Cómo activar Credential Guard y la protección de LSA en los dispositivos cliente

La protección de la Autoridad de seguridad local (LSA) y Microsoft Credential Guard son funciones de seguridad de Windows imprescindibles que conviene activar en todos los dispositivos cliente Windows de un despliegue empresarial para reforzar la seguridad y el cumplimiento. En esta guía verás cómo activar LSA y Credential Guard en dispositivos Windows 10 y Windows 11 individuales mediante la interfaz de Configuración de Windows, PowerShell, las directivas de grupo y el Registro de Windows.

Requisitos previos para activar Credential Guard y la protección de la Autoridad de seguridad local (LSA) en toda la organización

LSA y Microsoft Credential Guard son piezas clave de la seguridad moderna de Windows, y deberías activarlas siempre que el equipo lo admita, además de usar protección antimalware y otras funciones de seguridad.

Estas son las ventajas de activar Credential Guard y LSA:

• Protección de las credenciales NTLM, Kerberos y TGT
• Menor riesgo de escalada de privilegios y movimiento lateral
• Cumplimiento de los modelos de seguridad zero trust y NIST

Para usar Credential Guard y LSA tendrás que cumplir estos requisitos:

• Windows 10 u 11 Enterprise o Education
• UEFI con Arranque seguro y extensiones de virtualización activados
• Compatibilidad con Hyper-V en los sistemas cliente
• Privilegios administrativos
• Un entorno gestionado (Intune o directivas de grupo en Active Directory) para la configuración a escala de toda la empresa

Si tu hardware no admite estas tecnologías, plantéate seriamente renovar los dispositivos de tu organización, porque suponen un riesgo permanente para la seguridad y el cumplimiento. Puedes usar esta herramienta de comprobación para saber si tu hardware es compatible.

Cómo activar Microsoft Credential Guard desde la interfaz de Seguridad de Windows

Para activar Microsoft Credential Guard en dispositivos individuales o no gestionados, sigue estos pasos:

1. Haz clic con el botón derecho en el botón Inicio y selecciona Configuración
2. Haz clic en Privacidad y seguridad y después en Seguridad de Windows
3. Selecciona Abrir Seguridad de Windows
4. Abre Seguridad del dispositivo
5. En Aislamiento del núcleo, haz clic en Detalles del aislamiento del núcleo
6. Cambia Integridad de memoria a Activado
7. Reinicia cuando se te solicite
8. Credential Guard se activará automáticamente en los dispositivos compatibles

Ten en cuenta que no podrás activar estos ajustes en dispositivos no compatibles.

Activar Credential Guard y LSA mediante directivas de grupo

Los objetos de directiva de grupo (GPO) te permiten activar Credential Guard en todos los dispositivos compatibles conectados al dominio de Windows de tu organización. En dispositivos no gestionados también puedes usar el Editor de directivas de grupo local.

Activar Credential Guard con directivas de grupo

Para activar Credential Guard mediante directivas de grupo, haz lo siguiente:

1. Pulsa Win + R, escribe gpmc.msc y pulsa Ctrl + Mayús + Intro.

2. Ve a:

Configuración del equipo > Plantillas administrativas > Sistema > Device Guard.

3. Haz doble clic en Activar la seguridad basada en virtualización.

4. Selecciona Habilitada.

5. En Configuración de Credential Guard, elige una de estas opciones:

1. 1. Habilitado con bloqueo UEFI : impide desactivar Credential Guard sin borrar el sistema.
   2. Habilitado sin bloqueo : permite desactivarlo de forma remota si hace falta.

Activar la protección de LSA con directivas de grupo

Para activar LSA mediante GPO, haz lo siguiente:

1. Pulsa Win + R, escribe gpmc.msc y pulsa Ctrl + Mayús + Intro.

2. Ve a:

Configuración del equipo > Plantillas administrativas > Sistema > Autoridad de seguridad local

3. Haz doble clic en Configurar LSASS para que se ejecute como un proceso protegido.

4. Establece la directiva en Habilitada.

5. Elige entre:

1. Habilitado con bloqueo UEFI
2. Habilitado sin bloqueo UEFI

Puedes aplicar estos ajustes de GPO a distintos grupos de dispositivos según su unidad organizativa, y forzar la actualización de las directivas ejecutando gpupdate /force en los dispositivos cliente.

Si vas a configurar varios dispositivos no gestionados, puedes exportar los ajustes de la directiva de grupo local e importarlos en otros dispositivos con scripts.

Activar Credential Guard y LSA desde el Editor del Registro

También puedes configurar LSA y Credential Guard con el Editor del Registro de Windows:

1. Haz clic con el botón derecho en el botón Inicio y selecciona Ejecutar
2. Escribe el comando regedit.exe y pulsa Aceptar para abrir el Editor del Registro
3. Para configurar Credential Guard, ve a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
4. Crea o modifica los siguientes valores DWORD:
   1. EnableVirtualizationBasedSecurity = 1
   2. RequirePlatformSecurityFeatures = 1
   3. HypervisorEnforcedCodeIntegrity = 1 (opcional)
5. Después, para configurar LSA, ve a: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
6. Modifica o crea los siguientes valores DWORD:
   1. LsaCfgFlags = 1 (activa Credential Guard)
   2. RunAsPPL = 1 (activa la protección de LSA)
7. Reinicia el sistema para aplicar los cambios

Activar Credential Guard y LSA con PowerShell

Puedes activar Credential Guard y la protección de LSA de forma programática con los siguientes comandos en una sesión de PowerShell con privilegios elevados.

1. Activa la seguridad basada en virtualización y Credential Guard ejecutando estos comandos:

Enable-WindowsOptionalFeature -Online -FeatureName IsolatedUserMode -All
Enable-WindowsOptionalFeature -Online -FeatureName HypervisorPlatform -All

2. Define los valores del Registro para Credential Guard con estos comandos (aquí se usa PowerShell para modificar los valores del Registro de Windows descritos antes):

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "EnableVirtualizationBasedSecurity" -Value 1
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "RequirePlatformSecurityFeatures" -Value 1

3. Activa Credential Guard modificando los valores del Registro de forma programática:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LsaCfgFlags" -Value 1

4. Activa la protección de LSA modificando los valores del Registro de forma programática:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -PropertyType DWORD -Force

5. Tendrás que reiniciar el dispositivo Windows 10 o Windows 11 para aplicar estos cambios.

Activar Credential Guard y LSA desde el Símbolo del sistema de Windows

También puedes modificar los valores del Registro de Windows para activar Credential Guard y LSA desde el antiguo Símbolo del sistema con estos comandos:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v EnableVirtualizationBasedSecurity /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v RequirePlatformSecurityFeatures /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LsaCfgFlags /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 1 /f
bcdedit /set hypervisorlaunchtype auto

Después, reinicia ejecutando:

shutdown /r /t 0

Los métodos con el Símbolo del sistema y con PowerShell sirven para despliegues por lotes o como parte de los scripts de incorporación de equipos.

Método 6: activar Credential Guard desde el catálogo de configuración de Microsoft Intune

Si gestionas una flota empresarial de dispositivos Windows con Microsoft Intune, puedes configurar Credential Guard así:

1. En Intune, ve a Endpoint Manager > Dispositivos > Perfiles de configuración
2. Crea un perfil con estos datos:
   1. Plataforma: Windows 10 y posterior
   2. Tipo de perfil: catálogo de configuración
3. Busca y añade estos ajustes:
   1. Credential Guard > Activar la seguridad basada en virtualización = Habilitada
   2. Protección de LSA > Configurar LSASS para que se ejecute como un proceso protegido = Habilitada
   3. Arranque seguro requerido = Habilitado
   4. Integridad de memoria = Habilitada
4. Asigna el perfil a los grupos de dispositivos que corresponda

Después conviene supervisar el despliegue de esta directiva para confirmar que surte efecto.

Resolución de problemas y otras consideraciones

Para que Credential Guard esté disponible, el Arranque seguro y la virtualización deben estar activados en UEFI. Puede que también tengas que desactivar antivirus o controladores antiguos que bloqueen las protecciones de LSASS (aparecerán en una lista si intentas activar estas funciones). Si los ajustes de GPO no se aplican, comprueba que las unidades organizativas de destino sean las correctas, que no haya ajustes en conflicto y que los dispositivos se hayan reiniciado.

Cuando actualices controladores por compatibilidad, haz primero una copia de seguridad por si necesitas volver atrás para resolver problemas de arranque.

Recuerda que, si activas Credential Guard con bloqueo UEFI, no podrás desactivarlo sin borrar el sistema.

NinjaOne te da un control centralizado de la seguridad y el cumplimiento de toda tu flota empresarial

Los equipos de informática interna y los proveedores de servicios gestionados (MSP) necesitan que las funciones de seguridad de los dispositivos sean totalmente configurables y coherentes a gran escala. Aplicar las directivas de Credential Guard y de protección de LSA en flotas enteras de dispositivos Windows es todo un reto, incluso con herramientas como Intune.

El completo conjunto de herramientas de NinjaOne para administración de TI, ITSM y MSP, con monitorización y gestión remota (RMM) unificada incluida, hace que la gestión remota sea sencilla. Con scripting mediante PowerShell remoto, despliegue de directivas de GPO y monitorización, puedes implantar configuraciones de seguridad y detectar incumplimientos.

Al complementar las funciones de seguridad nativas de Windows con NinjaOne, ganas visibilidad entre tenants y puedes automatizar las medidas de seguridad para mantener la mejor postura de seguridad posible en toda tu organización o base de clientes.

Temas relacionados:

• ¿Qué es la gestión de credenciales? Definición y buenas prácticas
• Cómo comprobar si Credential Guard está activado o desactivado en Windows
• Cómo eliminar las credenciales almacenadas en caché y evitar su reutilización en Windows
• Cómo gestionar de forma segura las credenciales de las herramientas MSP sin usar un gestor de contraseñas
• Cómo activar o desactivar la protección de la Autoridad de seguridad local en Windows 11