Zo controleert u of Credential Guard in Windows in- of uitgeschakeld is

Credential Guard is een Windows-functie die de aanmeldreferenties beschermt waarmee u zich in bedrijfsomgevingen aanmeldt bij Windows. Deze handleiding legt uit wat Windows Credential Guard is, wat u nodig hebt om de functie te gebruiken en hoe u controleert of deze in- of uitgeschakeld is.

Liever kijken dan lezen? Bekijk dan Zo controleert u of Credential Guard in Windows in- of uitgeschakeld is.

Wat is Windows Credential Guard?

Windows Credential Guard is er vooral op gericht referentiediefstal te voorkomen door gevoelige Windows-authenticatie te isoleren van de rest van het besturingssysteem. Daarvoor wordt vooral Virtualization-based Security (VBS) gebruikt, waarmee NTLM-wachtwoordhashes, Kerberos Ticket Granting Tickets (TGT’s) en referenties die binnen applicaties als domeinreferenties zijn opgeslagen worden beschermd.

Credential Guard dekt echter niet elk type referentie of authenticatiemethode. Zo beschermt de functie geen referenties die voor NTLM-authenticatie worden aangeleverd en ook geen Kerberos-servicetickets.

Credential Guard wordt alleen ondersteund op de Enterprise- en Education-edities van Windows 11 en Windows 10. Op Windows 11 en Windows 10 Home of Pro werkt het niet, dus als thuisgebruiker hebt u er waarschijnlijk geen toegang toe en ook geen behoefte aan.

Credential Guard vereist hardwareondersteuning voor Virtualization-based Security (VBS) en Veilig opstarten moet ingeschakeld zijn.

Vanaf Windows 11 versie 22H2 wordt Credential Guard standaard ingeschakeld als uw systeem aan bovenstaande eisen voldoet.

Handmatig ingrijpen is dus meestal alleen nodig wanneer u de functie moet uitschakelen vanwege compatibiliteit met oudere applicaties of wanneer u Windows op een VM (Virtual Machine) draait.

Zo werkt het

Credential Guard combineert hardwarematige beveiligingsfuncties met Virtualization-based Security (VBS) om gevoelige Windows-referenties te isoleren van de rest van het besturingssysteem. Functies zoals Veilig opstarten en de Trusted Platform Module (TPM) zorgen voor een vertrouwde opstartomgeving, terwijl VBS hardwarevirtualisatie gebruikt om gevoelige referentiegeheimen op te slaan in een omgeving die losstaat van het gewone Windows-OS.

Doordat gevoelige authenticatiegeheimen in een geïsoleerde VBS-omgeving staan, voorkomt Credential Guard dat malware en andere ongeautoriseerde software erbij kan, zelfs wanneer een aanvaller beheerdersrechten op het device heeft. Die scheiding maakt het voor aanvallers lastiger om referenties uit systeemprocessen te stelen.

Waarom het belangrijk is om de status van Credential Guard te controleren

Credential Guard beschermt tegen pass-the-hash- en pass-the-ticket-aanvallen, waarbij referenties die van Windows-machines zijn gestolen worden gebruikt om zich voor te doen als gebruikers en verder door te dringen in Windows-bedrijfsnetwerken en de gevoelige data daarin.

In de bedrijfs-IT is het essentieel om alle beschikbare beveiligingstechnologie in te zetten om uw infrastructuur, data en gebruikers te beschermen. Bovendien is het treffen van alle redelijke beveiligingsmaatregelen vaak een voorwaarde voor compliance met GDPR, CCPA, HIPAA en andere opkomende wetgeving rond gegevensbescherming.

Is Credential Guard beschikbaar en ondersteund op de Windows-systemen die u beheert, dan is er geen enkele reden om de functie uit te schakelen.

Zo controleert u of Credential Guard in- of uitgeschakeld is

U kunt een van de volgende methoden gebruiken om de status van Windows Credential Guard op één pc te controleren.

Methode 1: via Systeeminformatie

• Klik met de rechtermuisknop op de knop Start en kies Uitvoeren.
• Typ msinfo32 in het dialoogvenster Uitvoeren en klik op OK.
• Klik in het navigatievenster links op Systeemoverzicht.
• Scrol in het rechtervenster omlaag naar Op virtualisatie gebaseerde beveiligingsservices die worden uitgevoerd. Staat Credential Guard in de lijst, dan draait de functie op dat moment op het device.

Is Windows Credential Guard uitgeschakeld of niet beschikbaar op uw systeem, dan verschijnt het er niet.

Tip: u kunt ook Op virtualisatie gebaseerde beveiligingsservices die zijn geconfigureerd bekijken om te zien of de functie is ingesteld om te draaien

Methode 2: via de Editor voor lokaal groepsbeleid

U kunt ook de Editor voor lokaal groepsbeleid gebruiken om te controleren of Windows Credential Guard wordt afgedwongen:

• Klik met de rechtermuisknop op de knop Start en kies Uitvoeren.
• Typ gpedit.msc en klik op OK om de Editor voor lokaal groepsbeleid te openen.
• Ga naar Computerconfiguratie > Beheersjablonen > Systeem > Device Guard.
• Zoek het beleid Op virtualisatie gebaseerde beveiliging inschakelen en open het.
• Staat het beleid op Ingeschakeld, dan kunt u in de opties zien of het met UEFI wordt afgedwongen (zodat het niet uitgeschakeld kan worden) of niet.

Staat het beleid op Niet geconfigureerd, dan wordt Credential Guard niet via groepsbeleid afgedwongen (maar kan het nog steeds standaard ingeschakeld zijn)

Let op: groepsbeleid laat zien of Credential Guard via dit beleid is geconfigureerd, maar bevestigt niet per se of de functie op dat moment draait.

Methode 3: controleren via Logboeken

Met Logboeken van Windows bekijkt u de informatie die Credential Guard vastlegt.

• Zoek Logboeken in het menu Start en open het.
• Zoek de logboeken van Windows Credential Guard onder Logboeken van toepassingen en services/Microsoft/Windows > DeviceGuard.
• Open het logboek Operational.

Aan de hand van de vermeldingen in het logboek controleert u vervolgens of Credential Guard werkt. Staan er geen logboekvermeldingen, dan wordt Device Guard mogelijk niet ondersteund of is het niet ingeschakeld op uw systeem. Wilt u het controleproces liever zien? Bekijk dan deze video: ‘Zo controleert u of Device Guard in Windows in- of uitgeschakeld is’.

Methode 4: via PowerShell-opdrachten

Met de PowerShell-cmdlet Get-CimInstance controleert u in een paar stappen of Credential Guard in- of uitgeschakeld is:

• Open PowerShell als administrator
• Voer de volgende PowerShell-opdracht uit:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning

• Bekijk de waarde die de opdracht teruggeeft:
  • 0 = Credential Guard draait niet
  • 1 = Credential Guard draait
  • 2 = Geheugenintegriteit (HCVI) draait. Deze waarde geeft niet aan dat Credential Guard draait.

Geeft de opdracht 1 terug, dan is Credential Guard actief op het device. Bij 0 draait Credential Guard op dat moment niet. Een resultaat met zowel 1 als 2 betekent dat Credential Guard én geheugenintegriteit werken.

Pro-tip: wilt u een gedetailleerder overzicht zonder de True/False-logica, voer dan simpelweg dit uit:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Bekijk de eigenschap SecurityServicesRunning om te bepalen welke beveiligingsservices op dat moment draaien. De eigenschap VirtualizationBasedSecurityStatus laat daarnaast zien of Virtualization-based Security (VBS) ingeschakeld is,

Wat moet ik doen als Credential Guard niet wordt ondersteund op mijn device?

Voldoet een device dat u beheert niet aan de eisen voor Credential Guard, controleer dan in de BIOS/UEFI of de vereiste hardwarefuncties uitgeschakeld staan. Vervolgens kunt u Veilig opstarten, UEFI-opstarten en de TPM inschakelen als ze aanwezig zijn. Ontbreekt de TPM, dan is het in sommige gevallen mogelijk een fysieke TPM-module aan te schaffen en in compatibele systemen te installeren.

Let op voor VM-gebruikers: draait u Windows in een virtuele omgeving (zoals VMware of Hyper-V), dan moet u geneste virtualisatie inschakelen in de instellingen van de host. Doet u dat niet, dan meldt Credential Guard “Unsupported”, ook al is uw hardware geschikt.

Hoe schakel ik Credential Guard in als het uitstaat?

Op compatibele systemen met de nieuwste versie van Windows 11 wordt Credential Guard automatisch ingeschakeld. Wilt u het afdwingen, dan kunt u het hierboven getoonde groepsbeleid inschakelen.

De beveiliging van Windows-devices op grote schaal beheren

Met groepsbeleid dwingt u Credential Guard af op alle devices in een bedrijfsomgeving, maar het blijft belangrijk te controleren of alle devices de functie ondersteunen en of deze actief is. Handmatig is dat tijdrovend en ontstaan er mogelijk beveiligingsgaten wanneer de hardwareconfiguratie van een device verandert. Geautomatiseerde, doorlopende monitoring en beheer zijn daarom onmisbaar om de beveiliging van Windows-referenties in Windows-domeinen te waarborgen, zeker wanneer medewerkers hun eigen devices gebruiken.