Zo schakelt u Credential Guard en LSA Protection in op clientdevices

Local Security Authority (LSA) protection en Microsoft Credential Guard zijn cruciale beveiligingsfuncties van Windows die in zakelijke omgevingen op alle Windows-clientdevices ingeschakeld horen te zijn, zodat beveiliging en compliance gewaarborgd blijven. Deze gids legt uit hoe u LSA en Credential Guard inschakelt op afzonderlijke Windows 10- en Windows 11-devices via de Windows-instellingen, PowerShell, Groepsbeleid en het Windows-register.

Vereisten om Credential Guard en Local Security Authority (LSA) protection in uw organisatie in te schakelen

LSA en Microsoft Credential Guard zijn kerncomponenten van moderne Windows-beveiliging en zouden overal waar ze ondersteund worden ingeschakeld moeten zijn, naast het gebruik van anti-malware en andere beveiligingsfuncties.

Het inschakelen van Credential Guard/LSA levert onder meer het volgende op:

• Bescherming van NTLM-, Kerberos- en TGT-referenties
• Minder risico op privilege-escalatie en laterale verplaatsing
• Compliance met zero trust- en NIST-beveiligingsmodellen

Om Credential Guard en LSA te gebruiken, moet u aan de volgende vereisten voldoen:

• Windows 10 of 11 Enterprise of Education
• UEFI met Secure Boot en virtualisatie-extensies ingeschakeld
• Ondersteuning voor Hyper-V op clientsystemen
• Beheerdersrechten
• Een beheerde omgeving (Intune of Groepsbeleid in Active Directory) voor configuratie op organisatieniveau

Ondersteunt uw hardware deze technologieën niet, overweeg dan serieus om de devices van uw organisatie te vervangen: ze vormen een blijvend risico voor beveiliging en compliance. Met deze readiness tool beoordeelt u of uw hardware compatibel is.

Credential Guard inschakelen via de UI van Windows-beveiliging

Volg deze stappen om Microsoft Credential Guard in te schakelen op afzonderlijke of onbeheerde devices:

1. Klik met de rechtermuisknop op de Start-knop en klik op Instellingen
2. Klik op Privacy en beveiliging en vervolgens op Windows-beveiliging
3. Selecteer Windows-beveiliging openen
4. Open Apparaatbeveiliging
5. Klik onder Kernisolatie op Details van kernisolatie
6. Zet Geheugenintegriteit op Aan
7. Start opnieuw op wanneer daarom wordt gevraagd
8. Credential Guard wordt automatisch ingeschakeld op ondersteunde devices

Houd er rekening mee dat u deze instellingen niet kunt inschakelen op devices die ze niet ondersteunen.

Credential Guard en LSA inschakelen via Groepsbeleid

Met groepsbeleidsobjecten (GPO’s) schakelt u Credential Guard in voor alle ondersteunde devices die verbonden zijn met het Windows-domein van uw organisatie. Op onbeheerde devices kunt u ook de Editor voor lokaal groepsbeleid gebruiken.

Credential Guard inschakelen via Groepsbeleid

Doe het volgende om Credential Guard in te schakelen via Groepsbeleid:

1. Druk op Win + R, typ gpmc.msc en druk op Ctrl + Shift + Enter.

2. Ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Device Guard.

3. Dubbelklik op Op virtualisatie gebaseerde beveiliging inschakelen.

4. Selecteer Ingeschakeld.

5. Kies onder Configuratie van Credential Guard een van de volgende opties:

1. 1. Ingeschakeld met UEFI-vergrendeling – voorkomt dat Credential Guard wordt uitgeschakeld zonder het systeem te wissen.
   2. Ingeschakeld zonder vergrendeling – maakt uitschakelen op afstand mogelijk wanneer dat nodig is.

LSA Protection inschakelen via Groepsbeleid

Doe het volgende om LSA in te schakelen via een GPO:

1. Druk op Win + R, typ gpmc.msc en druk op Ctrl + Shift + Enter.

2. Ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Local Security Authority

3. Dubbelklik op LSASS configureren om als een beveiligd proces uit te voeren.

4. Zet het beleid op Ingeschakeld.

5. Kies een van beide:

1. Ingeschakeld met UEFI-vergrendeling
2. Inschakelen zonder UEFI-vergrendeling

U kunt deze GPO-instellingen richten op verschillende groepen devices op basis van hun organisatie-eenheid en uw groepsbeleid geforceerd bijwerken door gpupdate /force uit te voeren op de clientdevices.

Configureert u meerdere onbeheerde devices, dan kunt u instellingen exporteren uit het lokale groepsbeleid en ze met scripts op andere devices importeren.

Credential Guard en LSA inschakelen via de Register-editor

U kunt LSA en Credential Guard ook configureren met de Register-editor van Windows:

1. Klik met de rechtermuisknop op de Start-knop en selecteer Uitvoeren
2. Voer de opdracht regedit.exe in en druk op OK om de Register-editor te starten
3. Ga naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard om Credential Guard te configureren
4. Maak of wijzig de volgende DWORD-waarden:
   1. EnableVirtualizationBasedSecurity = 1
   2. RequirePlatformSecurityFeatures = 1
   3. HypervisorEnforcedCodeIntegrity = 1 (optioneel)
5. Ga vervolgens naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa om LSA te configureren
6. Wijzig of maak de volgende DWORD-waarden:
   1. LsaCfgFlags = 1 (enable Credential Guard)
   2. RunAsPPL = 1 (enable LSA Protection)
7. Start het systeem opnieuw op om de wijzigingen door te voeren

Credential Guard en LSA inschakelen via PowerShell

Schakel Credential Guard en LSA Protection programmatisch in met de volgende opdrachten in een PowerShell-sessie met verhoogde rechten.

1. Schakel op virtualisatie gebaseerde beveiliging en Credential Guard in met deze opdrachten:

Enable-WindowsOptionalFeature -Online -FeatureName IsolatedUserMode -All
Enable-WindowsOptionalFeature -Online -FeatureName HypervisorPlatform -All

2. Stel de registerwaarden voor Credential Guard in met deze opdrachten (hiermee past u via PowerShell de hierboven beschreven waarden in het Windows-register aan):

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "EnableVirtualizationBasedSecurity" -Value 1
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "RequirePlatformSecurityFeatures" -Value 1

3. Schakel Credential Guard in door de registerwaarden programmatisch te wijzigen:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LsaCfgFlags" -Value 1

4. Schakel LSA Protection in door de registerwaarden programmatisch te wijzigen:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -PropertyType DWORD -Force

5. U moet uw Windows 10- of Windows 11-device opnieuw opstarten om deze wijzigingen door te voeren.

Credential Guard/LSA inschakelen via de opdrachtprompt van Windows

U kunt de waarden in het Windows-register ook aanpassen om Credential Guard en LSA in te schakelen via de klassieke opdrachtprompt van Windows met de volgende opdrachten:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v EnableVirtualizationBasedSecurity /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v RequirePlatformSecurityFeatures /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LsaCfgFlags /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v RunAsPPL /t REG_DWORD /d 1 /f
bcdedit /set hypervisorlaunchtype auto

Start daarna opnieuw op met:

shutdown /r /t 0

De methoden met de opdrachtprompt en PowerShell kunt u inzetten bij uitrol in batches of als onderdeel van onboarding-scripts.

Methode 6: Credential Guard inschakelen via de instellingencatalogus van Microsoft Intune

Voor zakelijke vloten Windows-devices die met Microsoft Intune worden beheerd, kunt u Credential Guard configureren door:

1. Ga in Intune naar Endpoint Manager > Apparaten > Configuratieprofielen
2. Maak een profiel met het volgende:
   1. Platform: Windows 10 en hoger
   2. Profieltype: Instellingencatalogus
3. Zoek en voeg deze instellingen toe:
   1. Credential Guard > Op virtualisatie gebaseerde beveiliging inschakelen = Ingeschakeld
   2. LSA Protection > LSASS configureren om als een beveiligd proces uit te voeren = Ingeschakeld
   3. Secure Boot vereist = Ingeschakeld
   4. Geheugenintegriteit = Ingeschakeld
4. Wijs het profiel toe aan de gewenste apparaatgroepen

Volg daarna de uitrol van dit beleid om zeker te weten dat het van kracht wordt.

Problemen oplossen en aandachtspunten

Secure Boot en virtualisatie moeten in UEFI ingeschakeld zijn, anders is Credential Guard niet beschikbaar. Mogelijk moet u ook verouderde antivirussoftware of drivers uitschakelen die de LSASS-bescherming blokkeren (deze worden getoond zodra u probeert de functies in te schakelen). Worden de GPO-instellingen niet toegepast, controleer dan of de juiste organisatie-eenheden zijn aangewezen of er geen conflicterende instellingen zijn en of de devices opnieuw zijn opgestart.

Maak bij het bijwerken van drivers voor compatibiliteit eerst een back-up, voor het geval u moet terugrollen om opstartproblemen op te lossen.

Let op: schakelt u Credential Guard in met UEFI-vergrendeling, dan kunt u de functie niet meer uitschakelen zonder het systeem te wissen.

NinjaOne biedt centraal overzicht van beveiliging en compliance voor uw hele vloot

Interne IT-teams en managed service providers (MSP’s) moeten ervoor zorgen dat de beveiligingsfuncties van devices op grote schaal volledig configureerbaar en consistent zijn. Credential Guard- en LSA protection-beleid afdwingen op vloten Windows-devices is een uitdaging, zelfs met tools als Intune.

De uitgebreide reeks tools van NinjaOne voor IT-beheer, ITSM en MSP’s, inclusief uniforme monitoring en beheer op afstand (RMM), maakt remote management moeiteloos. Met PowerShell-scripts op afstand, uitrol van GPO-beleid en monitoring rolt u beveiligingsconfiguraties uit en houdt u in de gaten waar niet aan het beleid wordt voldaan.

Door de eigen beveiligingsfuncties van Windows aan te vullen met NinjaOne, vergroot u de zichtbaarheid over tenants heen en automatiseert u beveiligingsmaatregelen, zodat u binnen uw organisatie of klantenbestand het best mogelijke beveiligingsbeleid handhaaft.

Gerelateerde onderwerpen:

• Wat is referentiebeheer? Definitie en beste praktijken
• Zo controleert u of Credential Guard in Windows is in- of uitgeschakeld
• Zo verwijdert u gecachte referenties in Windows en voorkomt u hergebruik
• Zo beheert u referenties van MSP-tools veilig zonder kluis
• Zo schakelt u Local Security Authority protection in of uit in Windows 11