Windows Server环境中，哈希传递攻击是常见的横向移动手段，攻击者窃取用户凭据的哈希值后，无需解密密码即可直接冒充用户访问其他系统资源。要有效阻断这类攻击，启用Credential Guard是最直接的方法——它利用基于虚拟化的安全技术将用户凭据隔离在受保护的内存区域中，阻止操作系统直接访问哈希值，从而从根本上防止哈希传递。
什么是Credential Guard及其工作原理
Credential Guard是Windows Server 2016及更高版本中引入的安全功能，它依托于虚拟化技术创建一个独立的、受硬件保护的环境（称为虚拟安全模式，VSM），专门用于存储和验证用户凭据。传统Windows系统中，凭据哈希存储在本地安全机构子系统服务进程中，攻击者可通过工具如Mimikatz从内存中提取。而启用Credential Guard后，这些敏感数据被移至VSM中，操作系统内核无法直接读取，即使攻击者获取了管理员权限也难以窃取哈希值。
启用Credential Guard的硬件和系统要求
在启用前，请确保服务器满足以下条件：硬件支持虚拟化扩展（Intel VT-x或AMD-V）并已开启；系统为Windows Server 2016/2019/2022，且64位版本；固件支持安全启动（Secure Boot）；内存至少4GB。可通过PowerShell命令验证硬件兼容性：
Get-ComputerInfo -Property "HyperVRequirementVirtualizationFirmwareEnabled"
若返回True，则虚拟化已启用。同时检查安全启动状态：
Confirm-SecureBootUEFI
分步骤启用Credential Guard
启用Credential Guard需通过组策略或注册表配置。推荐使用组策略方法：首先打开“组策略编辑器”，导航至“计算机配置”->“管理模板”->“系统”->“Device Guard”。双击“打开基于虚拟化的安全”，选择“已启用”，并在选项中选择“启用Credential Guard”。完成后重启服务器。也可通过PowerShell快速启用：
Enable-WindowsOptionalFeature -Online -FeatureName "Microsoft-Hyper-V" -All Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "EnableVirtualizationBasedSecurity" -Value 1 Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "RequirePlatformSecurityFeatures" -Value 1
重启后，在事件查看器中检查系统日志，事件ID为“CredentialGuard已成功启用”即表示配置生效。
验证Credential Guard运行状态
启用后，可通过多种方式验证是否正常工作。使用PowerShell命令：
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
查看返回结果中的“SecurityServicesRunning”字段是否包含“1”，这表示Credential Guard服务已激活。另外，运行系统信息工具（msinfo32.exe），在“系统摘要”中查找“基于虚拟化的安全性”条目，若显示“正在运行”，则说明功能已生效。攻击者若尝试提取哈希，将收到“访问拒绝”错误，这直接证实了防护效果。
Credential Guard的潜在影响和注意事项
启用Credential Guard后，可能影响部分旧版应用程序或身份验证协议。例如，依赖NTLM哈希的旧式服务可能无法正常运行；某些远程管理工具需调整为使用Kerberos认证。建议在测试环境中先行验证兼容性。此外，启用该功能会略微增加内存开销（通常为100-200MB），并依赖硬件虚拟化，因此在虚拟化服务器中需确保宿主机支持嵌套虚拟化。若需临时禁用，可通过组策略将设置改为“禁用”或使用注册表键值调整。
结合其他安全措施强化防护
Credential Guard虽能有效防止哈希传递，但不应作为唯一防线。建议结合以下措施：启用Windows Defender攻击面减少规则，限制凭据盗窃行为；配置本地安全策略，强制使用Kerberos而非NTLM；定期更新服务器补丁，修补已知漏洞；实施最小权限原则，减少高权限账户使用。例如，通过PowerShell禁用NTLM：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RestrictNTLM" -Value 2
这些多层防护能大幅降低横向移动风险。
常见问题与故障排除
若启用后系统启动失败，可能是硬件不兼容或安全启动未开启。进入恢复模式，使用命令还原设置：
bcdedit /deletevalue {current} hypervisorlaunchtype若应用程序出现认证错误，检查事件日志中LSA相关事件，并更新应用至支持虚拟化安全的版本。对于虚拟化环境，确保Hyper-V角色已安装且版本匹配。定期审计安全日志，监控事件ID为“CredentialGuard违规尝试”的记录，以便及时响应潜在攻击。
总结：Credential Guard的价值与部署建议
Windows Server的Credential Guard通过硬件级隔离，从根本上解决了哈希传递问题，是防御横向移动的关键技术。在生产环境中部署时，建议分阶段实施：先在非关键服务器测试兼容性，再逐步推广至域控制器等高价值目标。同时，保持与现有安全体系集成，如SIEM系统监控Credential Guard事件。随着攻击技术演进，微软持续更新该功能，因此定期检查并调整配置至关重要。最终，Credential Guard不仅能提升服务器安全基线，还能为合规性要求提供有力支持。
