Credential Guard
Función de Windows que mueve los hashes de contraseñas de LSASS a un proceso aislado detrás del hipervisor, por lo que ni siquiera SYSTEM puede leerlos.
El ataque clásico contra una máquina Windows comprometida ha sido durante quince años leer la memoria del proceso LSASS y extraer hashes NTLM y claves Kerberos de todos los que han iniciado sesión — la base para movimiento lateral a través de toda una red. Credential Guard usa seguridad basada en virtualización para poner exactamente esa parte secreta en un nivel de confianza separado que el hipervisor protege, inaccesible a todo lo que se ejecuta en el sistema operativo normal sin importar los permisos. Desde Windows 11 22H2 está activado por defecto en hardware cualificado. Es importante entender la limitación: protege secretos en memoria, no contra grabación de teclado, robo de token o secretos obtenidos después de la toma.