Computer >> Hướng Dẫn Máy Tính >  >> Xử Lý Sự Cố >> Lỗi Windows

Bật hoặc tắt Windows 10 Credential Guard để tăng cường bảo mật

Bật/tắt Credential Guard trong Windows 10: Windows Credential Guard dùng bảo mật dựa trên ảo hóa (virtualization-based security) để tách biệt bí mật (secrets) – chỉ phần mềm hệ thống đặc quyền mới truy cập được. Truy cập trái phép các bí mật này dẫn đến tấn công đánh cắp thông tin đăng nhập như Pass-the-Hash hoặc Pass-The-Ticket. Credential Guard bảo vệ hash mật khẩu NTLM, Kerberos Ticket Granting Tickets và thông tin đăng nhập miền do ứng dụng lưu trữ.

Khi bật Windows Credential Guard, bạn được:

  • Bảo mật phần cứng (Hardware security)
  • Bảo mật dựa trên ảo hóa (Virtualization-based security)
  • Bảo vệ tốt hơn chống lại các mối đe dọa bền bỉ nâng cao (Advanced persistent threats)

Hãy bật tính năng này cho hệ thống của bạn. Xem hướng dẫn chi tiết bên dưới.

Bật hoặc tắt Credential Guard trong Windows 10

Lưu ý: Nên tạo điểm khôi phục hệ thống trước khi thực hiện.

Phương pháp 1: Bật/tắt Credential Guard qua Group Policy Editor

Lưu ý: Chỉ hoạt động trên Windows Pro, Education, Enterprise. Người dùng Windows Home bỏ qua phương pháp này.

  1. Nhấn Win + R, gõ gpedit.msc nhấn Enter mở Group Policy Editor.
  2. Đến đường dẫn: 
    Computer Configuration > Administrative Templates > System > Device Guard
  3. Chọn Device Guard, phải bên nhấp đúp “Turn On Virtualization Based Security”.
  4. Chọn Enabled (Bật).
  5. Trong Select Platform Security Level, chọn Secure Boot hoặc Secure Boot and DMA Protection.
  6. Trong Credential Guard Configuration, chọn Enabled with UEFI lock. Nếu muốn tắt Credential Guard từ xa sau này, chọn Enabled without lock.
  7. Nhấn Apply, OK.
  8. Khởi động lại máy.

Phương pháp 2: Bật/tắt Credential Guard qua Registry Editor

Credential Guard dùng tính năng ảo hóa – phải bật trước từ Windows Features trước khi dùng Registry. Chỉ dùng một trong các cách dưới để bật tính năng ảo hóa.

Cách 1: Thêm tính năng ảo hóa qua Programs and Features

  1. Nhấn Win + R, gõ appwiz.cpl nhấn Enter mở Programs and Features.
  2. Trái chọn “Turn Windows Features on or off”.
  3. Mở rộng Hyper-V → Hyper-V Platform.
  4. Tích Hyper-V Hypervisor.
  5. Kéo xuống, tích Isolated User Mode, nhấn OK.

Cách 2: Thêm tính năng ảo hóa cho offline image bằng DISM

  1. Nhấn Win + X, chọn Command Prompt (Admin).
  2. Thêm Hyper-V Hypervisor: 
    dism /image:<tên_file_WIM> /Enable-Feature /FeatureName:Microsoft-Hyper-V-Hypervisor /all
HOẶC dism /Online /Enable-Feature:Microsoft-Hyper-V /All
  3. Thêm Isolated User Mode: 
    dism /image:<tên_file_WIM> /Enable-Feature /FeatureName:IsolatedUserMode
HOẶC dism /Online /Enable-Feature /FeatureName:IsolatedUserMode
  4. Đóng Command Prompt khi xong.

Bật/tắt Credential Guard trong Registry

  1. Nhấn Win + R, gõ regedit nhấn Enter mở Registry Editor.
  2. Đến khóa: 
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard
  3. Nhấp chuột phải DeviceGuard, chọn New > DWORD (32-bit) Value, đặt tên EnableVirtualizationBasedSecurity.
  4. Nhấp đúp EnableVirtualizationBasedSecurity, đổi giá trị:
    • Bật Virtualization-based Security: 1
    • Tắt Virtualization-based Security: 0
  5. Tạo DWORD mới RequirePlatformSecurityFeatures.
  6. Nhấp đúp RequirePlatformSecurityFeatures, đổi giá trị:
    • 1 = Chỉ dùng Secure Boot
    • 3 = Dùng Secure Boot và DMA protection
  7. Đến khóa: 
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
  8. Tạo DWORD LsaCfgFlags.
  9. Nhấp đúp LsaCfgFlags, đổi giá trị:
    • Tắt Credential Guard: 0
    • Bật Credential Guard với UEFI lock: 1
    • Bật Credential Guard không lock: 2
  10. Đóng Registry Editor.

Tắt Credential Guard trong Windows 10

Nếu Credential Guard được bật không có UEFI Lock, bạn có thể tắt bằng công cụ Device Guard and Credential Guard hardware readiness tool hoặc cách sau:

  1. Mở Registry Editor (Win + R → regedit).
  2. Xóa các khóa registry sau: 
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\LsaCfgFlags
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures
  3. Xóa biến EFI của Windows Credential Guard bằng bcdedit. Mở Command Prompt (Admin) (Win + X).
  4. Chạy lần lượt các lệnh: 
    mountvol X: /s
copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d
  5. Đóng Command Prompt, khởi động lại máy.
  6. Chấp nhận lời nhắc để tắt Windows Credential Guard.

Bài viết liên quan:

  • Cho phép hoặc ngăn chặn Theme Windows 10 thay đổi biểu tượng Desktop
  • Bật thông báo trạng thái chi tiết (Verbose) trong Windows 10
  • Bật hoặc tắt Developer Mode trong Windows 10
  • Tắt giảm chất lượng JPEG hình nền Desktop trong Windows 10

Bạn đã học thành công cách bật hoặc tắt Credential Guard trong Windows 10. Thắc mắc hãy bình luận bên dưới.