Sie verwalten eine OU namens Tier0, die Windows Server 2022-Domänencontroller enthält, die auf physischer Hardware ausgeführt werden. Alle Maschinen booten derzeit im Legacy-BIOS-Modus. Ihr Sicherheitsteam verlangt, dass Windows Defender Credential Guard aktiviert und gesperrt wird, damit lokale Administratoren ihn nicht deaktivieren können. Sie werden die Änderung mithilfe von Gruppenrichtlinien bereitstellen. Welche zwei Aktionen müssen Sie durchführen, um die Anforderung zu erfüllen?

Credential Guard erfordert UEFI, Secure Boot und Hardwarevirtualisierung (SLAT) in der Firmware, um die Virtualisierungs-basierte Sicherheit (VBS) zu nutzen, die den LSA-Prozess isoliert. Das Konfigurieren der Server mit UEFI und Secure Boot sowie die Aktivierung der Hardwarevirtualisierung sind daher grundlegende Schritte. Anschließend muss die Gruppenrichtlinie „Turn On Virtualization Based Security“ mit der Credential Guard-Konfiguration auf „Enabled with UEFI lock“ und dem Plattform-Sicherheitslevel auf „Secure Boot“ gesetzt werden, um Credential Guard zu aktivieren und zu verhindern, dass lokale Administratoren es deaktivieren. Die Aktivierung von LSA-Schutz über die Registry allein reicht nicht aus und bietet nicht den gleichen Schutz. Die Hyper-V-Rolle ist für Credential Guard nicht erforderlich, da es VBS nutzt, nicht die Hyper-V-Rolle selbst. Die Richtlinie „Allow delegating saved credentials with NTLM-only server authentication“ ist irrelevant für die Aktivierung von Credential Guard.