Defender Device Guard

Die Einstellungen für Microsoft Defender Device Guard (Device Guard) aktivieren virtualisierungsbasierte Windows-Sicherheitsfunktionen, die Dienste für eine Gruppe von Geräten unterstützen.

Device Guard-Einstellungen konfigurieren

In der folgenden Tabelle werden die Device Guard-Einstellungen beschrieben, die Sie für Windows-Geräte konfigurieren können.
Richtlinieneinstellung Beschreibung Unterstützte Geräte
Defender Device Guard konfigurieren Wenn diese Einstellung aktiviert ist, können Administratoren Einstellungen konfigurieren, die die Systemintegrität und Anmeldeinformationen auf Windows-Geräten schützen. Windows Bildung und Unternehmen
Credential Guard-Einstellungen
Starten von System Guard konfigurieren System Guard schützt und gewährleistet die Integrität des Systems beim Systemstart und validiert, dass die Systemintegrität durch lokale und ferne Attestierung bewahrt wurde. Weitere Informationen zu System Guard finden Sie unter https://www.microsoft.com/security/blog/2018/04/19/introducing-windows-defender-system-guard-runtime-attestation/.
Zu den Einstellungen gehören die folgenden:
  • Nicht verwaltet lassen: Ermöglicht Administratoren, System Guard zu konfigurieren.
  • Aktivieren, sofern von der Hardware unterstützt: Aktiviert System Guard auf der unterstützten Hardware. Geräte müssen ein diskretes Trusted Platform Module (TPM 2.0) unterstützen. Integrierte und Firmware-TPMs werden nicht unterstützt.

    TPM bietet Schutz für VBS-Chiffrierschlüssel, die in der Firmware gespeichert werden, und verhindert den unbefugten Zugriff auf das BIOS. Weitere Informationen zu TPM finden Sie unter https://docs.microsoft.com/en-us/windows/security/information-protection/tpm/trusted-platform-module-top-node.

  • Inaktivieren: Inaktiviert System Guard.
 Windows Bildung und Unternehmen
Virtualization Based Security (VBS) aktivieren Virtualisierungsbasierte Sicherheit erstellt und isoliert vitale Betriebssystemressourcen und Berechtigungsnachweise. Sie verwendet den Windows-Hypervisor für die Unterstützung von Sicherheitsservices. Weitere Informationen zur virtualisierungsbasierten Sicherheit finden Sie unter https://docs.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-vbs. Windows Bildung und Unternehmen
Credential Guard konfigurieren Credential Guard verwendet virtualisierungsbasierte Sicherheit, um geheime Schlüssel zu isolieren, auf die nur privilegierte Systemsoftware zugreifen kann. Credential Guard verhindert unbefugte Zugriffe, die zu Attacken durch Diebstahl von Berechtigungsnachweisen führen können. Dazu werden NTLM-Kennworthashes, Kerberos Ticket Granting Tickets (TGT) und Berechtigungsnachweise geschützt, die von Anwendungen als Domänenberechtigungsnachweise gespeichert werden. Weitere Informationen zu Credential Guard finden Sie unter https://docs.microsoft.com/en-us/windows/security/identity-protection/credential-guard/credential-guard.
Zu den Einstellungen gehören die folgenden:
  • Credential Guard inaktivieren: Ermöglicht Administratoren, Credential Guard über Fernzugriff zu inaktivieren, wenn Credential Guard zuvor mit einer UEFI-Sperre (Unified Extensible Firmware Interface) konfiguriert wurde.
  • Mit UEFI-Sperre aktivieren: Verwenden Sie Credential Guard mit einer UEFI-Sperre (Unified Extensible Firmware Interface), um zu verhindern, dass Angreifer das Betriebssystem durch eine Änderung des Registrierungsschlüssels inaktivieren.
  • Ohne UEFI-Sperre aktivieren: Aktiviert Credential Guard ohne eine UEFI-Sperre (Unified Extensible Firmware Interface).
 Windows Bildung und Unternehmen
Plattformsicherheitsebene für nächsten Warmstart konfigurieren Aktiviert Sicherheitsfeatures, mit denen Geräte geschützt werden können.
  • VBS mit Secure Boot aktivieren: Ermöglicht der virtualisierungsbasierten Sicherheit, Secure Boot beim nächsten Warmstart zu verwenden. Secure Boot ist ein Sicherheitsstandard, der überprüft, ob ein Gerät autorisierten Code bootet, und darüber hinaus verhindert, dass Bootkits und Rootkits installiert und auch nach Warmstarts persistent gespeichert werden.
  • VBS mit Secure Boot und DMA aktivieren: Ermöglicht der virtualisierungsbasierten Sicherheit, die folgenden Sicherheitsfeatures beim nächsten Warmstart zu verwenden:
    • Secure Boot ist ein Sicherheitsstandard, der überprüft, ob ein Gerät autorisierten Code bootet, und darüber hinaus verhindert, dass Bootkits und Rootkits installiert und auch nach Warmstarts persistent gespeichert werden.
    • Direct Memory Access (DMA): Ein hardwarebasiertes Sicherheitsfeature, das Isolierung und Schutz vor böswilligen DMA-Attacken während des Bootprozesses und zur Laufzeit des Betriebssystems bietet.
 Windows Bildung und Unternehmen