øger sikkerheden for afledte domænelegitimationsoplysninger ved at udnytte platformens sikkerhedsfunktioner, herunder Secure Boot og virtualisering.
• Bedre beskyttelse mod avancerede vedvarende trusler: Sikring af afledte domænelegitimationsoplysninger ved hjælp af virtualiseringsbaseret sikkerhed blokerer teknikker og værktøjer til tyveri af legitimationsoplysninger, der bruges i mange målrettede angreb.
  • Virtualiseringsbaseret sikkerhed beskytter dine hemmeligheder mod malware, der kører i operativsystemet med administratorrettigheder.
• Administration: Du kan administrere Credential Guard ved hjælp af Group Policy, WMI, fra en kommandoprompt og Windows PowerShell.

Beskyt afledte domæneloginoplysninger med Credential Guard 

Til toppen af siden

Device Guard.

• Brug af traditionelle metoder som antivirusløsninger giver et utilstrækkeligt forsvar mod nye angreb. (Signaturbaseret registrering til bekæmpelse af malware.) Især med tusindvis af nye ondsindede filer, der oprettes hver dag.
• Device Guard på Windows 10 Enterprise skifter fra en tilstand, hvor apps er tillid til, medmindre de er blokeret af en antivirus- eller anden sikkerhedsløsning. Den skifter til en tilstand, hvor operativsystemet kun har tillid til godkendte apps, der er indstillet af din virksomhed. Du angiver disse pålidelige apps ved at oprette politikker for kodeintegritet.

Fire måder at administrere Device Guard på

• Gruppepolitik: Windows 10 indeholder en administrativ skabelon til konfiguration og implementering af de konfigurerbare kodeintegritetspolitikker for din organisation. Denne skabelon giver dig også mulighed for at angive, hvilke hardwarebaserede sikkerhedsfunktioner du vil aktivere og installere. Du kan administrere disse indstillinger sammen med dine eksisterende gruppepolitikobjekter (GPO'er), hvilket gør det nemmere at implementere Device Guard-funktioner.
• Microsoft System Center Configuration Manager: Du kan bruge System Center Configuration Manager til at forenkle installation og administration af katalogfiler. Inklusive kodeintegritetspolitikker og hardwarebaserede sikkerhedsfunktioner giver det også versionskontrol.
• Windows PowerShell
• Microsoft Intune

Til toppen af siden

Ofte stillede spørgsmål.

Hvad er Windows 10 Enterprise SKU?
Windows 10 Enterprise SKU er en anden Windows OS-version, der kun er tilgængelig for Microsoft-volumenlicenskunder. Dem, der køber computere med Windows 10 Professional-licensen og derefter opgraderer til Windows 10 Enterprise for at få trinvise funktioner. Windows 10 Enterprise indeholder to sikkerhedsfunktioner, der ikke er tilgængelige på Professional- eller Home-SKU'er: Credential Guard og Device Guard.

Hvad er Device Guard og Credential Guard?
Device Guard og Credential Guard er nye sikkerhedsfunktioner, der i dag kun er tilgængelige på Windows 10 Enterprise. Device Guard er en kombination af virksomhedsrelaterede hardware- og softwaresikkerhedsfunktioner. Når de er konfigureret sammen, låser de en enhed, så den kun kan køre pålidelige applikationer. Hvis det ikke er et program, der er tillid til, kan det ikke køre. Credential Guard bruger virtualiseringsbaseret sikkerhed til at isolere hemmeligheder (legitimationsoplysninger), så kun privilegeret systemsoftware har adgang til dem. Uautoriseret adgang til disse hemmeligheder kan føre til forsøg på tyveri af legitimationsoplysninger. Credential Guard forhindrer de angreb ved at beskytte NTLM-adgangskodehashes og Kerberos Ticket Granting Tickets.

Hvad er virtualiseringsbaseret sikkerhed (VBS)?
Dette er beskyttelse, der bruger hypervisoren til at hjælpe med at beskytte kernen og andre dele af operativsystemet. Med VBS bliver kernetilstandskodens integritetspolitik eller den kodeintegritetspolitik, du konfigurerer og implementerer, mere robust.

Hvordan kontrollerer jeg, at virtualiseringsbaseret beskyttelse af kodeintegritet er aktiveret?
Den enkleste mekanisme er at køre appen Systemoplysninger (msinfo32). Se efter følgende linje: "Device Guard Security Services kører." Den skal rapportere: "Hypervisor-håndhævet kodeintegritet." Der er også en Windows Management Instrumentation-grænseflade (WMI) til gennemgang ved hjælp af administrationsværktøjer.

Hvis en computer ikke er Win10 Enterprise klar, kan den computer så stadig køre på Win10 Enterprise?
Ja, så længe en computer er købt med Win10 Pro. Volumenlicenskunder kan altid opgradere computeren til Win10 Enterprise. Alle virksomhedens trinvise funktioner fungerer fint UNDTAGEN Device Guard og Credential Guard. Det skyldes, at disse to sikkerhedsfunktioner kræver, at BIOS-, driver- og processorfunktioner er kompatible med Microsofts krav.

Hvad er kravene for at aktivere Device Guard og Credential Guard på mine Dell-computere?
Kunder, der ønsker at opgradere deres computere for at aktivere Device Guard og Credential Guard, skal opfylde følgende tre kriterier:

1. Latitude-/OptiPlex-/Precision-/Venue-enheder skal være Win10 Enterprise Ready. Sørg for, at BIOS og drivere er opdateret til den version, der er kompatibel med Enterprise Ready. Se platformslisten for at få detaljerede oplysninger om BIOS/HVCI-driveres parathed pr. platform.
2. Konfigurationen skal bruge DG/CG-kompatible processorer. Processorer, der er DG/CG-kompatible, betyder, at de understøtter Intel VT-x- og VT-d-funktioner. Disse funktioner er obligatoriske krav til understøttelse af Device Guard og Credential Guard på Windows 10. Sådan kontrollerer du, om din processor understøtter Intel VT-x og VT-d. Se dette link til: Intel-produktspecifikationer®
3. Kunder skal have en Microsoft-volumenlicens. Win10 Enterprise er ikke et OEM-varenummer. Kunder kan kun få Win10 Enterprise-bits direkte fra Microsoft.

Detaljerede krav:

Flere krav til Windows 10 1607

Du skal have en Microsoft-volumenlicens til Win10 Enterprise, der er købt direkte fra Microsoft (herunder kunder, der opgraderer fra en Windows 10 Pro-SKU, som Dell leverer). Dell leverer ikke Windows 10 Enterprise som OEM-varenummer.

Hvis du vil installere Device Guard, skal du se: Windows Defender Device Guard – Installationsvejledning Hvis du vil installere Credential Guard, skal du se: Retningslinjer for krav og implementeringsplanlægning for Credential Guard 

Hvilke BIOS-indstillinger skal angives for Device Guard og Credential Guard?
Disse indstillinger skal være aktiveret. Sørg for, at du har den nyeste BIOS, som er angivet på listen over understøttede BIOS.

Hvordan valideres Device Guard og Credential Guard?
Du kan bruge valideringsværktøjet Device Guard og Credential Guard

• Kontroller, om computeren er i stand til at køre Device Guard eller Credential Guard
• Deaktiver og aktivér Device Guard eller Credential Guard

Før du kører værktøjet, skal du sikre dig, at du har aktiveret den korrekte udførelsespolitik i PowerShell. (Se figur 1. nedenfor)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Figur 1. - Udførelsespolitik i PowerShell-eksempel.

Sådan valideres følgende: DG_Readiness.ps1 –kompatibel -[DG/CG/HVCI] -AutoReboot

Sådan aktiverer du: DG_Readiness.ps1 –aktiver -[DG/CG] –Automatisk genstart

Sådan deaktiverer du: DG_Readiness.ps1 –Deaktiver -[DG/CG] -AutoReboot

Er min computer forudkonfigureret med Device Guard eller Credential Guard?
Nej, Dell sikrer, at de computere, der kontrolleres, er fuldt verificerede ud fra et BIOS-firmware- og HVCI-driveroverholdelsesperspektiv. Dette er alt, hvad du behøver for at aktivere computerne til enheden eller Credential Guard. Du skal aktivere funktionerne baseret på aktiveringsswitchen ovenfor eller den trinvise procedure i implementeringsvejledningen (se afsnittet ressourcer).

Hvad er HVCI Driver Readiness, og hvordan ved jeg, at jeg har de rigtige drivere?
HVCI er Hypervisor Code Integrity. HVCI-tjenesten i Windows 10 bestemmer, om kode, der kører i kernetilstand, er sikkert designet og pålidelig. Det tilbyder Zero Day og sårbarhedsudnyttelsesbeskyttelsesfunktioner. Det sikrer, at al software kører i kernetilstand, herunder drivere, allokerer hukommelse sikkert og fungerer efter hensigten.

Brug DGReadiness-værktøjet:

Sådan valideres følgende: DG_Readiness.ps1 –Kompatibel –HVCI –Automatisk genstart

BEMÆRK: Dell har kontrolleret, at driveren er klar til brug for de Dell-understøttede drivere. Hvis du installerer andre tredjepartsdrivere på computeren, skal du sikre dig, at de er HVCI-kompatible. Driverkompatibilitet med Device Guard i Windows 10

Hvilke Dell-computere understøtter Device Guard og Credential Guard?
For at aktivere Device Guard og Credential Guard kræver Dell SkyLake- og KabyLake-generationscomputere både kompatible BIOS- og HVCI-kompatible drivere (Hypervisor Code Integrity).

Her er alle de computere, som Dell understøtter denne funktion på. Tabellen herunder viser driverversionerne og BIOS-versionerne for hver platform.

Hvis en processor er vPro, betyder det så, at de er DG/CG-kompatible?
Ja. Derudover er nogle ikke-vPro-processorer også kompatible med DG/CG (VT-x/VT-d). Sådan kontrollerer du, om din processor understøtter Intel VT-x og VT-d. Se dette link til: Intel-produktspecifikationer®

Til toppen af siden

Ressourcer

• Windows 11 Enterprise-sikkerhed: Credential Guard og Device Guard
• Device Guard – Implementeringsvejledning
• Hardwarekrav til Windows Defender Credential Guard
• Hardwarekrav til Windows Defender Device Guard

Til toppen af siden