เปิดหรือปิด Windows 10 Credential Guard เพื่อความปลอดภัยที่เพิ่มขึ้น

เปิดหรือปิด Credential Guard ใน Windows 10: Windows Credential Guard ใช้ความปลอดภัยแบบเสมือนจริง (virtualization-based security) เพื่อแยกข้อมูลลับ เพื่อให้ซอฟต์แวร์ระบบที่มีสิทธิ์พิเศษเท่านั้นที่เข้าถึงได้ การเข้าถึงข้อมูลลับเหล่านี้โดยไม่ได้รับอนุญาตอาจนำไปสู่การโจมตีขโมยข้อมูลประจำตัว เช่น Pass-the-Hash หรือ Pass-The-Ticket Windows Credential Guard ป้องกันการโจมตีเหล่านี้โดยการปกป้องแฮชรหัสผ่าน NTLM, Kerberos Ticket Granting Tickets และข้อมูลประจำตัวที่แอปพลิเคชันจัดเก็บเป็น domain credentials

เมื่อเปิดใช้งาน Windows Credential Guard จะได้คุณสมบัติและโซลูชันต่อไปนี้:

• ความปลอดภัยระดับฮาร์ดแวร์ (Hardware security)
• ความปลอดภัยแบบเสมือนจริง (Virtualization-based security)
• การป้องกันที่ดีกว่าต่อภัยคุกคามขั้นสูงที่คงอยู่ (Better protection against advanced persistent threats)

ตอนนี้คุณรู้ความสำคัญของ Credential Guard แล้ว ควรเปิดใช้งานสำหรับระบบของคุณ มาเริ่มดู วิธีเปิดหรือปิด Credential Guard ใน Windows 10 กันเลย

เปิดหรือปิด Credential Guard ใน Windows 10

ควรสร้างจุดกู้คืน (Restore Point) ก่อนเริ่มต้น เพื่อป้องกันกรณีที่เกิดปัญหาขึ้น

วิธีที่ 1: เปิดหรือปิด Credential Guard ใน Windows 10 ด้วย Group Policy Editor

หมายเหตุ: วิธีนี้ทำงานได้ก็ต่อเมื่อคุณมี Windows Pro, Education, หรือ Enterprise Edition ผู้ใช้ Windows Home ข้ามวิธีนี้ไปทำวิธีถัดไป

1. กด Windows Key + R พิมพ์ gpedit.msc แล้วกด Enter เปิด Group Policy Editor (ไม่ใช่ regedit ตามต้นฉบับ)
2. ไปที่พาธต่อไปนี้:

Computer Configuration > Administrative Templates > System > Device Guard

3. เลือก Device Guard แล้วในหน้าต่างด้านขวา ดับเบิลคลิกที่นโยบาย "Turn On Virtualization Based Security"
4. ในหน้าต่างคุณสมบัติของนโยบายดังกล่าว ให้เลือก Enabled
5. จากรายการดรอปดาวน์ "Select Platform Security Level" เลือก Secure Boot หรือ Secure Boot and DMA Protection
6. จาก "Credential Guard Configuration" เลือก Enabled with UEFI lock หากต้องการปิด Credential Guard จากระยะไกล ให้เลือก Enabled without lock แทน
7. เมื่อเสร็จสิ้น คลิก Apply ตามด้วย OK
8. รีบูทคอมพิวเตอร์เพื่อบันทึกการเปลี่ยนแปลง

วิธีที่ 2: เปิดหรือปิด Credential Guard ใน Windows 10 ด้วย Registry Editor

Credential Guard ใช้ฟีเจอร์ virtualization-based security ซึ่งต้องเปิดใช้งานจาก Windows Features ก่อน จึงจะเปิด/ปิด Credential Guard ใน Registry Editor ได้ ต้องใช้เพียงวิธีเดียวจากด้านล่างเพื่อเปิดฟีเจอร์ virtualization-based security

เพิ่มฟีเจอร์ virtualization-based security โดยใช้ Programs and Features

1. กด Windows Key + R พิมพ์ appwiz.cpl แล้วกด Enter เปิด Program and Features
2. จากหน้าต่างด้านซ้าย คลิก "Turn Windows Features on or off"
3. หาและขยาย Hyper-V แล้วขยาย Hyper-V Platform เช่นกัน
4. ภายใต้ Hyper-V Platform ติ๊กถูก "Hyper-V Hypervisor"
5. เลื่อนลงมา ติ๊กถูก "Isolated User Mode" แล้วคลิก OK

เพิ่มฟีเจอร์ virtualization-based security ลงในออฟไลน์อิมเมจด้วย DISM

1. กด Windows Key + X เลือก Command Prompt (Admin)
2. พิมพ์คำสั่งต่อไปนี้ใน cmd เพื่อเพิ่ม Hyper-V Hypervisor แล้วกด Enter:

dism /image:<WIM file name> /Enable-Feature /FeatureName:Microsoft-Hyper-V-Hypervisor /all OR dism /Online /Enable-Feature:Microsoft-Hyper-V /All 

3. เพิ่มฟีเจอร์ Isolated User Mode โดยรันคำสั่ง:

dism /image:<WIM file name> /Enable-Feature /FeatureName:IsolatedUserMode OR dism /Online /Enable-Feature /FeatureName:IsolatedUserMode 

4. เมื่อเสร็จสิ้น ปิด command prompt

เปิดหรือปิด Credential Guard ใน Windows 10

1. กด Windows Key + R พิมพ์ regedit แล้วกด Enter เปิด Registry Editor
2. ไปที่ registry key ต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard

3. คลิกขวาที่ DeviceGuard แล้วเลือก New > DWORD (32-bit) Value
4. ตั้งชื่อ DWORD ใหม่นี้ว่า EnableVirtualizationBasedSecurity แล้วกด Enter
5. ดับเบิลคลิกที่ EnableVirtualizationBasedSecurity DWORD แล้วเปลี่ยนค่าเป็น:

เพื่อเปิด Virtualization-based Security: 1
เพื่อปิด Virtualization-based Security: 0

6. คลิกขวาที่ DeviceGuard อีกครั้ง เลือก New > DWORD (32-bit) Value ตั้งชื่อว่า RequirePlatformSecurityFeatures แล้วกด Enter
7. ดับเบิลคลิกที่ RequirePlatformSecurityFeatures DWORD และ เปลี่ยนค่าเป็น 1 เพื่อใช้ Secure Boot เท่านั้น หรือ ตั้งเป็น 3 เพื่อใช้ Secure Boot and DMA protection
8. ไปที่ registry key ต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA

9. คลิกขวาที่ LSA แล้วเลือก New > DWORD (32-bit) Value ตั้งชื่อว่า LsaCfgFlags แล้วกด Enter
10. ดับเบิลคลิกที่ LsaCfgFlags DWORD แล้วเปลี่ยนค่าตาม:

ปิด Credential Guard: 0
เปิด Credential Guard พร้อม UEFI lock: 1
เปิด Credential Guard โดยไม่มี lock: 2

11. เมื่อเสร็จสิ้น ปิด Registry Editor

ปิด Credential Guard ใน Windows 10

หาก Credential Guard ถูกเปิดใช้งานโดยไม่มี UEFI Lock สามารถ ปิด Windows Credential Guard ได้โดยใช้ Device Guard and Credential Guard hardware readiness tool หรือวิธีต่อไปนี้:

1. กด Windows Key + R พิมพ์ regedit แล้วกด Enter เปิด Registry Editor
2. ไปที่และลบ registry keys ต่อไปนี้:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\LsaCfgFlags
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures

3. ลบ Windows Credential Guard EFI variables โดยใช้ bcdedit กด Windows Key + X เลือก Command Prompt (Admin)
4. พิมพ์คำสั่งต่อไปนี้ใน cmd แล้วกด Enter:

mountvol X: /s
copy %WINDIR%\System32\SecConfig.efi X:\EFI\Microsoft\Boot\SecConfig.efi /Y
bcdedit /create {0cb3b571-2f2e-4343-a879-d86a476d7215} /d "DebugTool" /application osloader
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} path "\EFI\Microsoft\Boot\SecConfig.efi"
bcdedit /set {bootmgr} bootsequence {0cb3b571-2f2e-4343-a879-d86a476d7215}
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} loadoptions DISABLE-LSA-ISO
bcdedit /set {0cb3b571-2f2e-4343-a879-d86a476d7215} device partition=X:
mountvol X: /d

5. เมื่อเสร็จสิ้น ปิด command prompt และรีบูทคอมพิวเตอร์
6. ยอมรับ prompt เพื่อปิด Windows Credential Guard

บทความแนะนำ:

• อนุญาตหรือป้องกันไม่ให้ธีม Windows 10 เปลี่ยนไอคอนเดสก์ท็อป
• เปิด Verbose หรือข้อความสถานะโดยละเอียดมากใน Windows 10
• เปิดหรือปิด Developer Mode ใน Windows 10
• ปิดการลดคุณภาพ JPEG ของภาพพื้นหลังเดสก์ท็อปใน Windows 10

เสร็จแล้ว คุณได้เรียนรู้ วิธีเปิดหรือปิด Credential Guard ใน Windows 10 เรียบร้อยแล้ว หากยังมีข้อสงสัย สามารถถามได้ในส่วนความคิดเห็น