Credential Guard
Функция Windows, которая выносит хэши паролей из LSASS в изолированный процесс за гипервизором, так что их не прочитает даже SYSTEM.
Классическая атака на скомпрометированную машину с Windows уже пятнадцать лет состоит в чтении памяти процесса LSASS и извлечении хэшей NTLM и ключей Kerberos всех, кто входил в систему, — основа латерального перемещения по всей сети. Credential Guard с помощью виртуализационной защиты (VBS) помещает секретную часть на отдельный уровень доверия под защитой гипервизора, недоступный ничему в обычной операционной системе, какими бы правами оно ни обладало. С Windows 11 22H2 функция включена по умолчанию на подходящем оборудовании.
Ограничение существенно: защищаются учётные данные в памяти, но не от кейлоггеров, не от кражи токенов и не от секретов, полученных уже после захвата.