Modo seguro virtual (VSM) en Windows 10 Enterprise

En Windows 10 Enterprise (solo en esta edición), apareció un nuevo componente Hyper-V: Virtual Secure Mode (VSM). VSM es un contenedor protegido (máquina virtual) que se ejecuta en un hipervisor y está separado del host de Windows 10 y su kernel. Crucial desde el punto de vista de la seguridad, los componentes del sistema se ejecutan dentro de este contenedor virtual protegido. No se puede ejecutar ningún código de terceros en el VSM, y la integridad del código se verifica constantemente para detectar modificaciones. Esta arquitectura permite proteger los datos en el VSM, incluso si el kernel del host Widows 10 está comprometido, porque incluso el kernel no puede acceder al VSM directamente.

El contenedor VSM no se puede conectar a la red y nadie puede obtener privilegios administrativos en él. Las claves de cifrado, los datos de autenticación del usuario y otra información crucial desde el punto de vista del compromiso se pueden almacenar en el contenedor del Modo seguro virtual. Por lo tanto, un pirata informático no podrá penetrar en la estructura corporativa utilizando datos almacenados en caché local de las cuentas de usuario del dominio.

Los siguientes componentes del sistema pueden funcionar dentro del VSM:

1. LSASS (Servicio de subsistema de seguridad local) es un componente responsable de la autenticación y el aislamiento de los usuarios locales. (Por lo tanto, el sistema está protegido contra los ataques de tipo "pasar el hash" y herramientas como mimikatz link). Esto significa que las contraseñas (y/o hashes) del usuario registrado en el sistema no pueden estar disponibles incluso para un usuario con privilegios de administrador local.

2. Virtual TPM (vTPM) es un dispositivo TPM sintético para máquinas invitadas necesario para el cifrado del contenido del disco

3. El sistema de supervisión de la integridad del código del sistema operativo protege el código contra modificaciones

Para utilizar VSM, el entorno debe cumplir los siguientes requisitos de hardware:

• Compatibilidad con UEFI, Secure Boot y Trusted Platform Module (TPM) para el almacenamiento seguro de claves

• Soporte de virtualización de hardware (VT-x, AMD-V o posterior)

Cómo habilitar el modo seguro virtual (VSM) en Windows 10

Veamos cómo habilitar el modo seguro virtual de Windows 10.

• El arranque seguro UEFI debe estar habilitado.

• Windows 10 tiene que estar incluido en el dominio. (VSM protege solo las cuentas de usuario del dominio, no las locales).

• El rol de Hyper-V debe estar instalado en Windows 10. (En nuestro caso, primero tuvimos que instalar la plataforma Hyper-V y luego instalamos las herramientas de administración de Hyper-V)

  

• El Modo seguro virtual (VSM) debe habilitarse en una política especial en el Editor de políticas de grupo (gpedit.msc): Configuración de la computadora -> Plantillas administrativas -> Sistema -> Protección de dispositivos -> Activar seguridad basada en virtualización. Habilite esta política y seleccione la opción Arranque seguro en Seleccione el nivel de seguridad de la plataforma. Marque también Habilitar Credential Guard (aislamiento LSA) aquí.

  

• bcdedit /set vsmlaunchtype auto

• Reinicia tu computadora

Cómo asegurarse de que el VSM esté encendido

Puede asegurarse de que el VSM esté activo si el proceso Secure System está presente en el Administrador de tareas.

O si existe el evento "Credential Guard (Lsalso.exe) se inició y protegerá la credencial LSA" en el registro del sistema.

Cómo probar la seguridad de VSM

Inicie sesión con una cuenta de dominio en las máquinas con VSM habilitado y ejecute el siguiente comando mimikatz con los privilegios de administrador local:

mimikatz.exe privilege::debug sekurlsa::logonpasswords exit

Podemos ver que LSA se está ejecutando en un entorno aislado y no se pueden obtener los hashes de contraseña de usuario.

Si hace lo mismo en una máquina con el VSM deshabilitado, podemos obtener el hash NTLM de una contraseña de usuario, que se puede usar en ataques pass-the-hash.

Ref: Habilitación del modo seguro virtual (VSM) en Windows 10 Enterprise Build 10130