Credential Guard
Une fonction de Windows qui sort les empreintes de mots de passe de LSASS pour les placer dans un processus isolé derrière l'hyperviseur, si bien que même SYSTEM ne peut pas les lire.
L'attaque classique contre une machine Windows compromise consiste depuis quinze ans à lire la mémoire du processus LSASS pour en extraire les empreintes NTLM et les clés Kerberos de tous ceux qui se sont connectés — la base du mouvement latéral à travers tout un réseau. Credential Guard recourt à la sécurité fondée sur la virtualisation pour loger cette partie secrète dans un niveau de confiance distinct, protégé par l'hyperviseur, inaccessible à tout ce qui tourne dans le système d'exploitation normal, quels que soient ses privilèges. Depuis Windows 11 22H2, il est activé par défaut sur le matériel éligible. La limite compte : il protège les identifiants en mémoire, pas contre l'enregistreur de frappe, le vol de jeton ou les secrets récupérés après la prise de contrôle.