Windows 10 Enterprise 安全性：Credential Guard 和 Device Guard

摘要：“两个新的 Windows 10 Enterprise 就绪安全功能：Credential Guard 和 Device Guard。”

什么是 Device Guard 和 Credential Guard？

Device Guard 和 Credential Guard 是基于虚拟化的安全性 (VBS)。借助使用虚拟机管理程序代码完整性 (HVCI) 驱动程序的本地安全机构 (LSA) 功能以及符合 Windows 10 Enterprise/Education 操作系统要求的 BIOS。它仅适用于 Microsoft 批量许可协议 (VLA) 涵盖的计算机。

Credential Guard 使用基于虚拟化的安全性来隔离密文（凭据），使得只有特权系统软件才能访问密文。未经授权访问这些密文可能会导致凭据盗窃攻击。Credential Guard 通过保护 NT LAN Manager 协议 (NTLM) 密码哈希和 Kerberos 票证授予票证来防止这些攻击。Credential Guard 使用基于虚拟化的安全性来隔离密文，使得只有特权系统软件才能访问密文。Credential Guard 不依赖于 Device Guard。

Device Guard 是与企业相关的硬件和软件安全功能的组合。当它们一起配置时，它们会锁定设备，使它只能运行受信任的应用程序。不是受信任的应用程序则无法运行。您可以将其配置为锁定设备。使设备只能运行在代码完整性策略中定义的受信任应用程序。Device Guard 依赖于于基于虚拟化的安全性 (VBS)。

页面顶部

它们的工作原理是什么？

Windows 10 Enterprise/Education 基于虚拟化的安全功能利用一系列安全元素，如 UEFI、安全启动、可信平台模块 (TPM) 2.0。戴尔已验证必须具有更新的 BIOS 和符合 HVCI 要求的驱动程序的部分 Precision、Latitude 和 OptiPlex 计算机。

UEFI 固件版本 2.3.1 或更高版本：UEFI 已锁定，因此无法更改 UEFI 中的设置以破坏的 Device Guard 安全性。（启动顺序、启动条目、安全启动、虚拟化扩展、IOMMU、Microsoft UEFI CA。）

页面顶部

Credential Guard。

• 硬件安全：Credential Guard 利用安全启动和虚拟化等平台安全功能来提高派生的域凭据的安全性。
• 更好地防范高级持久威胁：使用基于虚拟化的安全性保护派生的域凭据会阻止在许多针对性攻击中使用的凭据盗窃攻击技术和工具。
  • 基于虚拟化的安全性可保护您的密文，阻止具有管理权限的恶意软件在操作系统中运行。
• 可管理性：您可以使用组策略、WMI、从命令提示符和 Windows PowerShell 管理 Credential Guard。

使用 Credential Guard 保护派生的域凭据 

页面顶部

Device Guard。

• 使用防病毒解决方案等传统方法可针对新攻击提供充分的防御。（使用基于签名的检测抵御恶意软件。）尤其是每天有数千个新的恶意文件被创建出来的情况。
• 除非被防病毒或其他安全解决方案阻止，否则 Windows 10 Enterprise 上的 Device Guard 将从应用程序受信任的模式更改。它更改为操作系统仅信任由您的企业设置的授权应用程序的模式。您可以通过创建代码完整性策略来指定这些受信任的应用程序。

管理 Device Guard 的四种方法

• 组政策：Windows 10 提供了一个管理模板，用于为您的组织配置和部署可配置的代码完整性策略。此模板还允许您指定要启用和部署的基于硬件的安全功能。您可以将这些设置与现有的组策略对象 (GPO) 一起管理，从而更轻松地实现 Device Guard 功能。
• Microsoft System Center Configuration Manager：您可以使用 System Center Configuration Manager 来简化目录文件的部署和管理。它包括代码完整性策略和基于硬件的安全功能，还提供版本控制。
• Windows PowerShell
• Microsoft Intune

页面顶部

常见问题。

什么是 Windows 10 Enterprise SKU？
Windows 10 Enterprise SKU 是另一个 Windows 操作系统版本，仅适用于 Microsoft 批量许可证客户。这些客户购买具有 Windows 10 Professional 许可证的计算机，然后升级到 Windows 10 Enterprise 以获取增加的功能。Windows 10 Enterprise 包括 Professional 或 Home SKU 中不提供的两项安全功能：Credential Guard 和 Device Guard。Windows 操作系统 SKU 之间的功能比较的详细信息。

什么是 Device Guard 和 Credential Guard？
Device Guard 和 Credential Guard 是目前仅在 Windows 10 Enterprise 上提供的新安全功能。Device Guard 是与企业相关的硬件和软件安全功能的组合。当它们一起配置时，它们会锁定设备，使它只能运行受信任的应用程序。不是受信任的应用程序则无法运行。Credential Guard 使用基于虚拟化的安全性来隔离密文（凭据），使得只有特权系统软件才能访问密文。未经授权访问这些密文可能会导致凭据盗窃攻击。Credential Guard 通过保护 NTLM 密码哈希和 Kerberos 票证授予票证来防止这些攻击。

什么是基于虚拟化的安全性 (VBS)？
这是使用虚拟机管理程序来帮助保护内核和操作系统其他部分的保护机制。您配置和部署的 VBS 默认内核模式代码完整性策略或代码完整性策略变得更加强大。

如何验证是否已启用基于虚拟化的代码完整性保护？
最简单的机制是运行系统信息应用程序 (msinfo32)。请查找以下行：“Device Guard Security Services Running.”它应报告：“Hypervisor enforced Code Integrity.”此外还有一个 Windows Management Instrumentation (WMI) 界面，用于使用管理工具进行检查。

如果计算机不是 Win10 Enterprise Ready，该计算机是否仍可在 Win10 Enterprise 上运行？
是的，只要购买的是带有 Win10 Pro 的计算机。批量许可证客户始终可以将该计算机升级到 Win10 Enterprise。除 Device Guard 和 Credential Guard 外，所有 Enterprise 增加功能都正常工作。这是因为这两个安全功能要求 BIOS、驱动程序和处理器功能符合 Microsoft 要求。

在我的戴尔计算机上启用 Device Guard 和 Credential Guard 的要求是什么？
想要升级计算机以启用 Device Guard 和 Credential Guard 的客户需要满足以下三个条件：

1. Latitude/OptiPlex/Precision/Venue 设备必须为 Win10 Enterprise Ready。确保 BIOS 和驱动程序更新为支持 Enterprise Ready 的版本。有关每个平台的 BIOS/HVCI 驱动程序就绪情况的详细信息，请参阅平台列表。
2. 配置必须使用支持 DG/CG 的处理器。支持 DG/CG 的处理器意味着它们支持英特尔 VT-x 和 VT-d 功能。这些功能是在 Windows 10 上支持 Device Guard 和 Credential Guard 的强制要求。如需检查您的处理器是否支持英特尔 VT-x 和 VT-d，请参阅以下链接：英特尔® 产品规格
3. 客户必须具有 Microsoft 批量许可证；Win10 Enterprise 不是 OEM SKU。客户只能直接从 Microsoft 获得 Win10 Enterprise 位。

详细要求：

Windows 10 1607 的更多要求

您必须拥有直接从 Microsoft 采购的 Win10 Enterprise 的 Microsoft 批量许可证（包括从戴尔发货的 Windows 10 Pro SKU 升级的客户）。戴尔不提供 Windows 10 Enterprise 作为 OEM SKU。

如果您想要部署 Device Guard，请参阅：Windows Defender Device Guard 部署指南 要部署 Credential Guard，请参阅：Credential Guard 要求和部署规划指南 

需要为 Device Guard 和 Credential Guard 设置哪些 BIOS 设置？
应启用这些选项。确保您拥有支持的 BIOS 列表中列出的最新 BIOS。

如何验证 Device Guard 和 Credential Guard？
您可以使用 Device Guard 和 Credential Guard 验证工具

• 检查计算机是否能够运行 Device Guard 或 Credential Guard
• 禁用并启用 Device Guard 或 Credential Guard

在运行该工具之前，请确保您已在 PowerShell 中启用正确的执行策略。（请参见下面的图 1）

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

图 1.— PowerShell 中的执行策略示例。

验证： DG_Readiness.ps1 –Capable -[DG/CG/HVCI] -AutoReboot

启用： DG_Readiness.ps1 –Enable -[DG/CG] –AutoReboot

禁用： DG_Readiness.ps1 –Disable -[DG/CG] -AutoReboot

我的计算机是否预配置了 Device Guard 或 Credential Guard？
否，戴尔正在确保从 BIOS 固件和符合 HVCI 驱动程序要求的角度全面验证已验证的计算机。这是为使用 Device Guard 或 Credential Guard 而需要在计算机上启用的全部功能。您必须根据上面的启用开关或部署指南中的分步过程启用相关功能（请参阅“资源”部分）。

什么是 HVCI 驱动程序就绪性？如何知道我有正确的驱动程序？
HVCI 是虚拟机管理程序代码完整性。Windows 10 中的 HVCI 服务确定在内核模式下运行的代码是否经过安全设计且值得信赖。它提供零日攻击和漏洞利用防护功能。它可确保所有软件都以内核模式运行（包括驱动程序），安全地分配内存并按预期运行。

使用 DGReadiness 工具：

验证： DG_Readiness.ps1 –Capable –HVCI -AutoReboot

提醒：戴尔已验证戴尔支持的驱动程序的驱动程序就绪性。如果您在计算机上安装任何其他第三方驱动程序，则需要确保它们符合 HVCI 标准。Windows 10 中驱动程序与 Device Guard 的兼容性

哪些戴尔计算机支持 Device Guard 和 Credential Guard？
要启用 Device Guard 和 Credential Guard，Dell SkyLake 和 KabyLake 代际计算机需要兼容的 BIOS 和满足虚拟机管理程序代码完整性 (HVCI) 标准的驱动程序。

以下是支持此功能集的所有戴尔计算机。下表列出了每个平台的驱动程序版本和 BIOS 版本。

如果处理器是 vPro，这是否意味着它们支持 DG/CG？
是的。此外，某些非 vPro 处理器也支持 DG/CG (VT-x/VT-d)。如需检查您的处理器是否支持英特尔 VT-x 和 VT-d，请参阅以下链接：英特尔® 产品规格

页面顶部

资源

• Windows 11 Enterprise 安全：Credential Guard 和 Device Guard
• Device Guard 部署指南
• Windows Defender Credential Guard 硬件要求
• Windows Defender Device Guard 硬件要求

页面顶部