Windows 10 Enterprise-sikkerhed: Credential Guard og Device Guard

Overblik: "Oversigt over to nye Windows 10 Enterprise Ready Security-funktioner: Credential Guard og Device Guard."

Hvad er Device Guard og Credential Guard?

Device Guard og Credential Guard er virtualiseringsbaseret sikkerhed (VBS). Med LSA-funktioner (Local Security Authority) ved hjælp af Hypervisor Code Integrity (HVCI)-drivere og en kompatibel BIOS med operativsystemet Windows 10 Enterprise/Education Edition. Den er kun tilgængelig for computere, der er dækket af en MICROSOFT-volumenlicensaftale (VLA).

Credential Guard bruger virtualiseringsbaseret sikkerhed til at isolere hemmeligheder (legitimationsoplysninger), så kun privilegeret systemsoftware kan få adgang til dem. Uautoriseret adgang til de hemmeligheder kan føre til forsøg på at tyveri af legitimationsoplysninger. Credential Guard forhindrer de angreb ved af beskytte NT LAN Manager-adgangskodehashes (NTLM) og Kerberos Ticket Granting Tickets. Credential Guard bruger virtualiseringsbaseret sikkerhed til at isolere hemmeligheder, så kun privilegeret systemsoftware kan få adgang til dem. Credential Guard er ikke afhængig af Device Guard.

Device Guard er en kombination af virksomhedsrelaterede hardware- og softwaresikkerhedsfunktioner. Når de er konfigureret sammen, låses de en enhed, så den kun kan køre pålidelige programmer. Hvis det ikke er et pålideligt program, kan det ikke køre. Du kan konfigurere den til at låse en enhed. Så enheden kun kan køre pålidelige programmer, der er defineret i dine kodeintegritetspolitikker. Device Guard afhænger af virtualiseringsbaseret sikkerhed (VBS).

Til toppen af siden

Hvordan fungerer de?

Virtualiseringsbaserede sikkerhedsfunktioner i Windows 10 Enterprise/Education anvender en række sikkerhedselementer som UEFI, Secure Boot, Trusted Platform Module (TPM) 2.0. Dell har godkendt udvalgte Precision-, Latitude- og OptiPlex-computere, der skal have opdateret BIOS og HVCI-kompatible drivere.

UEFI-firmwareversion 2.3.1 eller nyere: UEFI er låst, så indstillingerne i UEFI ikke kan ændres til at kompromittere Device Guard-sikkerhed. (Startrækkefølge, opstartsposter, Sikker start, Virtualiseringsudvidelser, IOMMU, Microsoft UEFI CA.)

Til toppen af siden

Credential Guard.

• Hardwaresikkerhed: Credential Guard øger sikkerheden for de afledte domænelegitimationsoplysninger ved at udnytte platformssikkerhedsfunktioner, herunder Sikker opstart og virtualisering.
• Bedre beskyttelse mod avancerede vedvarende trusler: Sikring af afledte domænelegitimationsoplysninger ved hjælp af den virtualiseringsbaserede sikkerhed blokerer de legitimationsoplysningers tyveri-angrebsteknikker og værktøjer, der anvendes i mange målrettede angreb.
  • Virtualiseringsbaseret sikkerhed beskytter dine hemmeligheder mod malware, der kører i operativsystemet med administratorrettigheder.
• Administration: Du kan administrere Credential Guard ved hjælp af Gruppepolitik, WMI, fra en kommandoprompt og Windows PowerShell.

Beskyt de afledte domænelegitimationsoplysninger med Credential Guard 

Til toppen af siden

Device Guard.

• Brug af traditionelle metoder som antivirusløsninger giver et utilstrækkeligt forsvar mod nye angreb. (Signaturbaseret registrering for at slå malware til.) Især med tusindvis af nye ondsindede filer, der oprettes hver dag.
• Device Guard på Windows 10 Enterprise skifter fra en tilstand, hvor der er tillid til apps, medmindre de blokeres af en antivirusløsning eller en anden sikkerhedsløsning. Den ændres til en tilstand, hvor operativsystemet kun har tillid til autoriserede apps, der er indstillet af din virksomhed. Du tildeler disse pålidelige apps ved at oprette integritetspolitikker for kode.

Fire måder at administrere Device Guard på

• Gruppepolitik: Windows 10 indeholder en administratorskabelon til at konfigurere og implementere de konfigurerbare kodeintegritetspolitikker for din organisation. Denne skabelon giver dig også mulighed for at angive, hvilke hardwarebaserede sikkerhedsfunktioner du ønsker at aktivere og implementere. Du kan administrere disse indstillinger sammen med dine eksisterende gruppepolitikobjekter (GPO'er), hvilket gør det nemmere at implementere Device Guard-funktioner.
• Microsoft System Center Configuration Manager: Du kan bruge System Center Configuration Manager til at forenkle implementeringen og administrationen af katalogfiler. Herunder politikker for kodeintegritet og hardwarebaserede sikkerhedsfunktioner, og det giver også versionsstyring.
• Windows PowerShell
• Microsoft Intune

Til toppen af siden

Ofte stillede spørgsmål.

Hvad er Windows 10 Enterprise SKU?
Windows 10 Enterprise SKU er en anden Windows OS-version, der kun er tilgængelig for kunder med Microsoft-volumenlicens. Dem, der køber computere med Windows 10 Professional-licensen, og opgraderer derefter til Windows 10 Enterprise for at få trinvise funktioner. Windows 10 Enterprise indeholder to sikkerhedsfunktioner, der ikke er tilgængelige på Professional- eller Home SKU'er: Credential Guard og Device Guard. Oplysninger om funktionssammenligning blandt Windows OS SKU'er.

Hvad er Device Guard og Credential Guard?
Device Guard og Credential Guard er nye sikkerhedsfunktioner, der i dag kun er tilgængelige på Windows 10 Enterprise. Device Guard er en kombination af virksomhedsrelaterede hardware- og softwaresikkerhedsfunktioner. Når de er konfigureret sammen, låses de en enhed, så den kun kan køre pålidelige programmer. Hvis det ikke er et pålideligt program, kan det ikke køre. Credential Guard bruger virtualiseringsbaseret sikkerhed til at isolere hemmeligheder (legitimationsoplysninger), så kun privilegeret systemsoftware kan få adgang til dem. Uautoriseret adgang til de hemmeligheder kan føre til forsøg på at tyveri af legitimationsoplysninger. Credential Guard forhindrer de angreb ved af beskytte NTLM-adgangskodehashes og Kerberos Ticket Granting Tickets.

Hvad er virtualiseringsbaseret sikkerhed (VBS)?
Dette er en beskyttelse, der bruger hypervisoren til at hjælpe med at beskytte kernen og andre dele af operativsystemet. Med VBS-standardpolitik for kernetilstandskodeintegritet eller den kodeintegritetspolitik, som du konfigurerer og implementerer, bliver den mere robust.

Hvordan kontrollerer jeg, om virtualiseringsbaseret beskyttelse af kodeintegritet er aktiveret?
Den enkleste mekanisme er at køre appen Systemoplysninger (msinfo32). Se efter følgende linje: "Device Guard Security Services kører." Den skal rapportere: "Hypervisor håndhævet kodeintegritet." Der findes også en WMI-grænseflade (Windows Management Instrumentation) til gennemsyn ved hjælp af administrationsværktøjer.

Hvis en computer ikke er Win10 Enterprise-klar, kan den så stadig køre på Win10 Enterprise?
Ja, så længe der købes en computer med Win10 Pro. Kunder med volumenlicenser kan altid opgradere denne computer til Win10 Enterprise. Alle enterprise-trinvise funktioner fungerer fint UNDTAGEN Device Guard og Credential Guard. Dette skyldes, at disse to sikkerhedsfunktioner kræver, at BIOS-, driver- og processorfunktioner er kompatible med Microsofts krav.

Hvilke krav er der til at aktivere Device Guard og Credential Guard på mine Dell-computere?
Kunder, der ønsker at opgradere deres computere for at aktivere Device Guard og Credential Guard, kræver følgende tre kriterier:

1. Latitude/OptiPlex/Precision/Venue-enheder skal være Klar til Win10 Enterprise. Sørg for, at BIOS og drivere er opdateret til den version, der er Enterprise Ready-kompatibel. Se platformlisten for at få flere oplysninger om BIOS/HVCI-drivernes parathed pr. platform.
2. Konfigurationen skal bruge DG/CG-kompatible processorer. Processorer, der er DG/CG-kompatible, betyder, at de understøtter Intel VT-x- og VT-d-funktioner. Disse funktioner er obligatoriske krav for at understøtte Device Guard og Credential Guard på Windows 10. Sådan kontrollerer du, om din processor understøtter Intel VT-x og VT-d. Se dette link for at: Specifikationer for Intel-produkt®
3. Kunden skal have en Microsoft-volumenlicens. Win10 Enterprise er ikke et OEM SKU. Kunder kan kun få Win10 Enterprise-bits fra Microsoft direkte.

Detaljerede krav:

Flere krav til Windows 10 1607

Du skal have en Microsoft-volumenlicens til Win10 Enterprise, der er indkøbt direkte fra Microsoft (inklusive kunder, der opgraderer fra en Windows 10 Pro SKU, som Dell leverer). Dell leverer ikke Windows 10 Enterprise som et OEM SKU.

Hvis du vil implementere Device Guard, skal du se: Implementeringsvejledning til Windows Defender Device Guard Se følgende for at implementere Credential Guard: Krav og retningslinjer for implementeringsplanlægning for Credential Guard 

Hvilke BIOS-indstillinger skal indstilles til Device Guard og Credential Guard?
Disse indstillinger skal være aktiveret. Sørg for, at du har den nyeste BIOS på listen over understøttede BIOS'er.

Sådan validerer du Device Guard og Credential Guard
Du kan bruge valideringsværktøjet Device Guard og Credential Guard

• Kontroller, om computeren er i stand til at køre Device Guard eller Credential Guard
• Deaktiver og aktivér Device Guard eller Credential Guard

Inden du kører værktøjet, skal du sørge for, at du har aktiveret den korrekte udførelsespolitik i PowerShell. (Se figur 1. Nedenfor)

Set-ExecutionPolicy – ExecutionPolicy – fjerndesignet

Figur 1. – Udførelsespolitik i PowerShell-eksempel.

Sådan valideres det: DG_Readiness.ps1 – Kompatibel -[DG/CG/HVCI] - AutoReboot

Sådan aktiveres: DG_Readiness.ps1 – Aktiver –[DG/CG] – AutoReboot

Sådan deaktiveres: DG_Readiness.ps1 – Deaktiver -[DG/CG] -AutoReboot

Er min computer forudkonfigureret med Device Guard eller Credential Guard?
Nej, Dell sikrer, at de computere, der er verificeret, er fuldt verificeret fra et bios-firmware- og HVCI-driveroverholdelsesperspektiv. Det er alt, hvad du behøver for at aktivere computerne til enheden eller Credential Guard. Du skal aktivere funktionerne baseret på aktiveringsswitchen ovenfor eller den trinvise fremgangsmåde i implementeringsvejledningen (se afsnittet ressourcer).

Hvad er HVCI-driverparathed, og hvordan ved jeg, at jeg har de rigtige drivere?
HVCI er Hypervisor-kodeintegritet. HVCI-tjenesten i Windows 10 bestemmer, om kode, der kører i kernetilstand, er sikkert designet og pålidelig. Det tilbyder Zero Day og sårbarhedsbeskyttelsesfunktioner. Den sikrer, at al software kører i kernetilstand, herunder drivere, tildeler hukommelse sikkert og fungerer efter hensigten.

Brug DGReadiness-værktøjet:

Sådan valideres det: DG_Readiness.ps1 – kompatibel –HVCI – AutoReboot

BEMÆRK: Dell har bekræftet driverparatheden på de Dell-understøttede drivere. Hvis du installerer andre tredjepartsdrivere på computeren, skal du sikre dig, at de er HVCI-kompatible. Driverkompatibilitet med Device Guard i Windows 10

Hvilke Dell-computere understøtter Device Guard og Credential Guard?
For at aktivere Device Guard og Credential Guard kræver Dell SkyLake- og KabyLake-generationscomputere både kompatible BIOS- og HVCI-kompatible drivere (Hypervisor Code integrity).

Her er alle de computere, som Dell understøtter dette funktionssæt på. Tabellen nedenfor viser driverversionerne og BIOS-versionerne for hver platform.

Hvis en processor er vPro, betyder det så, at de er DG/CG-kompatible?
Ja. Derudover er nogle ikke-vPro-processorer også DG/CG-kompatible (VT-x/VT-d). Sådan kontrollerer du, om din processor understøtter Intel VT-x og VT-d. Se dette link for at: Specifikationer for Intel-produkt®

Til toppen af siden

Ressourcer

• Windows 11 Enterprise-sikkerhed: Credential Guard og Device Guard
• Vejledning til implementering af Device Guard
• Hardwarekrav til Windows Defender Credential Guard
• Hardwarekrav til Windows Defender Device Guard

Til toppen af siden