Belangrijkste punten
- Wat is Device Guard? Device Guard is een set zakelijke beveiligingsfuncties van Windows die ongeautoriseerde apps blokkeert en code integrity afdwingt met virtualization-based security (VBS) en hypervisor-enforced code integrity (HVCI).
- Beschikbaarheid per editie: Device Guard wordt alleen ondersteund in de Enterprise- en Education-edities van Windows 10/11. Het is niet beschikbaar in de Home- of Pro-editie.
- Device Guard versus Windows Defender Application Control (WDAC): Device Guard is een onderdeel van WDAC. Samen dwingen ze strikt applicatiebeleid af en maken ze systemen weerbaarder tegen malware en zero-dayexploits.
- Zo werkt Device Guard: Device Guard gebruikt VBS om gevoelige bewerkingen te isoleren en HVCI om te zorgen dat alleen ondertekende, vertrouwde code wordt uitgevoerd – essentieel voor de bescherming van zakelijke infrastructuur.
- Hardware- en bootvereisten: Device Guard vereist Secure Boot, virtualisatieondersteuning (Intel VT-x/AMD-V) en compatibele hardware (second-level address translation of SLAT).
- Device Guard controleren:
- Via Systeeminformatie (msinfo32): voer msinfo32 uit → ga naar Systeemoverzicht → controleer bij Device Guard Virtualization-based Security of het draait.
- Via PowerShell: gebruik deze opdracht: Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard. U ziet welke beveiligingsfuncties zijn geconfigureerd en draaien (bijvoorbeeld HVCI en Credential Guard).
- Via de Editor voor groepsbeleid (gpedit.msc): ga naar Computerconfiguratie > Beheersjablonen > Systeem > Device Guard. Controleer beleidsregels zoals Op virtualisatie gebaseerde beveiliging inschakelen en HVCI configureren.
- Bevestig de handhaving van het beleid met gpupdate en gpresult: voer gpupdate /force uit om de wijzigingen toe te passen en gpresult /h gpresult.html om te controleren of het domeinbeleid voor Device Guard is toegepast.
In deze gids leest u wat Windows Device Guard is, hoe het zakelijke devices beschermt en hoe u controleert of het ingeschakeld of uitgeschakeld is. U krijgt gedetailleerde instructies om de status van Device Guard te controleren, informatie over het oplossen van problemen en uitleg over de gevolgen wanneer Device Guard uitstaat.
Vergroot het inzicht in uw beheerde endpoints en beperk potentiële dreigingen.
Bekijk een gratis demo van NinjaOne Endpoint management
Wat is Device Guard in Windows 10/11?
Device Guard is een verzameling beveiligingsfuncties van Windows die bescherming bieden tegen malware en andere cyberdreigingen in zakelijke en onderwijsomgevingen. Alleen vertrouwde en geautoriseerde applicaties en code mogen worden uitgevoerd. Gebruikt u Windows 10 Pro/Windows 10 Home of Windows 11 Pro/Windows 11 Home, dan is Device Guard niet beschikbaar en kunt u ook niet controleren of het op uw pc is ingeschakeld.
Zo werkt Windows Device Guard
Windows Device Guard is een onderdeel van Windows Defender Application Control (WDAC) en zet verschillende beveiligingstechnologieën in om de Windows-infrastructuur in zakelijke omgevingen te beschermen, zowel op hardware- als op softwareniveau. Het gaat onder meer om:
- virtualization-based security (VBS), waarmee gevoelige processen en gegevens van de rest van het systeem worden geïsoleerd, en
- hypervisor-enforced code integrity (HVCI), waarmee door de gebruiker gedefinieerde code integrity-beleidsregels worden afgedwongen zodat alleen goedgekeurde applicaties kunnen draaien.
Deze maatregelen verbeteren de bescherming tegen malware en stellen beheerders in staat om ervoor te zorgen dat alleen code die zij goedkeuren wordt uitgevoerd op systemen in hun Windows-domein.
Waarom het belangrijk is om de status van Device Guard te controleren
Device Guard werkt samen met Credential Guard om zakelijke Windows-netwerken tegen cyberaanvallen te beschermen. Net als bij Credential Guard vereist het inschakelen van Device Guard hardwarematige virtualisatieondersteuning en het activeren van Secure Boot. Anders dan Credential Guard wordt Device Guard echter niet automatisch ingeschakeld op systemen die aan de hardwarevereisten voldoen.
Sommige onderdelen die Device Guard gebruikt, zoals HVCI, worden mogelijk wel automatisch ingeschakeld als het systeem aan de vereisten voldoet. Daarom is het verstandig om te controleren of de specifieke Device Guard-functies die u nodig hebt daadwerkelijk draaien nadat u ze voor uw Windows-omgeving hebt geconfigureerd.
Voordat Device Guard volledig kan worden ingeschakeld, moet een beheerder code integrity-beleidsregels instellen die bepalen welke geautoriseerde code op de betreffende devices mag worden uitgevoerd. Het configureren van dit beleid en het inschakelen van Device Guard in uw Windows-domein heeft twee belangrijke voordelen:
- Het helpt uw systemen te beschermen tegen malware en cyberaanvallen doordat kwaadaardige code niet wordt uitgevoerd.
- Het geeft u controle over wat uw gebruikers met hun machines kunnen doen, omdat alleen goedgekeurde apps mogen draaien.
De status van Device Guard controleren
Met onderstaande methoden controleert u de status van Device Guard op een pc met Windows Enterprise:
Device Guard controleren via Systeeminformatie (msinfo32)
Volg deze stappen om de status van Device Guard te controleren met het hulpprogramma Systeeminformatie:
- Klik met de rechtermuisknop op de knop Start en selecteer Uitvoeren
- Voer msinfo32 in het dialoogvenster Uitvoeren in en klik op OK
- Klik in het linkernavigatievenster op Systeemoverzicht
- Scroll in het rechtervenster omlaag naar Device Guard Virtualization-based Security
- Als Device Guard is ingeschakeld, staat er Wordt uitgevoerd
Naast dit item in de systeeminformatie met de status van Device Guard vindt u er ook vermeldingen met specifieke informatie over de eigenschappen en services van Device Guard en of deze op uw systeem beschikbaar zijn of draaien.
Device Guard controleren met PowerShell-opdrachten
Met de PowerShell-cmdlet Get-CimInstance controleert u de status van Device Guard. Voer deze opdracht uit in een PowerShell-prompt met beheerdersrechten:
Get-CimInstance –ClassName Win32_DeviceGuard –Namespace root\Microsoft\Windows\DeviceGuard
Deze opdracht toont de beschikbare hardwarebeveiligingsfuncties van uw Windows-pc en welke daarvan zijn ingeschakeld.
Device Guard op één pc controleren via de Editor voor lokaal groepsbeleid
Volg deze stappen om te controleren of Device Guard-functies via het lokale groepsbeleid zijn ingeschakeld:
- Start de Editor voor lokaal groepsbeleid door gpedit.msc uit te voeren
- Ga naar Computerconfiguratie/Beheersjablonen/Systeem/Device Guard
- Controleer de status van het Device Guard-beleid, waaronder:
- Op virtualisatie gebaseerde beveiliging inschakelen
- Windows Defender Application Control implementeren
- HVCI en Kernel Mode Code Integrity configureren
Houd er rekening mee dat het Device Guard-beleid op domeinniveau moet worden geconfigureerd en dat u het portaal voor lokaal groepsbeleid alleen gebruikt om de status van Device Guard op een specifieke machine te controleren.
Wilt u de bovenstaande methoden stap voor stap zien? Bekijk dan deze korte video: ‘Zo controleert u of Device Guard is ingeschakeld of uitgeschakeld in Windows’.
Controleren of Device Guard met groepsbeleidswijzigingen is ingeschakeld
Hebt u onlangs wijzigingen aangebracht in het groepsbeleid van uw Windows-domein en ziet u die nog niet terug? Voer dan gpupdate /force uit om de wijzigingen toe te passen of voer een reboot uit op de betreffende machines.
Om te controleren of Device Guard via groepsbeleid in een Windows-domein is ingeschakeld, voert u gpresult /h gpresult.html uit in PowerShell (als beheerder). Zo ziet u welk domeinbeleid is toegepast.
Veroorzaakt Device Guard compatibiliteitsproblemen, dan kunt u het via groepsbeleid uitschakelen voor specifieke devices of de bijbehorende beveiligingsinstellingen uitschakelen in de BIOS/UEFI van dat device.
Ontdek hoe NinjaOne het beveiligingsbeleid van Windows-endpoints versterkt.
⛨ Ontdek NinjaOne Endpoint Security
De beveiliging van grote aantallen Windows-devices in uw organisatie waarborgen
Een sterke verdediging tegen cyberdreigingen hoeft niet moeilijker te worden naarmate u meer machines beheert. Het afdwingen van Windows-beveiligingsconfiguraties, inclusief het inschakelen en controleren van de status van Device Guard, kunt u automatiseren met Endpoint management van NinjaOne.
Met NinjaOne beheert u uw Windows-configuraties vanuit één centrale webinterface, die ook scripts kan uitrollen, inventarisaties kan maken, rapportages kan leveren en kan helpen bij patchbeheer. Daarnaast ondersteunt NinjaOne het beheer van Linux, macOS, Android en mobiele Apple-devices, voor volledige monitoring, compleet inzicht en actuele informatie over de status van uw IT-infrastructuur.
