Schutz vor Datensaugern

von Thomas Joos

Anmeldedaten sind in Firmennetzen ein beliebtes Ziel von Hackern. Windows Defender Credential Guard hilft dabei, Logins in Netzwerken wie auch auf lokalen Rechnern abzusichern. Seit Windows 10 1607 ist das Feature wesentlich einfacher zu implementieren. Hypervisor-Protected Code Integrity wiederum nutzt Virtualisierungstechnologien, um den Arbeitsspeicher von Computern vor Angriffen zu schützen. Zusammen schotten Sie mit diesen Technologien Ihre Windows-Rechner ab.

Windows Defender Credential Guard ist ein Bestandteil der Hypervisor-Protected Code Integrity (HVCI). Dabei handelt es sich um Virtualization Based Security (VBS), also die Verwendung von Virtualisierungstechnologien für die Verbesserung der Sicherheit in Windows. Windows Defender Credential Guard soll lokale Benutzerkonten schützen und Anmeldungen von Benutzern an lokalen Computern sowie Logins über das Active Directory (AD). Credential Guard ist jedoch kein Schutz für das AD selbst, denn die Funktion lässt sich nicht auf Domänencontrollern aktivieren und damit zentral im Netzwerk nutzen. Sie können die Technik aber über Gruppenrichtlinien einrichten und damit auf allen angebundenen Computern verwenden.

Credential Guard verhindert Angriffe durch den Schutz von NTLM-Kennwort-Hashes, Kerberos-Ticket-Granting-Tickets und Informationen, die von Anwendungen als Domänenanmeldedaten gespeichert werden. Die Funktion kann auf Computern die Hashes von Anmeldungen in einem sicheren Speicherbereich ablegen. Das Aktivieren und Konfigurieren des Features ist nicht sehr kompliziert.

Die Technik gehört zum Lieferumfang von Windows-Systemen und verbessert die Sicherheit ohne nennenswerte Nachteile. Es spricht also nichts dagegen, Credential Guard zu verwenden. Allerdings kann es passieren, dass veraltete Treiber die Technik nicht unterstützen. In diesem Fall sollten Sie den Treiber aktualisieren. Vor der Aktivierung sind daher Tests sinnvoll.

Virtualisierungsbasierte Sicherheit in Windows

VBS nutzt Technologien, um ein Segment des Hauptspeichers virtuell vom Rest des Betriebssystems zu isolieren. Dieser abgesonderte Bereich des Speichers nimmt dann Anmeldeinformationen und Code auf, der für die Windows-Sicherheit verantwortlich ist. Credential Guard und Hypervisor-Protected Code Integrity sind daher eng miteinander verbunden.

Der Grund für die Unterbringung von sicherheitskritischen Daten in einem isolierten Teil des Arbeitsspeichers besteht darin, diese Informationen vor Angriffen zu schützen. Malware zielt oft auf die in Windows integrierten Sicherheitsmechanismen ab, um Zugang zu wichtigen Systemressourcen zu erhalten. So kann bösartiger Code beispielsweise auf Ressourcen der Kernel-Ebene zugreifen, indem er die Code-Authentifizierungsmethoden von Windows umgeht.

Damit alle Funktionen zum Einsatz kommen können, benötigen Sie auf Arbeitsstationen unter Windows 10 und 11 einen aktivierten TPM-Chip und UEFI. Die Virtualisierungstechnologien des Prozessors müssen aktiviert sein, sonst können keinerlei Funktionen aus HVCI zum Einsatz kommen, auch Credential Guard benötigt diese Technologien.

Schutz für Anmeldedaten

Viele Sicherheitstechnologien, die Microsoft in Windows-Clients und auf -Servern bereitstellt, nutzen mittlerweile Virtualisierungstechnologien. Das gilt auch für Credential Guard und den neuen Secured-Core-Server in Windows Server 2022. Credential Guard und andere Technologien harmonieren in diesem Bereich miteinander, setzen aber moderne Treiber und ein aktuelles Windows-System voraus.

Wenn Angreifer im Netzwerk eingedrungen sind, besteht ohne weitere Schutzmechanismen die Gefahr, dass Anmeldedaten von Benutzern kompromittiert werden. Microsoft hat dazu in Windows 10/11 und Server 2016 bis 2022 Technologien integriert, die Funktionen aus Hyper-V nutzen, um die Sicherheit von Computern im laufenden Betrieb zu verbessern. Dazu müssen Sie die Rechner natürlich nicht virtualisieren und auch die Installation von Hyper-V und zusätzlichen Features ist nicht notwendig. Wichtig ist nur, dass das UEFI und der Prozessor Virtualisierungstechnologien unterstützen und auch ein TPM-Chip verbaut ist. Den Rest übernimmt Windows.

Parallel dazu können Sie in Windows 10 und 11 mit der Kernisolierung verhindern, dass Malware von Windows aus auf die Hardware zugreift. Auch diese Funktion ist Bestandteil der Sicherheitsstrategie, die Microsoft mit Credential Guard und HVCI in Windows eingebaut hat.

Malware, die im Betriebssystem mit Administratorrechten läuft, ist nicht in der Lage, Hashes zu extrahieren, die durch Virtualization Based Security geschützt sind. Das ist die zentrale Aufgabe von Credential Guard. Bisher hat Windows seine Anmeldedaten in der Local Security Authority (LSA) gespeichert. Bei Verwendung von VBS existiert jedoch ein LSA-Prozess (LSASS) und ein isolierter LSA-Prozess (LSAIso). Dieser isolierte Prozess ist durch VBS geschützt und nur der LSASS-Prozess kann auf den LSAIso-Prozess zugreifen. Dem Rest des Betriebssystems bleibt LSAIso versperrt. Das ist die grundlegende Funktion von Credential Guard.

Das System schützt vor Pass-the-Hash- oder Pass-The-Ticket-Angriffen, da Anmeldedaten nicht so leicht abzugreifen sind, wie ohne diesen Schutz. Pass-the-Hash-Attacken (PtH) sind verbesserte Kennwort-Angriffe im Netzwerk. Davon betroffen sind generell alle Windows-Systeme in AD-Umgebungen. PtH-Angriffe zielen nicht auf die Kennwörter ab, sondern auf die Hashes, die im Active Directory erzeugt werden, nachdem sich ein Benutzer authentifiziert hat.

Vor allem in Umgebungen, in denen Single Sign-on (SSO) zum Einsatz kommt, lassen sich Hashes auslesen, da die Daten auch zu anderen Diensten verschickt werden, um Anwender zu authentifizieren. Der Hash des Kennworts lässt sich damit für Angriffe nutzen. Er wird auf Rechnern zwischengespeichert, damit sich ein angemeldeter Benutzer nicht häufiger anmelden muss, um auf Dienste im Netzwerk zuzugreifen.

Windows sendet bei Kennwortabfragen von Serverdiensten einfach den Hash. Um den Hash eines Anwenders zu stehlen, nutzen Angreifer häufig lokale Möglichkeiten im Netzwerk, da lokal der Schutz weniger hoch ist als bei Internetverbindungen. Genau das sollen Windows Defender Credential Guard und die Hypervisor-Protected Code Integrity verhindern. Allerdings schützen die Technologien nicht alle Anmeldedaten, sondern nur die Windows-Anmeldungen und deren Verwendung.

Ohne diesen Schutz können Angreifer aber den Hash verwenden, um mit den Rechten des Anwenders auf das Netzwerk und die internen Serverdienste zuzugreifen. Kapern Hacker den Hash eines Administratorkontos, sind die Probleme für das Netzwerk natürlich wesentlich größer. Die Attacken funktionieren wie Schneeballsysteme. Sobald ein Angreifer einen normalen Hash gekapert hat, kann er sich auf weiteren Rechnern im Netzwerk anmelden, auch auf Servern. Auf diesen Servern sind wiederum weitere Hashes gespeichert, die sich dann ebenfalls verwenden lassen. Über kurz oder lang kann ein Angreifer relativ mühelos alle Anmeldedaten von allen Benutzern im Netzwerk kapern.

Um die Sicherheit vor PtH-Angriffen im Netzwerk zu erhöhen, müssen Unternehmen mehrere Maßnahmen ergreifen. Benutzerkonten, mit denen Anwender arbeiten, auch die Konten von Administratoren, sollten niemals über Administratorrechte verfügen. Auch Admins sollten bei der täglichen Arbeit mit normalen Benutzerkonten arbeiten. Nur bei Administratoraufgaben sollten spezielle Benutzerkonten zum Einsatz kommen, idealerweise auch zeitlich eingeschränkt über Just-in-Time-(JIT)-Verfahren.

Die Anzahl an Admin-Konten beschränken Sie idealerweise und auch diese privilegierten Accounts dürfen nur notwendige Rechte besitzen. Natürlich sollten die Benutzerkonten über besonders sichere und komplexe Kennwörter verfügen, die regelmäßig geändert werden. Diese Voraussetzungen gelten im Übrigen auch für die Verwendung von Windows Defender Credential Guard.

Applikationskontrolle und Kernisolierung

Zusammen mit Windows Defender Credential Guard kommt auf Systemen auch Device Guard zum Einsatz. Microsoft hat die Technik in Microsoft Defender Application Control umbenannt. Mit ihr sichern Sie Anwendungen auf den Arbeitsstationen ab. Einfach ausgedrückt können Sie mit Device Guard eine Liste von Applikationen definieren, die auf Rechnern laufen dürfen. Dabei lässt sich die Applikationskontrolle auch unabhängig von Device Guard nutzen. Wie bei Windows Defender Credential Guard erfolgt auch die Konfiguration von Defender Application Control beziehungsweise Device Guard über Gruppenrichtlinien. Wir gehen nachfolgend aber vor allem auf Windows Defender Credential Guard ein.

Kommen im Netzwerk Technologien rund um HVCI zum Einsatz, lassen sich diese in der Windows-Sicherheit von Windows 10 und 11 lokal definieren und über Gruppenrichtlinien sowie mit Profilen über Microsoft Endpoint Manager einrichten. Idealerweise kommen Windows Defender Credential Guard, die virtualisierungsbasierte Sicherheit und Einstellungen wie die Kernisolierung gemeinsam zum Einsatz.

Die Aktivierung der Technik und die Überprüfung der Hardware ist auch mit dem "Device Guard and Credential Guard hardware readiness tool" [1] möglich, einem PowerShell-Skript. Das Werkzeug steht im Downloadcenter zur Verfügung [2] und prüft, ob der Computer kompatibel für den Einsatz von Windows Defender Credential Guard und HVCI ist. Dazu ist ein TPM-Chip notwendig sowie ein aktuelles UEFI. Die mit Credential-Guard-geschützten Computer müssen darüber hinaus mittels Secure Boot starten.

HVCI nutzt Virtualisierungstechnologien von Hyper-V, um den Windows-Kernel zu schützen. Das gilt auch für die Kernisolierung in Windows 10 und 11 sowie die Speicherrichtlinien. Sind die Funktionen aktiviert, kann es teilweise zu Fehlermeldungen bei der Aktualisierung von Windows oder bei der Installation von Anwendungen und Treibern kommen. Das betrifft vor allem die Installation neuer Windows-Versionen. In diesem Fall ist der einfachste Schritt, die Isolierung zu beenden und nach der Installation von Windows wieder zu aktivieren, wenn alle Treiber aktuell sind. Die Kernisolierung hat generell nichts mit Windows Defender Credential Guard zu tun, arbeitet aber mit der Technik zusammen und schützt den Arbeitsspeicher vor Malware.

Die Optionen für die Kernisolierung finden Sie im Menü "Windows-Sicherheit", das in der Einstellungs-App bei "Update und Sicherheit / Windows-Sicherheit" erreichbar ist. In Windows 11 finden Sie die Optionen unter "Datenschutz & Sicherheit / Windows-Sicherheit". Über den Menüpunkt "Gerätesicherheit" ist die Option "Details zu Kernisolierung" verfügbar. Hier sehen Sie den Status für die Kernisolierung, den sicheren Start und den TPM-Chip. Bei "Details zu Kernisolierung" aktivieren oder deaktivieren Sie den Schutz. Kommen auf dem System jedoch Treiber zum Einsatz, die nicht kompatibel sind, verhindern diese das Aktivieren. Die inkompatiblen Treiber zeigt die Windows-Sicherheits-App unter dem Link "Inkompatible Treiber überprüfen" an.

Diese Optionen sollten prinzipiell funktionieren, damit Sie auch Windows Defender Credential Guard sinnvoll nutzen können. In den Einstellungen der Kernisolierung können Sie manuell die Option "Speicher-Integrität" aktivieren. Das ist ein wichtiger Punkt, wenn es darum geht, die virtualisierungsbasierte Sicherheit in Windows 10 und 11 zu aktivieren.

Virtualisierungsbasierte Sicherheit ausrollen

Um den virtualisierungsbasierten Schutz automatisiert einzuschalten, bieten sich Skripte an, die die Registry entsprechend anpassen. Für Windows 11 und Windows 10 21H2 sieht das Skript zum Beispiel folgendermaßen aus:

Auf VMs können Sie die Technik auch über die PowerShell des Hosts aktivieren, zum Beispiel mit:

Die Technologie lässt sich auch über Gruppenrichtlinien steuern und mit dem Microsoft Endpoint Manager. In den Gruppenrichtlinien finden Sie die Einstellung bei den Optionen zu Windows Defender Device Guard ("Computerkonfiguration / Administrative Vorlagen / System / Device Guard"). Hier steht Ihnen die Option "Virtualisierungsbasierte Sicherheit aktivieren" zur Verfügung. Zunächst aktivieren Sie die Richtlinie und passen diese anschließend an. Bei "Virtualisierungsbasierter Schutz der Codeintegrität" setzen Sie die Option "Mit UEFI-Sperre aktiviert". Dies stellt sicher, dass sich der Schutz nicht aus der Ferne deaktivieren lässt. Alternativ können Sie an dieser Stelle auch "Ohne Sperre aktiviert" setzen. In diesem Fall kann der Schutz über Richtlinien wieder deaktiviert werden. Im Fall einer Remote-Sperre geht das nur direkt am PC.

Im Bereich "Plattform-Sicherheitsstufe auswählen" haben Sie die Wahl zwischen "Sicherer Start" oder "Sicherer Start und DMA-Schutz". Wir kommen im Abschnitt zum Secured-Core-Server in Windows Server 2022 noch zum DMA-Schutz. In vielen Umgebungen reicht es aber aus, wenn Sie nur die Option "Sicherer Start" aktivieren. Da ohnehin nicht alle Computer über die DMA-Schutzfunktion verfügen, genügt diese Option.

Sie können an dieser Stelle Microsoft Defender Application Control ausschalten durch die Option "Ohne Sperre aktiviert" bei "Credential Guard-Konfiguration". Durch die Aktivierung dieser Richtlinie ist Credential Guard eingeschaltet. Dies ist in der Systeminformation bei "Systemübersicht" im unteren Bereich zu sehen. Die Systeminformationen zeigt Windows nach Eingabe von msinfo32.exe an. Im unteren Bereich finden Sie bei "Virtualisierungsbasierte Sicherheit" die verschiedenen aktivierten Dienste.

Auch in der PowerShell können Sie die Aktivierung überprüfen, zum Beispiel mit folgendem Befehl:

Die Technologien an dieser Stelle sind auch Bestandteil von Secured-Core-Servern unter Windows Server 2022. Darauf gehen wir in den nächsten Abschnitten ausführlicher ein. Der DMA-Schutz kann auch ohne das Windows Admin Center und Windows Server 2022 zum Einsatz kommen. Dazu können Sie die virtualisierungsbasierte Sicherheit über Gruppenrichtlinien für Windows 10 und Windows 11 in den Richtlinien oder mit Registry-Einstellungen aktivieren. Mehr dazu finden Sie in der Microsoft-Dokumentation auf GitHub [3].

Secured Core unter Windows Server 2022

Mit Windows Server 2022 führt Microsoft den Secured-Core-Server ein. Dabei handelt es sich, einfach ausgedrückt, um den Sicherheitsstandard eines Windows-Servers, der auf Hardware- und Softwarekomponenten aufbaut. Auch hier kommt vor allem virtualisierungsbasierte Sicherheit zum Einsatz.

Bezüglich der Hardware sind eine CPU mit aktivierten Virtualisierungserweiterungen, UEFI und Secure Boot sowie ein TPM-2.0-Chip notwendig. Das TPM ist dabei das zentrale Element, das auch die einzelnen Schlüssel und Informationen der verbauten Hardware speichert und sicher ausliest. Die Funktionen müssen im UEFI aktiviert werden. Secured Core nutzt die Sicherheitsfunktionen HVCI, Boot DMA Protection, System Guard, Secure Boot, Virtualization Based Security (VBS) und TPM 2.0. Damit ein Server als Secured-Core-Server definiert ist, müssen all diese Sicherheitsfunktionen von der Hardware und der Software unterstützt und auch aktiviert sein. Das Einschalten lässt sich über das Windows Admin Center (WAC) durchführen und überprüfen. Dazu setzen Sie am besten auf die aktuelle Version des WAC.

Unterstützt die Hardware des Servers einzelne Bereiche von Secured Core nicht oder sind diese im UEFI/BIOS nicht aktiviert, zeigt das WAC die Meldung "Not supported" an. In diesem Fall sollten Sie überprüfen, ob die einzelnen Funktionen nicht aktiviert sind, zum Beispiel der TPM-Chip auf der Hauptplatine. Oft ist ein TPM vorhanden, aber nicht aktiviert.

Unterstützt die Hardware die jeweilige Funktion für Secured-Core, die Funktion in Windows ist aber noch nicht aktiviert, zeigt das Windows Admin Center an dieser Stelle "Not configured" an. Im WAC lässt sich die Funktionen anschließend mit "Enable" aktivieren und falls nötig konfigurieren. Die VBS ist ein zentrales Element bei der Verwendung von Secured Core. Hypervisor-Protected Code Integrity nutzt dazu Virtualisierungstechnologien von Prozessoren für den Aufbau einer sicheren Betriebsumgebung bis zum abgeschlossenen Start des Servers. Sie können mit der virtualisierungsbasierten Sicherheit in Windows daher Arbeitsstationen mit Windows 10 und 11 sowie Windows Server 2022 gleichzeitig schützen.

Der Sinn hinter der Technik ist das sichere Abschotten von Anmeldedaten. Es ist nach Aktivieren der Technologie nicht mehr möglich, dass ein Angreifer Credentials von einem System stehlen kann. Das System schützt so zuverlässig vor Pass-the-Hash- oder Pass-The-Ticket-Angriffen. Der Schutz vor Direct-Memory-Access-Angriffen in Windows Server 2022 ist ein weiterer, zentraler Bestandteil von Secured Core. Mit der Technik lässt sich verhindern, dass durch Hotplug-PCI-Geräte oder auch integrierte PCI-Geräte Angriffe möglich sind, zum Beispiel zum Auslesen von Benutzerdaten. Bei solchen Attacken wird Malware bereits während des Systemstarts auf den Server eingeschleust und so Sicherheitsmechanismen des Betriebssystems ausgehebelt. Mit Secured Core ist das nicht mehr möglich.

Schlussendlich ist System Guard eine weitere Komponente von Secured Core. Die Technik schützt die Integrität des Windows-Systems und soll verhindern, dass Malware Systemdateien manipulieren kann, auch beim Starten des Rechners. Dazu verwendet das System Fingerabdrücke und schützt auch vor einem Angriff auf die Firmware oder den Bootloader von Windows. Auch kommen die Virtualisierungstechnologien des Prozessors zum Einsatz.

Fazit

Windows Defender Credential Guard und Hypervisor-Protected Code Integrity sind Technologien, mit denen Sie Windows-Rechner über Bordmittel schützen. Die Aktivierung der Technologien ist in aktuellen Windows-Systemen kein Problem. Allerdings dürfen Sie auch nicht zu viel von der Technik erwarten. Es lohnt sich dennoch, mit den Techniken zu arbeiten, da dadurch die Sicherheit von Arbeitsstationen und Servern deutlich steigt.

HVCI ist auf Windows Server 2022 ein wichtiger Bestandteil, den Microsoft im Rahmen der Secured-Core-Server-Funktion besonders hervorhebt. Allerdings sind nicht alle Programme von Drittherstellern kompatibel mit Windows Defender Credential Guard und HVCI. Hier sollten Sie zunächst testen, ob alle Funktionen Ihrer Anwendungen die Schutzmechanismen unterstützen.