Безпека Windows 10 Enterprise: Credential Guard і Device Guard

Зміст: »Огляд двох нових функцій Windows 10 Enterprise Ready Security: Credential Guard і Device Guard».

Що таке Device Guard і Credential Guard?

Device Guard і Credential Guard – це безпека на основі віртуалізації (VBS). З функціями Local Security Authority (LSA) з використанням драйверів Hypervisor Code Integrity (HVCI) і сумісного BIOS з операційною системою Windows 10 Enterprise/Education Edition. Вона доступна лише для комп'ютерів, на які поширюється ліцензійна угода Microsoft Volume License Agreement (VLA).

Credential Guard використовує безпеку на основі віртуалізації для ізоляції секретів (облікових даних), щоб лише привілейоване системне програмне забезпечення могло отримати доступ до них. Несанкціонований доступ до цих секретів може призвести до атак із викрадення облікових даних. Credential Guard запобігає цим атакам, захищаючи хеші паролів протоколу NT LAN Manager (NTLM) і квитки Kerberos Ticket Granting. Credential Guard використовує безпеку на основі віртуалізації для ізоляції секретів, щоб лише привілейоване системне програмне забезпечення могло отримати доступ до них. Credential Guard не залежить від Device Guard.

Device Guard – це комбінація апаратних і програмних функцій безпеки, пов'язаних із підприємством. Коли вони налаштовані разом, вони блокують пристрій, щоб він міг запускати лише надійні програми. Якщо це не надійна програма, вона не зможе запуститися. Ви можете налаштувати його на блокування пристрою. Щоб на пристрої могли запускатися тільки довірені програми, які визначені в політиках цілісності вашого коду. Device Guard залежить від безпеки на основі віртуалізації (VBS).

На початок сторінки

Як вони працюють?

Функції безпеки Windows 10 Enterprise/Education на основі віртуалізації використовують низку елементів безпеки, таких як UEFI, безпечне завантаження, модуль довірчої платформи (TPM) 2.0. Dell перевірила вибрані комп'ютери Precision, Latitude і OptiPlex, які повинні мати оновлені драйвери, сумісні з BIOS і HVCI.

Версія прошивки UEFI 2.3.1 або новіша: UEFI заблоковано, тому налаштування в UEFI не можуть бути змінені для загрози безпеці Device Guard. (Порядок завантаження, Завантажувальні записи, Безпечне завантаження, Розширення віртуалізації, IOMMU, Microsoft UEFI CA.)

На початок сторінки

Посвідчення охоронця.

• Апаратна безпека: Credential Guard підвищує безпеку похідних облікових даних домену, використовуючи переваги функцій безпеки платформи, включаючи безпечне завантаження та віртуалізацію.
• Кращий захист від передових постійних загроз: Захист похідних облікових даних домену за допомогою безпеки на основі віртуалізації блокує методи атак і інструменти крадіжки облікових даних, які використовуються в багатьох цілеспрямованих атаках.
  • Безпека на основі віртуалізації захищає ваші секрети від шкідливого програмного забезпечення, запущеного в операційній системі з правами адміністратора.
• Керованості: Ви можете керувати Credential Guard за допомогою групової політики, WMI з командного рядка та Windows PowerShell.

Захистіть облікові дані похідних доменів за допомогою Credential Guard 

На початок сторінки

Охорона пристрою.

• Використання традиційних методів, таких як антивірусні рішення, забезпечує недостатній захист від нових атак. (Виявлення на основі сигнатур для боротьби зі шкідливим програмним забезпеченням.) Особливо з тисячами нових шкідливих файлів, які створюються щодня.
• Device Guard у Windows 10 Enterprise змінюється з режиму, коли програми є надійними, якщо вони не заблоковані антивірусом або іншим рішенням безпеки. Він змінюється на режим, коли операційна система довіряє лише авторизованим програмам, встановленим вашим підприємством. Ви визначаєте ці надійні програми, створюючи політики цілісності коду.

Чотири способи керування Device Guard

• Групова політика: Windows 10 надає адміністративний шаблон для налаштування та розгортання налаштовуваних політик цілісності коду для вашої організації. Цей шаблон також дозволяє вказати, які апаратні функції безпеки ви хотіли б увімкнути та розгорнути. Ви можете керувати цими налаштуваннями разом із наявними об'єктами групової політики (GPO), що спрощує впровадження функцій Device Guard.
• Менеджер конфігурації Microsoft System Center: Диспетчер конфігурації System Center можна використовувати для спрощення розгортання та керування файлами каталогу. Включаючи політики цілісності коду та апаратні функції безпеки, він також забезпечує контроль версій.
• Windows PowerShell
• Microsoft Intune

На початок сторінки

Поширені запитання.

Що таке артикул Windows 10 Enterprise?
Артикул Windows 10 Enterprise – це інша версія ОС Windows, яка доступна лише для клієнтів корпоративної ліцензії Microsoft. Ті, хто купує комп'ютери з ліцензією Windows 10 Professional, а потім оновлює систему до Windows 10 Enterprise для отримання додаткових функцій. Windows 10 Enterprise містить дві функції безпеки, недоступні в артикулах Professional або Home: Credential Guard і Device Guard.

Що таке Device Guard і Credential Guard?
Device Guard і Credential Guard – це нові функції безпеки, які сьогодні доступні лише у Windows 10 Enterprise. Device Guard – це комбінація апаратних і програмних функцій безпеки, пов'язаних із підприємством. Коли вони налаштовані разом, вони блокують пристрій, щоб він міг запускати лише надійні програми. Якщо це не надійна програма, вона не зможе запуститися. Credential Guard використовує безпеку на основі віртуалізації для ізоляції секретів (облікових даних), щоб лише привілейоване системне програмне забезпечення могло отримати доступ до них. Несанкціонований доступ до цих секретів може призвести до атак із викрадення облікових даних. Credential Guard запобігає цим атакам, захищаючи хеші паролів NTLM і квитки Kerberos Ticketing Granting.

Що таке безпека на основі віртуалізації (VBS)?
Це захист, який використовує гіпервізор для захисту ядра та інших частин ОС. З VBS політика цілісності коду в режимі ядра за замовчуванням або політика цілісності коду, яку ви налаштовуєте та розгортаєте, стає більш надійною.

Як переконатися, що ввімкнено функцію захисту цілісності коду на основі віртуалізації?
Найпростішим механізмом є запуск програми «Інформація про систему» (msinfo32). Зверніть увагу на наступний рядок: «Пристрій охороняє роботу служб безпеки». У ньому слід повідомляти: «Гіпервізор забезпечив цілісність коду». Також є інтерфейс Windows Management Instrumentation (WMI) для перегляду за допомогою інструментів керування.

Якщо комп'ютер не підтримує Win10 Enterprise Ready, чи може цей комп'ютер працювати на Win10 Enterprise?
Так, за умови, що комп'ютер придбано з Win10 Pro. Клієнти з корпоративною ліцензією завжди можуть оновити цей комп'ютер до Win10 Enterprise. Усі інкрементні функції Enterprise працюють нормально, КРІМ Device Guard та Credential Guard. Це пов'язано з тим, що ці дві функції безпеки вимагають, щоб BIOS, драйвер і функції процесора відповідали вимогам Microsoft.

Які вимоги для ввімкнення Device Guard і Credential Guard на моїх комп'ютерах Dell?
Клієнтам, які мають намір оновити свої комп'ютери для ввімкнення Device Guard і Credential Guard, потрібні такі три критерії:

1. Пристрої Latitude/OptiPlex/Precision/Venue мають бути сумісні з Win10 Enterprise. Переконайтеся, що BIOS і драйвери оновлено до версії, яка підтримує Enterprise Ready. Перегляньте список платформ для детальної готовності драйверів BIOS/HVCI для кожної платформи.
2. Для конфігурації повинні використовуватися процесори, сумісні з DG/CG. Процесори з підтримкою DG/CG означають, що вони підтримують функції Intel VT-x і VT-d. Ці функції є обов'язковими вимогами для підтримки Device Guard і Credential Guard у Windows 10. Щоб перевірити, чи підтримує ваш процесор Intel VT-x і VT-d. Перейдіть за цим посиланням на: ® Технічні характеристики продукції Intel
3. Клієнти повинні мати ліцензію Microsoft Volume License; Win10 Enterprise не є артикулом OEM. Клієнти можуть отримати біти Win10 Enterprise лише безпосередньо від корпорації Майкрософт.

Детальні вимоги:

Додаткові вимоги до Windows 10 1607

Ви повинні мати корпоративну ліцензію Microsoft для Win10 Enterprise, придбану безпосередньо в корпорації Майкрософт (включно з оновленням клієнтами з артикулу Windows 10 Pro, який постачає Dell). Dell не надає Windows 10 Enterprise як артикул OEM.

Якщо ви хочете розгорнути Device Guard, дивіться: Посібник із розгортання Device Guard для Windows Defender Щоб розгорнути Credential Guard, див.: Вимоги та вказівки щодо планування розгортання для Credential Guard 

Які параметри BIOS потрібно встановити для Device Guard і Credential Guard?
Ці опції мають бути ввімкнені. Переконайтеся, що у вас встановлена остання версія BIOS, яка вказана в списку підтримуваних BIOS.

Як перевірити Device Guard і Credential Guard?
Ви можете використовувати інструменти перевірки Device Guard і Credential Guard

• Перевірте, чи може комп'ютер запускати Device Guard або Credential Guard
• Вимкніть і включіть Device Guard або Credential Guard

Перш ніж запускати засіб, переконайтеся, що ви ввімкнули правильну політику виконання в PowerShell. (Див. Малюнок 1. нижче)

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Малюнок 1. - Приклад політики виконання в PowerShell.

Щоб перевірити: DG_Readiness.ps1 –Сумісний -[DG/CG/HVCI] -Автоперезавантаження

Щоб увімкнути: DG_Readiness.ps1 –Увімкнути -[DG/CG] –Автоперезавантаження

Щоб вимкнути: DG_Readiness.ps1 –Вимкнути -[DG/CG] -AutoReboot

Чи на моєму комп'ютері попередньо налаштовано Device Guard або Credential Guard?
Ні, Dell гарантує, що комп'ютери, які перевіряються, повністю перевірені з точки зору прошивки BIOS і відповідності драйверів HVCI. Це все, що вам потрібно для активації комп'ютерів для Device або Credential Guard. Вам доведеться ввімкнути функції на основі перемикача включення вище або покрокової процедури в посібнику з розгортання (див. розділ ресурсів).

Що таке готовність водія HVCI і як я можу зрозуміти, що у мене є правильні водії?
HVCI – це цілісність коду гіпервізора. Служба HVCI у Windows 10 визначає, чи є код, що працює в режимі ядра, надійно розробленим і надійним. Він пропонує Zero Day та можливості захисту від експлойтів вразливостей. Він гарантує, що все програмне забезпечення працює в режимі ядра, включаючи драйвери, надійно виділяє пам'ять і працює за призначенням.

Використовуйте інструмент DGReadiness:

Щоб перевірити: DG_Readiness.ps1 –Сумісний –HVCI -Автоперезавантаження

ПРИМІТКИ: Компанія Dell перевірила готовність водія до використання драйверів, які підтримують Dell. Якщо ви встановлюєте на комп'ютер будь-які інші сторонні драйвери, вам потрібно переконатися, що вони сумісні з HVCI. Сумісність драйверів із Device Guard у Windows 10

Які комп'ютери Dell підтримують Device Guard і Credential Guard?
Щоб увімкнути Device Guard і Credential Guard, комп'ютери покоління Dell SkyLake і KabyLake потребують сумісних драйверів, сумісних із BIOS і Hypervisor Code Integrity (HVCI).

Ось усі комп'ютери, на яких Dell підтримує цю функцію. У таблиці нижче перераховані версії драйверів і версії BIOS для кожної платформи.

Якщо процесор vPro, чи означає це, що він підтримує DG/CG?
Так. Крім того, деякі процесори, що не підтримують vPro, також підтримують DG/CG (VT-x/VT-d). Щоб перевірити, чи підтримує ваш процесор Intel VT-x і VT-d. Перейдіть за цим посиланням на: ® Технічні характеристики продукції Intel

На початок сторінки

Ресурси

• Корпоративна безпека Windows 11: Credential Guard і Device Guard
• Посібник із розгортання захисту пристрою
• Вимоги до апаратного забезпечення Windows Defender Credential Guard
• Вимоги до апаратного забезпечення Windows Defender Device Guard

На початок сторінки