Device Guard: Что это такое и как включить или отключить

Device Guard — использует виртуализацию для изоляции секретов и тем самым обеспечивает защиту от взлома. Это гарантирует, что только привилегированное системное программное обеспечение может получить доступ к таким данным как хэши паролей NTLM и учетные данные домена. Credential Guard создает виртуальный контейнер и хранит все важные данные в нем, что не позволяет получить доступ к этим токенам на уровне системы без специальных прав авторизации. Примечательно то, что Credential Guard можно развернуть на виртуальной машине как Hyper-V.

К примеру, если хакер взломал и получил доступ к Windows 10, то он мог получить и доступ к хэшу, который используется для шифрования учетных записей, так как хэш храниться в локальной ОЗУ без защиты. В Credential Guard хэш храниться в виртуальном контейнере, и даже, если система будет скомпрометирована, то хакер не получит доступ к этому хэшу.

Ограничение на использование Device Guard

1. Поддержка виртуализации 64x битным процессором.
2. Безопасная загрузка.
3. Чип на материнской плате TPM версии 1.0 или 2.0.
4. Включенный Hyper-V.
5. Доступно в Windows 10 Education, Enterprise и Windows Server 2016.

В документации Microsoft вы можете обнаружить, что Credential Guard поддерживается в Windows 10, что означает Pro и Home. Я сам запутался, и дело в том, что документация не правильная и требует правок. На github есть обсуждение на эту тему, и функция Credential Guard как бы есть, но она не шифрует данные в виртуальном контейнере, т.е. она не работает. Обратите внимание на это сообщение и это .

Как включить и отключить Device Guard

В групповых политиках перейдите «Конфигурация компьютера» > «Административные шаблоны» > «Система» > «Device Guard» > справа выберите «Включить средство обеспечения безопасности на основе виртуализации«.

Ошибка несовместимости с Credential Guard сторонних виртуальных машин

Иногда, пользователи могут видеть ошибку «VMware Workstation и устройства Device/Credential Guard несовместимы. VMware Workstation можно запустить после отключения Device/Credential Guard» при использовании сторонних виртуальных машин как VirtualBox или VMware Workstation.

Способ 1. В этом случае нужно отключить несколько компонентов как Aplication Guard, Hyper-V и песочница Windows. Также, посмотрите не включен ли Credential Guard в групповых политиках, указанном выше способом.

Способ 2. Если выше способ не помог и виртуальные машины выдают ошибку на несовместимость Credential Guard, то откройте редактор реестра и перейдите по пути:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity
• Нажмите два раза по Enabled и установите значение 0.
• Перезагрузите ПК.

Если после перезапуска Windows, ошибка появляется, то запустите командную строку от имени администратора и введите:

• bcdedit /set hypervisorlaunchtype off

Если хотите вернуть команду по умолчанию, то введите bcdedit /set hypervisorlaunchtype auto

Отключить Windows Defender Credential Guard и Device Guard

В последних обновлениях Windows 10 по умолчанию включен Windows Defender Credential Guard (Защитник Windows Защита учетной записи) и может получиться так, что ранее подготовленные виртуальные машины не запускаются в VMware Workstation или Hyper-V.

Не буду останавливаться на том, что это за технологии, т.к. цель данной заметки – просто и надежно отключить новый функуионал безопасности и тем самым исправить ошибку: “VMware Workstation and Device/Credential Guard are not compatible. VMware Workstation can be run after disabling Device/Credential Guard“.

При запуске несовместимой VM, появляется данное предупреждение и сразу же есть ссылка на официальный мануал по устранению этой проблемы. Там пошагово описан процесс включения и отключения Защиты учетной записи, но самый быстрый и безопасный вариант спрятан в самом конце заметки – что ж исправим ситуацию.

1. Скачиваем официальны набор скриптов – Windows Defender Credential Guard hardware readiness tool – microsoft.com/en-us/download/details.aspx?id=53337 ;
2. Распаковываем содержимое архива в удобную директорию;
3. Запускаем Power Shell от имени администратора, переходим в папку с распакованным скриптом;
4. Запускаем скрипт с нужными ключами (при необходимости подтверждаем выполнение операции – R).

В нашем примере используется ключ автоматической перезагрузки системы:

После перезагрузки можем как и прежде запускать виртуальные машины в VMware Workstation в нашей любимой Windows 10 😉

Нашли ошибку в тексте? Выделите фрагмент текста и нажмите Ctrl+Enter

How to disable Credential Guard in Windows 10 to run VMware

The Pro version of Windows comes with Hyper-V, the inhouse virtual machine solution from Microsoft built-into Windows. However, if you enable Hyper-V, it also enables the Windows Defender Credential Guard.

Now, what if you want to disable Credential Guard in Windows 10?

You may be required to disable Credential Guard to make sure that the other virtual machine solutions like VMware operate normally, which is not possible with the Credential Guard running.

In this article, we walk you through the steps required to disable Credential Guard in Windows 10 to run VMware and Hyper-V.

How can I disable Credential Guard to run Hyper-V and VMware:

1. Disable Credential Guard from the Control Panel

Enable Hyper-V

Note: If you already have Hyper-V enabled, jump to the second step below.

1. Press “Windows Key + R” to open Run.
2. Type control and click OK to open the Control Panel.
3. In the Control Panel, go to Programs > Programs and Features.
4. On the left pane, click on “Turn Windows features on or off” link.
   
5. In the Windows Features window, check “Hyper-V” and click OK.
6. If you are running Windows 10 version earlier than 1607, then check Hyper-V Hypervisor as well Isolated User Mode option.
   
7. Click OK to save the changes.
8. Windows will prompt you to restart the computer. Click on Restart to install Hyper-V.

Disable Credential Guard

1. Press Windows Key + R to open Run.
2. Type gpedit.msc and click OK. This will open the Group PolicyEditor.
3. In the Group Policy Editor, navigate to the following location:
   Computer Configuration -> Administrative Templates -> System -> Device Guard
4. Select Device Guard.
5. On the right pane, double-click the “Turn on Virtualization Based Security” policy.
   
6. In the new dialogue box, select Disabled / Not Configured option.
7. Click OK to save the changes.
8. Close the Group Policy Editor.
9. Restart the computer to apply the changes.
10. After the restart, you can work with Hyper-V as well as VMware without any issues.

If the issue persists, open the Windows Features window again from step 1 and then de-select Hyper-V and reboot the computer.

2. Diable Hyper-V using PowerShell command

1. If you get “WMware Player and device/Credential Guard are not compatible. VMware Player can be run after disabling Device/Credential Guard” error; the first method should help.
2. However, if the issue persists, you can disable Hyper-V using the PowerShell command.
   
3. Right-click on “Start” and select “Windows PowerShell (Admin).”
4. In the PowerShell window, type the following command to disable Hyper-V.
   bcdedit /set hypervisorlaunchtype off
5. Now try relaunching VMware and check if the error is resolved.

Enable Hyper-V using PowerShell

1. If you want to turn on Hyper-V, use the following command.
   bcdedit /set hypervisorlaunchtype auto
2. This will enable Hyper-V on your machine.

The first method to disable Credential Guard is recommended if you want to run both Hyper-V and VMware virtual machines on you computer.

However, the PowerShell command can disable Hyper-V without having to install/uninstall it from Windows Features.

RELATED STORIES YOU MAY LIKE:

Исправляем ошибку запуска VMware в Windows 10: VMware Workstation and Device/Credential Guard are not compatible

Месяц не пользовался VMware на своём компьютере. За это время моя Windows 10 обновлялась и судя по всему с одним из обновлений прилетела какая-то фигня, которая внесла определённые настройки в систему и VMware перестала запускать гостевые машины выдавая ошибку «VMware Workstation and Device/Credential Guard are not compatible. VMware Workstation can be run after disabling Device/Credential Guard»

Очередной привет от Microsoft.

На официальном сайте VMware есть решение этой проблемы. но оно на английском языке и немного запутанное, поэтому потренировавшись на своём компьютере и получив положительный результат (всё заработало) решил записать решение в свой блог, так как в будущем оно мне может снова пригодиться, ведь VMware я использую постоянно для различных целей.

Уверен, что данную статью читают грамотные ребята. Однако напомню, что, следуя советам, полученным из статьи, надо помнить, что выполнение описанных в статье операций может привести к неожиданным для вас последствиям. В связи с этим настоятельно рекомендую предварительно создать точку восстановления системы.

Решаем проблему. Открыть командную строку «WIN + R» и ввести команду «gpedit.msc», нажать «ОК».
В открывшемся окне перейти в раздел «Политика Локальный компьютер => Конфигурация компьютера => Административные шаблоны => Система => Device Guard».

Здесь дважды кликаем по пункту «Включить средство обеспечения безопасности на основе виртуализации»:

В открывшемся окне выбираем пункт «Отключено» и нажимаем «ОК»:

Далее перейти в «Панель управления => Программы и компоненты => Включение или отключение компонентов Windows» и отключаем Hyper-V и нажимаем «ОК»:

Компьютер предложит перезагрузиться => отказываемся (перезагрузимся позже).

Запускаем командную строку от имени администратора:

В командной строке выполняем подряд несколько команд:

bcdedit /create <0cb3b571-2f2e-4343-a879-d86a476d7215>/d «DebugTool» /application osloader

bcdedit /set bootsequence

bcdedit /set <0cb3b571-2f2e-4343-a879-d86a476d7215>loadoptions DISABLE-LSA-ISO,DISABLE-VBS

bcdedit /set hypervisorlaunchtype off

Перезагружаем компьютер.
Теперь запускаем гостевую операционную систему в VMware и наслаждаемся работой.

Читатель «Аноним» от 06.12.2018
Кому не помог этот способ — отключите изоляцию ядра в центре безопасности защитника windows

Читатель «ZZ» от 24.04.2019
Достаточно было выполнить следующую команду: bcdedit /set hypervisorlaunchtype off

Читатель «Аноним» от 09.01.2020
Для перехода назад на Hyper-V, к примеру для Docker, необходимо выполнить следующую команду: bcdedit /set hypervisorlaunchtype auto

Отключение Credential Guard or Device Guard в Windows 10 Pro / SL

Привет всем. Итак, недавно моя вторая система Windows 10 SL обновилась до сборки 1803, ну и все бы ничего, но при попытке создать и запустить новую виртуальную машину использюя VMWare Workstation 14, я обнаружил ошибку, которая сообщала мне что Credential Guard or Device Guard не позволяет мне использовать МОЮ виртуализацию, по этому я должен ее отключить и мне предлагается перейти по ссылке на сайт VMWare где подробно описано как это сделать. И все бы ничего, но инструкция предназначена для Windows 10 редакции Server и, конечно же, есть определенные отличия в плане ПО и не только, между серверной редакцией и моей десктопной. Инструкция мне не подходит.

Посетив несколько тематических забугорных форумов и почитав активные обсуждения, я обратил внимание что тем людям, которые задают такой же вопрос, обычно пишут ответ типа «ерунду несешь, данная фича — Credential Guard or Device Guard есть только в Windows редакции Server». Звучит глупо, знатоки еще те. Читая дальше и вникая в суть мне стало понятно, что в этой ошибке есть некоторая связь с Hyper-V (нативной системой виртуализации в Windows), но для десктопных Windows 10 Hyper-V доступен только в редакциях Pro и выше (типа Enterprise) как это связано с моей Single Language мне было не понятно. Данный тип редакции базово не имеет поддержки Hyper-V.

РЕШЕНИЕ.
Каким-то странным истечением обстоятельств я забрел в в установку и удаление компонентов системы и обнаружил там некоторую включенную опцию, которой ранее не было в моей системе. Опция называется Windows Hypervisor Platform. Ну вот, собственно, отключив эту опцию после перезагрузки системы, виртуальная машина под управлением VMWare Workstation начала работать без ошибок как обычно.

Если вы столкнулись с этой проблемой, попробуйте решить ее так. Отпишитесь обязательно в комментариях, у кого получилось / не получислоь.