Win10 憑證保護功能詳解：VBS 隔離容器保護認證、僅企業版支援、需 TPM 2.0 + UEFI + VT-x

Windows 10 憑證保護 利用虛擬化安全 (VBS) 建立隔離容器儲存使用者認證 (NTLM 雜湊、Kerberos 票證、域認證)，連核心模式也無法直接存取，大幅提升抗認證竊取能力。

運作原理

• 傳統：LSA (本地安全性授權) 在核心模式儲存加密認證，權限提升後可讀取 (如 Mimikatz)。
• 憑證保護啟用後：認證移至 VBS 隔離的虛擬信任層 (VTL 1)，核心模式 (VTL 0) 僅能透過受信任呼叫介面存取，惡意程式即使取得 SYSTEM 權限也無法直接讀取。

硬體與版本需求 (缺一不可)

啟用步驟 (群組原則)

1. Win+R → gpedit.msc
2. 「電腦設定」→「管理範本」→「系統」→「Device Guard」→「開啟虛擬化安全性」
3. 選「已啟用」→「選取平台安全等級」選「安全開機」或「安全開機和 DMA 保護」
4. 重新開機，於 msinfo32「系統摘要」確認「憑證保護」顯示「已啟用」

企業部署建議

• 搭配 Windows Hello 企業版 (PIN/生物辨識) 替代密碼，進一步減少認證暴露面。
• 部署 Device Guard 簽署原則，僅允許受信任程式碼執行，形成纵深防禦。
• 透過 Intune/SCCM 監控裝置憑證保護狀態，確保合規性。