Devices with critical credentials should be protected by Credential Guard.

Warum dies wichtig ist

Credential-Diebstahl ist ein führender Angriffsvektor, wobei Angreifer häufig speicherbasierte Anmeldeinformationen wie NTLM-Hashes und Kerberos-Tickets angreifen. Ohne Credential Guard sind kritische Anmeldeinformationen, die im Prozessspeicher der Local Security Authority (LSA) gespeichert sind, anfällig für Extraktion durch Pass-the-Hash- oder Pass-the-Ticket-Angriffe. Der Schutz von Geräten mit Credential Guard reduziert die Angriffsfläche erheblich, indem Geheimnisse in einer virtualisierten Umgebung isoliert werden.

Was Aether365 prüft

Diese Prüfung stellt sicher, dass Geräte, die kritische Anmeldeinformationen in Ihrer Microsoft 365-Umgebung speichern, mit Credential Guard aktiviert sind. Sie erscheint im Aether365-Dashboard unter den microsoft-365-Prüfungen.

So beheben Sie das Problem

1. Stellen Sie sicher, dass Ihre Geräte die Mindesthardwareanforderungen erfüllen: UEFI Secure Boot, Virtualization-Based Security (VBS)-Unterstützung und TPM 2.0.
2. Aktivieren Sie Credential Guard über Gruppenrichtlinien: Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > System > Device Guard > "Virtualisierungsbasierte Sicherheit aktivieren."
3. Setzen Sie die Richtlinienoption auf "Aktiviert mit UEFI-Sperre" und wählen Sie "Credential Guard" unter "Sicherheitsstufe der Plattform auswählen."
4. Alternativ konfigurieren Sie die Einstellung mit dem folgenden PowerShell-Cmdlet auf jedem Gerät: Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-All, gefolgt von der Aktivierung von VBS.
5. Starten Sie das Gerät neu, um die neue Konfiguration zu erzwingen, und überprüfen Sie, ob Credential Guard mit Get-CimInstance -Namespace root/Microsoft/Windows/DeviceGuard -ClassName Win32_DeviceGuard ausgeführt wird.

Compliance

• Sonstiges: Nicht mit einem spezifischen Compliance-Framework verknüpft (CIS, EIDSCA, CISA)

Verwandte Ressourcen

• Microsoft Learn: Übersicht über Credential Guard
• Microsoft Learn: Aktivieren von Credential Guard über Gruppenrichtlinien