Devices with critical credentials should be protected by Credential Guard.

Por Qué Es Importante

El robo de credenciales es un vector de ataque principal, ya que los atacantes atacan con frecuencia credenciales basadas en memoria como hashes NTLM y tickets Kerberos. Sin Credential Guard, las credenciales críticas almacenadas en la memoria del proceso de la Autoridad de Seguridad Local (LSA) son vulnerables a la extracción mediante ataques pass-the-hash o pass-the-ticket. Proteger los dispositivos con Credential Guard reduce significativamente la superficie de ataque al aislar los secretos en un entorno virtualizado.

Qué Comprueba Aether365

Esta comprobación verifica que los dispositivos que contienen credenciales críticas en su entorno Microsoft 365 tengan habilitado Credential Guard. Aparece en el panel de Aether365 bajo las comprobaciones de microsoft-365.

Cómo Solucionarlo

1. Asegúrese de que sus dispositivos cumplan con los requisitos mínimos de hardware: UEFI Secure Boot, compatibilidad con Virtualization-Based Security (VBS) y TPM 2.0.
2. Habilite Credential Guard mediante Directiva de Grupo: Vaya a Configuración del equipo > Plantillas administrativas > Sistema > Device Guard > "Activar la seguridad basada en virtualización."
3. Establezca la opción de directiva en "Habilitado con bloqueo UEFI" y seleccione "Credential Guard" en "Seleccionar nivel de seguridad de la plataforma."
4. Como alternativa, configure el ajuste usando el siguiente cmdlet de PowerShell en cada dispositivo: Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-All y luego habilite VBS.
5. Reinicie el dispositivo para aplicar la nueva configuración y verifique que Credential Guard esté en funcionamiento usando Get-CimInstance -Namespace root/Microsoft/Windows/DeviceGuard -ClassName Win32_DeviceGuard.

Cumplimiento

• Otros: No vinculado a un marco de cumplimiento específico (CIS, EIDSCA, CISA)

Recursos Relacionados

• Microsoft Learn: Información general de Credential Guard
• Microsoft Learn: Habilitar Credential Guard mediante Directiva de Grupo