Sicherheit: Wie Sie Credential Guard mit Windows 11 Pro nutzen – oder abschalten
Der Sicherheitsmechanismus Credential Guard ist teilweise auch in der Pro-Edition von Windows 11 nutzbar. Wir erklären, was Sie dazu wissen müssen.
- Jan Schüßler
Hin und wieder hat Microsoft eine spezielle Art, ein Feature zu erklären: Man gebe es einfach einer Reihe von Usern, baue keinen komfortablen Weg ein, um es bei Bedarf abzuschalten, und verstecke am besten auch noch die Dokumentation dazu. So in etwa verhält es sich beim "Windows Defender Credential Guard", der seit einiger Zeit auch auf Windows 11 in der Pro-Edition laufen kann.
Beim Credential Guard handelt es sich um eine praktische Anwendung dessen, was Microsoft meist als "virtualisierungsbasierte Sicherheit" (Virtualization Based Security, VBS) oder auch als "hypervisorgeschützte Codeintegrität" bezeichnet (Hypervisor-Protected Code Integrity, HVCI). Er hat die Aufgabe, Windows-Anmeldedaten vor unberechtigtem Zugriff zu schützen, die im RAM des lokalen Authentifizierungsdienst-Prozesses lsass.exe liegen (LSASS steht für Local Security Authority Subsystem Service). Kurz gesagt: Ist der Credential Guard aktiv, läuft in einer abgeschotteten virtuellen Maschine (VM) ein zusätzlicher Prozess lsaiso.exe, in dessen RAM Kerberos-, NTLM- und Single-Sign-on-Anmeldedaten liegen. Dieser Prozess kommuniziert nur mit dem regulären lsass.exe des Hosts und bleibt für den Rest des Systems unerreichbar.
Mittels dieser Abschottung blockiert der Credential Guard gängige und bei Kriminellen beliebte Lateral-Movement-Techniken zum Unterwandern von Firmennetzwerken: Dabei würde ein Angreifer zunächst einen oder mehrere Mitarbeiter-PCs kapern, darauf ein Angriffs-Toolkit à la Mimikatz platzieren und sich so lange auf die Lauer legen, bis sich ein Admin, etwa zu Wartungszwecken, leichtsinnigerweise mit den Anmeldedaten eines Domänen-Administratorkontos darauf einloggt. Ist es so weit, landet der Kennwort-Hash im RAM des lsass.exe-Prozesses und kann dort ausgelesen werden – ein sogenannter Pass-the-Hash-Angriff.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Im Test: Smartes Heizkörperthermostat und Offset-Sensor mit Thread und Matter
Informatiker im Öffentlichen Dienst: Aufgaben, Gehälter und Verbeamtung
Ausprobiert: Fritzbox als NAS-Ersatz verwenden
Trend-Beruf: Mit diesen Fähigkeiten wird man KI-Experte
IT-Gehälter 2024: Das verdienen Security-Experten in Deutschland
Gehälter 2024: Das verdienen Admins in Deutschland
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Im Test: Smartes Heizkörperthermostat und Offset-Sensor mit Thread und Matter
Informatiker im Öffentlichen Dienst: Aufgaben, Gehälter und Verbeamtung
Ausprobiert: Fritzbox als NAS-Ersatz verwenden
Trend-Beruf: Mit diesen Fähigkeiten wird man KI-Experte
IT-Gehälter 2024: Das verdienen Security-Experten in Deutschland