حارس الاعتماد

Credential Guard هي تقنية عزل قائمة على المحاكاة الافتراضية لأنظمة LSASS ، تمنع المهاجمين من سرقة بيانات الاعتماد التي يمكن استخدامها في هجمات تمرير التجزئة . ^{[ 1 ] [ 2 ] [ 3 ] [ 4 ]} تم تقديم Credential Guard مع نظام التشغيل Windows 10 من مايكروسوفت . ^{[ 1 ]} اعتبارًا من إصدار Windows 11 22H2، أصبح Credential Guard متاحًا فقط في إصدار Enterprise من نظام التشغيل. ^{[ 5 ]}

بعد اختراق النظام، غالبًا ما يحاول المهاجمون استخراج أي بيانات اعتماد مخزنة للتنقل داخل الشبكة. يُعدّ برنامج LSASS هدفًا رئيسيًا ، حيث يخزن بيانات اعتماد NTLM و Kerberos . يمنع Credential Guard المهاجمين من استخراج بيانات الاعتماد المخزنة في LSASS عن طريق تشغيل LSASS في حاوية افتراضية لا يمكن حتى لمستخدم يتمتع بصلاحيات النظام الوصول إليها. ^{[ 6 ]} ثم يُنشئ النظام عملية وسيطة تُسمى LSAIso (LSA Isolated) للتواصل مع عملية LSASS الافتراضية. ^{[ 7 ] [ 3 ] [ 8 ]}

توجد عدة تقنيات عامة لسرقة بيانات الاعتماد على الأنظمة المزودة بـ Credential Guard:

• سيقوم برنامج تسجيل ضغطات المفاتيح الذي يعمل على النظام بالتقاط أي كلمات مرور يتم إدخالها. ^{[ 9 ] [ 3 ]}
• يمكن لمستخدم يتمتع بصلاحيات المسؤول تثبيت موفر دعم أمني جديد (SSP). لن يتمكن موفر الدعم الأمني ​​الجديد من الوصول إلى تجزئات كلمات المرور المخزنة، ولكنه سيتمكن من التقاط جميع كلمات المرور بعد تثبيته. ^{[ 9 ] [ 10 ]}
• استخراج بيانات الاعتماد المخزنة من مصدر آخر، كما هو الحال في هجوم "المونولوج الداخلي" (الذي يستخدم SSPI لاسترداد تجزئات NetNTLMv1 القابلة للاختراق). ^{[ 11 ]}