Devices with critical credentials should be protected by Credential Guard.

Pourquoi c'est important

Le vol d'identifiants constitue un vecteur d'attaque majeur, les attaquants ciblant fréquemment les identifiants basés sur la mémoire comme les hachages NTLM et les tickets Kerberos. Sans Credential Guard, les identifiants critiques stockés dans la mémoire du processus Local Security Authority (LSA) sont vulnérables à l'extraction via des attaques de type pass-the-hash ou pass-the-ticket. La protection des appareils avec Credential Guard réduit considérablement la surface d'attaque en isolant les secrets dans un environnement virtualisé.

Ce que vérifie Aether365

Cette vérification confirme que les appareils détenant des identifiants critiques dans votre environnement Microsoft 365 sont activés avec Credential Guard. Elle apparaît dans le tableau de bord Aether365 sous les vérifications microsoft-365.

Comment corriger

1. Assurez-vous que vos appareils répondent aux exigences matérielles minimales : UEFI Secure Boot, prise en charge de Virtualization-Based Security (VBS) et TPM 2.0.
2. Activez Credential Guard via la stratégie de groupe : accédez à Computer Configuration > Administrative Templates > System > Device Guard > "Turn On Virtualization Based Security."
3. Définissez l'option de stratégie sur "Enabled with UEFI lock" et sélectionnez "Credential Guard" sous "Select Platform Security Level."
4. Vous pouvez également configurer le paramètre à l'aide de l'applet de commande PowerShell suivante sur chaque appareil : Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-All, puis activez VBS.
5. Redémarrez l'appareil pour appliquer la nouvelle configuration et vérifiez que Credential Guard fonctionne à l'aide de Get-CimInstance -Namespace root/Microsoft/Windows/DeviceGuard -ClassName Win32_DeviceGuard.

Conformité

• Autre : Non lié à un cadre de conformité spécifique (CIS, EIDSCA, CISA)

Ressources associées

• Microsoft Learn: Présentation de Credential Guard
• Microsoft Learn: Activer Credential Guard via la stratégie de groupe