Windows 10 企業版安全性：Credential Guard 和 Device Guard

摘要：「兩種全新 Windows 10 企業版就緒安全性功能概觀：Credential Guard 和 Device Guard。」

什麼是 Device Guard 和 Credential Guard？

Device Guard 和 Credential Guard 是虛擬化安全性 (VBS) 功能。透過 Local Security Authority (LSA) 功能，在 Windows 10 企業版/教育版作業系統使用符合 Hypervisor 程式碼完整性 (HVCI) 的驅動程式與合規的 BIOS。僅適用於 Microsoft 大量授權合約 (VLA) 所涵蓋的電腦。

Credential Guard 使用虛擬化安全性來隔離機密內容 (認證)，因此只有具權限的系統軟體才能存取。未經授權存取這些機密內容可能導致竊取認證的攻擊。Credential Guard 可藉由保護 NT LAN Manager 協定 (NTLM) 密碼雜湊和 Kerberos Ticket Granting 工單來避免此類攻擊。Credential Guard 使用虛擬化安全性來隔離機密內容，因此只有具權限的系統軟體才能存取。Credential Guard 不需要依賴於 Device Guard。

Device Guard 結合了企業相關的軟硬體安全性功能。當它們一起設定時，便可鎖定裝置，使其只能執行受信任的應用程式。如果不是受信任的應用程式，便無法執行。您可以設定它來鎖定裝置。讓裝置只能執行在您的程式碼完整性原則中所定義的受信任應用程式。Device Guard 取決於虛擬化安全性 (VBS)。

頁面頂端

它們的運作方式為何？

Windows 10 企業版/教育版的虛擬化安全性功能利用一系列的安全性元素，例如 UEFI、安全開機、可信賴平台模組 (TPM) 2.0 等。Dell 已驗證特定必須更新 BIOS 和 HVCI 合規驅動程式的 Precision、Latitude 和 OptiPlex 電腦。

UEFI 韌體版本 2.3.1 或更新版本：UEFI 已鎖定，因此無法透過變更 UEFI 中的設定損害 Device Guard 安全性。(開機順序、開機項目、安全開機、虛擬化擴充功能、IOMMU、Microsoft UEFI CA)。

頁面頂端

Credential Guard。

• 硬體安全性：Credential Guard 運用包括安全開機和虛擬化在內的平台安全性功能，提升衍生網域認證的安全性。
• 針對進階持續性威脅提供更佳的保護：使用虛擬化安全性保護衍生網域認證，可封鎖許多目標性攻擊中使用的認證竊取攻擊技巧和工具。
  • 虛擬化安全性可保護您的機密內容，避免遭到作業系統中執行之具有管理權限的惡意軟體攻擊。
• 管理功能：您可以使用群組原則、WMI，從命令提示字元和 Windows PowerShell 來管理 Credential Guard。

使用 Credential Guard 保護衍生網域認證 

頁面頂端

Device Guard。

• 使用防毒解決方案等傳統方法，將無法針對新攻擊提供足夠的防禦。(透過以簽章為基礎的偵測功能對抗惡意軟體。)特別是每天有數千個新惡意檔案被建立。
• Windows 10 企業版上的 Device Guard 從除非被防毒或其他安全解決方案封鎖，否則即信任應用程式的模式改變。其變更為作業系統僅會信任企業所設定之授權應用程式的模式。您可透過建立程式碼完整性原則，以指定這些受信任的應用程式。

管理 Device Guard 的四種方式

• 群組原則：Windows 10 提供系統管理範本，可讓您為組織設定和部署可設定的程式碼完整性原則。此範本也可讓您指定要啟用和部署的硬體式安全功能。您可以連同現有的群組原則物件 (GPO) 一起管理這些設定，讓實作 Device Guard 功能變得更簡單。
• Microsoft System Center Configuration Manager：您可以使用 System Center Configuration Manager 簡化部署和管理目錄檔案。包括程式碼完整性原則和硬體式安全功能，亦提供版本控制。
• Windows PowerShell
• Microsoft Intune

頁面頂端

常見問題。

什麼是 Windows 10 企業版 SKU？
Windows 10 企業版 SKU 是另一種 Windows 作業系統版本，僅適用於 Microsoft 大量授權客戶。使用者購買具有 Windows 10 專業版授權的電腦，然後升級至 Windows 10 企業版，以取得增量功能。Windows 10 企業版包含兩種專業版或家用版 SKU 所不具備的安全性功能：Credential Guard 和 Device Guard。

什麼是 Device Guard 和 Credential Guard？
Device Guard 和 Credential Guard 是新的安全性功能，目前僅 Windows 10 企業版有提供。Device Guard 結合了企業相關的軟硬體安全性功能。當它們一起設定時，便可鎖定裝置，使其只能執行受信任的應用程式。如果不是受信任的應用程式，便無法執行。Credential Guard 使用虛擬化安全性來隔離機密內容 (認證)，因此只有具權限的系統軟體才能存取。未經授權存取這些機密內容可能導致竊取認證的攻擊。Credential Guard 可藉由保護 NTLM 密碼雜湊和 Kerberos Ticket Granting 工單來避免此類攻擊。

什麼是虛擬化安全性 (VBS)？
這是使用 Hypervisor 來保護作業系統核心和其他部分的保護功能。透過 VBS，可讓預設的核心模式代碼完整性原則，或您設定和部署的程式碼完整性原則變得更加健全。

如何確認已啟用虛擬化程式碼完整性保護？
最簡單的機制是執行系統資訊應用程式 (msinfo32)。尋找下列的行：「Device Guard Security Services Running.」應會報告：「Hypervisor enforced Code Integrity.」此外還有一個 Windows Management Instrumentation (WMI) 介面，可使用管理工具進行檢閱。

如果電腦並非 Win10 企業版就緒，該電腦是否仍可執行 Win10 企業版？
是，只要購買電腦時包含 Win10 專業版即可。大量授權客戶可隨時將該電腦升級至 Win10 企業版。除了 Device Guard 和 Credential Guard 之外，所有企業版的增量功皆可正常運作。這是因為這兩個安全性功能需要 BIOS、驅動程式和處理器功能符合 Microsoft 的要求才能運作。

若要在我的 Dell 電腦上啟用 Device Guard 和 Credential Guard，有什麼樣的需求？
若客戶計畫升級電腦以啟用 Device Guard 和 Credential Guard，需要下列三項條件：

1. Latitude/OptiPlex/Precision/Venue 裝置必須為 Win10 企業版就緒。確定 BIOS 和驅動程式已更新為企業版就緒的版本。請參閱平台清單，瞭解每個平台的 BIOS/HVCI 驅動程式就緒度。
2. 組態必須使用具備 DG/CG 功能的處理器。具備 DG/CG 功能的處理器表示其支援 Intel VT-x 和 VT-d 功能。這些功能是在 Windows 10 上支援 Device Guard 和 Credential Guard 的必要條件。若要檢查您的處理器是否支援 Intel VT-x 和 VT-d。請參閱此連結：Intel® 產品規格
3. 客戶必須擁有 Microsoft 大量授權；Win10 企業版並非 OEM SKU。客戶只能直接從 Microsoft 取得 Win10 企業版。

詳細需求：

Windows 10 1607 的更多需求

您必須擁有直接從 Microsoft 取得的 Win10 企業版 Microsoft 大量授權 (包括從 Dell 隨附 Windows 10 專業版 SKU 升級的客戶)。Dell 不以 OEM SKU 提供 Windows 10 企業版。

如果您要部署 Device Guard，請參閱：Windows Defender Device Guard 部署指南 若要部署 Credential Guard，請參閱：Credential Guard 的需求與部署規劃指南 

需要為 Device Guard 和 Credential Guard 設定哪些 BIOS 設定？
應啟用這些選項。請確定您擁有列於支援 BIOS 清單內的最新 BIOS。

如何驗證 Device Guard 和 Credential Guard？
您可以使用Device Guard 和 Credential Guard 驗證工具

• 檢查電腦是否能夠執行 Device Guard 或 Credential Guard
• 停用並啟用 Device Guard 或 Credential Guard

執行此工具之前，請確定您已在 PowerShell 中啟用正確的執行原則。（請參閱下方的下面）

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

圖 1.- PowerShell 中的執行原則範例。

若要驗證：DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

若要啟用：DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

若要停用：DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

我的電腦是否已預先設定 Device Guard 或 Credential Guard？
否，Dell 會確保電腦的認證經過 BIOS 韌體和 HVCI 驅動程式相容性的角度完整驗證。以上為讓電腦能啟用 Device Guard 或 Credential Guard 所需的一切。您必須根據上方的啟用切換值啟用功能，或按照部署指南中的逐步程序操作 (請參閱「資源」一節)。

什麼是 HVCI 驅動程式就緒度，以及我該如何確定我擁有正確的驅動程式？
HVCI 代表 Hypervisor 程式碼完整性。Windows 10 中的 HVCI 服務可判斷在核心模式下執行的程式碼是否具備安全設計，且值得信賴。它可提供零時差和漏洞利用保護功能。這可確保在核心內運作的所有軟體 (包括驅動程式) 都能安全地配置記憶體，並按照預期運作。

使用 DGReadiness 工具：

若要驗證：DG_Readiness.ps1 –Capable –HVCI -AutoReboot

注意：Dell 已驗證 Dell 所支援之驅動程式的驅動程式就緒度。如果您在電腦上安裝任何其他第三方驅動程式，您必須確定這些驅動程式符合 HVCI 規範。Windows 10 中的 Device Guard 驅動程式相容性

哪些 Dell 電腦支援 Device Guard 和 Credential Guard？
若要啟用 Device Guard 和 Credential Guard，Dell SkyLake 和 KabyLake 世代的電腦需要相容 BIOS 和符合 Hypervisor 程式碼完整性 (HVCI) 規範的驅動程式。

以下是支援此功能集的所有 Dell 電腦。下表列出每個平台的驅動程式版本和 BIOS 版本。

如果處理器是 vPro，這是否表示其具備 DG/CG 功能？
是的。此外，部分非 vPro 處理器具備 DG/CG (VT-x/VT-d) 功能。若要檢查您的處理器是否支援 Intel VT-x 和 VT-d。請參閱此連結：Intel® 產品規格

頁面頂端

資源

• Windows 11 企業版安全性：Credential Guard 和 Device Guard
• Device Guard 部署指南
• Windows Defender Credential Guard 硬體需求
• Windows Defender Device Guard 硬體需求

頁面頂端