Credential Guard
Funkcja Windows, która przenosi skróty haseł z LSASS do odizolowanego procesu chronionego przez hipernadzorcę, tak że nawet SYSTEM ich nie odczyta.
Klasyczny atak na przejętą maszynę z Windows od piętnastu lat polega na odczytaniu pamięci procesu LSASS i wyciągnięciu skrótów NTLM oraz kluczy Kerberos wszystkich, którzy się zalogowali — to podstawa ruchu bocznego w całej sieci. Credential Guard wykorzystuje bezpieczeństwo oparte na wirtualizacji (VBS), by umieścić ten sekret na osobnym poziomie zaufania chronionym przez hipernadzorcę, niedostępnym dla niczego działającego w zwykłym systemie, niezależnie od uprawnień. Od Windows 11 22H2 jest domyślnie włączony na kwalifikującym się sprzęcie. Ograniczenie jest istotne: chroni poświadczenia w pamięci, nie chroni przed keyloggerami, kradzieżą tokenów ani sekretami pobranymi już po przejęciu.