Credential Guard

Définition

Credential Guard est une fonctionnalité de sécurité Windows introduite avec Windows 10 et Windows Server 2016, exploitant la virtualisation matérielle (VBS, Virtualization Based Security) pour isoler les secrets d'authentification les plus sensibles — hachages NTLM, tickets Kerberos, credentials mis en cache — dans un conteneur virtualisé sécurisé, distinct et inaccessible au système d'exploitation principal même en cas de compromission avec des privilèges SYSTEM. Cette isolation repose sur le composant LSAIso, un processus s'exécutant dans un environnement virtualisé séparé communiquant avec le processus LSASS classique via un canal restreint, empêchant l'extraction directe de ces secrets par des outils de credential dumping traditionnels comme Mimikatz, qui échouent typiquement à accéder à cette mémoire protégée même avec des privilèges administratifs complets sur la machine hôte. Credential Guard neutralise ainsi efficacement le Pass-the-Hash et l'Overpass-the-Hash pour les secrets qu'il protège, bien qu'il ne prévienne pas toutes les techniques de vol de credentials, notamment celles ciblant des secrets encore accessibles hors de son périmètre de protection comme certains identifiants applicatifs. L'activation de Credential Guard nécessite un matériel compatible avec la virtualisation (UEFI, Secure Boot, TPM 2.0 recommandé) et peut créer des incompatibilités avec certains pilotes ou logiciels legacy dépendant d'un accès direct à LSASS, justifiant des tests préalables avant un déploiement généralisé en environnement de production.