Windows服务器上启用Credential Guard（凭据保护）是抵御哈希传递攻击（Pass-the-Hash，简称PtH）最直接有效的手段之一。Credential Guard通过基于虚拟化的安全（VBS）技术，将用户凭据隔离在一个受保护的虚拟容器中，使得攻击者即使获取了NTLM哈希值，也无法在目标系统上直接使用这些凭据进行横向移动。具体操作上，你需要确保服务器满足硬件要求（支持UEFI锁、Secure Boot、TPM 2.0、CPU虚拟化扩展），然后通过组策略或PowerShell命令启用VBS和Credential Guard功能，重启后即可生效。下面我会把整个流程、原理、注意事项全部讲透。

什么是哈希传递攻击，为什么Credential Guard能防住它

哈希传递攻击是一种经典的内网渗透手法。攻击者在入侵一台Windows机器后，通过Mimikatz等工具从内存中提取出用户的NTLM哈希值。由于Windows的NTLM认证机制允许直接使用哈希值进行身份验证（而不需要明文密码），攻击者就可以拿着这个哈希去访问同一域内的其他服务器、共享文件夹、远程桌面，实现横向移动。传统的防护方式比如禁用NTLM、强制使用Kerberos、部署LAPS管理本地管理员密码，都有各自的局限性。而Credential Guard从根本上改变了凭据的存储和使用方式——它把LSASS进程中的凭据隔离到一个Hyper-V虚拟化的安全容器里，即使攻击者拿到了哈希，也无法从这个隔离环境中提取出可用的凭据来发起认证请求。

Credential Guard的核心技术原理

Credential Guard依赖于Windows 10/11和Windows Server 2016及以上版本中的虚拟化安全（Virtualization-Based Security，VBS）功能。VBS利用Hyper-V hypervisor创建一个隔离的内存区域，称为安全内核（Secure Kernel）。LSASS（本地安全机构子系统服务）的关键凭据数据被重定向到这个安全区域中运行的一个轻量级虚拟化实例里，叫做LSAIso（LSASS Isolated）。这样一来，即使主操作系统被完全攻陷，攻击者也无法直接访问存储在LSAIso中的凭据。同时，Credential Guard还配合Device Guard的代码完整性策略，确保只有受信任的代码才能在系统上运行，进一步提高了攻击门槛。

启用Credential Guard的硬件前提条件

在动手配置之前，必须确认你的服务器硬件满足以下全部条件，缺一不可：

1. 64位处理器，支持Intel VT-x或AMD-V硬件虚拟化扩展，且在BIOS/UEFI中已开启。你可以用命令查看：

systeminfo | findstr /i "Hyper-V"

2. UEFI固件，不支持传统BIOS模式。服务器必须以UEFI模式启动。

3. Secure Boot（安全启动）已启用。这是防止恶意引导加载程序的关键。

4. TPM 2.0芯片已启用并可用。TPM用于保护加密密钥和度量启动过程。

5. 至少4GB内存（推荐8GB以上），因为VBS会占用额外的内存资源。

如果你用的是虚拟机（比如Hyper-V或VMware），还需要确保虚拟机本身支持嵌套虚拟化（Nested Virtualization），否则VBS无法正常工作。在Hyper-V中，可以通过以下PowerShell命令开启嵌套虚拟化：

Set-VMProcessor -VMName "YourVMName" -ExposeVirtualizationExtensions $true

通过组策略启用Credential Guard的详细步骤

对于域环境中的Windows Server，最推荐的方式是通过组策略（GPO）统一下发配置。具体路径如下：

打开组策略管理器（gpmc.msc），导航到：计算机配置 → 管理模板 → 系统 → Device Guard → 打开基于虚拟化的安全。将"启用基于虚拟化的安全"设置为"已启用"，并选择"仅启用VBS"或"启用VBS和平台安全级别"。

接着导航到：计算机配置 → 管理模板 → 系统 → Device Guard → 打开凭据保护。将"启用凭据保护"设置为"已启用"，配置选择"使用UEFI锁"（推荐）。

如果你的服务器不在域环境中，或者需要本地配置，可以直接用PowerShell命令：

Enable-WindowsOptionalFeature -Online -FeatureName "Hyper-V-Hypervisor","Microsoft-Hyper-V","VirtualMachinePlatform","IsolatedUserMode" -All

然后重启服务器，重启后用以下命令验证是否生效：

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

如果SecurityServicesRunning和SecurityServicesConfigured都显示为1，说明Credential Guard已经成功运行。

通过注册表手动启用的备用方法

如果组策略和PowerShell方式都不方便，还可以通过修改注册表来启用。需要修改以下两个键值：

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa下，新建DWORD值LsaCfgFlags，设置为1。

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard下，新建DWORD值EnableVirtualizationBasedSecurity，设置为1；新建DWORD值RequirePlatformSecurityFeatures，设置为1。

修改完成后同样需要重启。但要注意，注册表方式不如组策略和PowerShell可靠，微软官方更推荐前两种方式。

启用后需要做的配套安全加固

Credential Guard不是万能的，它主要解决凭据窃取和哈希传递问题，但你还需要配合其他措施形成纵深防御：

第一，禁用NTLMv1和不必要的NTLM认证。通过组策略将"网络安全: 限制NTLM: 仅允许NTLMv2"设为启用，同时将"网络安全: 限制NTLM: 向后兼容的本地验证"设为"仅限域身份验证"。

第二，部署LAPS（本地管理员密码解决方案），确保每台服务器的本地管理员密码都是唯一且随机生成的，避免一台被攻破后全部沦陷。

第三，启用SMB签名和加密，防止中间人攻击在文件共享层面截获凭据。通过PowerShell设置：

Set-SmbServerConfiguration -RequireSecuritySignature $true -EnableSecuritySignature $true -EncryptData $true

第四，定期更新系统补丁，尤其是针对LSASS和认证机制的安全更新。微软每个月的补丁日都可能包含与凭据保护相关的修复。

第五，部署EDR（端点检测与响应）解决方案，监控异常的LSASS访问行为和横向移动迹象。即使Credential Guard开启，高级攻击者仍可能尝试绕过，EDR能提供第二层检测能力。

Credential Guard的已知限制和注意事项

必须客观地说，Credential Guard并非没有代价和限制。首先，它会带来一定的性能开销，通常在5%-15%之间，具体取决于工作负载类型。对于高并发的数据库服务器或实时计算场景，需要提前评估性能影响。其次，某些旧版应用程序或驱动程序可能与VBS不兼容，导致蓝屏或功能异常。建议在生产环境大规模部署前，先在测试环境中验证兼容性。第三，Credential Guard只能保护NTLM凭据和Kerberos票据，对于其他类型的凭据（比如存储在浏览器中的密码、证书私钥等）并没有保护作用。第四，如果攻击者已经获得了域管理员权限并能修改域控策略，理论上可以通过禁用Credential Guard来绕过，所以域控本身的安全同样重要。

如何验证Credential Guard是否真正在工作

除了前面提到的PowerShell验证命令，还有几种方法可以确认：

方法一：查看事件日志。在事件查看器中导航到应用程序和服务日志 → Microsoft → Windows → DeviceGuard → Operational，查看事件ID 3000和3001，如果显示VBS已启用且Credential Guard已运行，就是正常的。

方法二：使用Mimikatz进行测试。在Credential Guard启用后，运行Mimikatz执行"sekurlsa::logonpasswords"命令，你会发现无法提取到明文密码或哈希值，这就是保护生效的标志。但注意，这种测试只应在授权的安全评估环境中进行。

方法三：使用Microsoft的Attack Surface Analyzer工具，它可以自动检测系统的安全配置状态，包括Credential Guard的启用情况。

企业级部署的最佳实践建议

如果你管理的是一个有几十台甚至上百台Windows Server的企业环境，建议分阶段推进。第一阶段，先在非核心业务服务器上试点，观察一到两周的稳定性和性能表现。第二阶段，将配置封装成标准GPO模板，通过域控统一下发。第三阶段，结合SCCM或Intune等管理工具批量推送。同时，建立监控机制，定期通过脚本批量检查所有服务器的Credential Guard状态，确保没有被意外关闭或配置回退。对于无法满足硬件要求的老旧服务器，考虑升级硬件或迁移到新平台，而不是强行开启导致系统不稳定。

总结

Credential Guard是目前Windows平台上对抗哈希传递攻击最成熟、最有效的内置安全机制。它通过VBS虚拟化技术将凭据与操作系统隔离，从架构层面切断了攻击者利用窃取哈希进行横向移动的路径。但它不是银弹，需要配合NTLM限制、LAPS、SMB加密、EDR等措施形成完整的防御体系。硬件要求严格、性能有一定损耗、兼容性需要验证，这些都是部署前必须考虑的现实因素。把这些功课做足，你的Windows服务器在内网安全层面就能上一个大台阶。