วิธีใช้ Credential Guard บน Windows Server 2025 ป้องกันการขโมยรหัสผ่านระดับองค์กร

Credential Guard เป็นหนึ่งในฟีเจอร์ด้านความปลอดภัยที่สำคัญที่สุดของ Windows Server 2025 และเป็นเทคโนโลยีที่ Microsoft ออกแบบมาเพื่อป้องกันการโจมตีประเภท Credential Theft หรือการขโมยข้อมูลรับรองการเข้าสู่ระบบ

ในอดีต ผู้โจมตีมักพยายามดึงข้อมูลจากหน่วยความจำของระบบ โดยเฉพาะข้อมูลที่เก็บอยู่ใน Local Security Authority Subsystem Service (LSASS) เพื่อขโมย Username, Password Hash และ Kerberos Tickets จากนั้นนำไปใช้โจมตีระบบอื่นภายในองค์กร

Credential Guard ถูกสร้างขึ้นมาเพื่อแก้ปัญหานี้โดยตรง

① Credential Guard คืออะไร

Credential Guard คือฟีเจอร์ความปลอดภัยที่ใช้เทคโนโลยี Virtualization-Based Security (VBS) แยกข้อมูลรับรองการเข้าสู่ระบบออกจากระบบปฏิบัติการหลัก

พูดง่าย ๆ คือ

แม้ผู้โจมตีจะเข้าถึง Windows ได้บางส่วน ก็ยังไม่สามารถดึงข้อมูลสำคัญจาก LSASS ได้ง่ายเหมือนในอดีต

ข้อมูลที่ได้รับการป้องกัน

• NTLM Hash
• Kerberos Ticket
• Domain Credentials
• Cached Credentials

② Credential Guard ป้องกันอะไรได้บ้าง

ภัยคุกคามที่ Credential Guard ช่วยลดความเสี่ยง

• Pass-the-Hash Attack
• Pass-the-Ticket Attack
• Credential Dumping
• Mimikatz Attack
• Lateral Movement

โดยเฉพาะในระบบ Active Directory ถือว่าเป็นฟีเจอร์ที่มีความสำคัญมาก

③ Credential Guard ทำงานอย่างไร

Credential Guard ใช้

• Hyper-V
• Virtualization-Based Security (VBS)
• Secure Kernel

สร้างพื้นที่แยกพิเศษสำหรับเก็บข้อมูลรับรอง

ทำให้แม้ Malware จะรันด้วยสิทธิ์ระดับสูง ก็ยังไม่สามารถเข้าถึงข้อมูลเหล่านี้ได้โดยตรง

④ ข้อกำหนดก่อนเปิดใช้งาน

Server ควรรองรับ

• UEFI Firmware
• Secure Boot
• TPM 2.0
• Virtualization Extension

ตรวจสอบสถานะ Virtualization

systeminfo

หรือ

Get-ComputerInfo

⑤ วิธีเปิด Credential Guard ผ่าน Group Policy

เปิด

gpedit.msc

ไปที่

Computer Configuration
 └ Administrative Templates
     └ System
         └ Device Guard

เปิดนโยบาย

Turn On Virtualization Based Security

ตั้งค่า

Enabled

เลือก

Credential Guard

จากนั้น Restart Server

⑥ วิธีเปิด Credential Guard ผ่าน Registry

เปิด PowerShell แบบ Administrator

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name EnableVirtualizationBasedSecurity -Value 1 -PropertyType DWORD

จากนั้นรีบูตเครื่อง

วิธีนี้เหมาะสำหรับการ Deploy จำนวนมาก

⑦ วิธีตรวจสอบว่า Credential Guard ทำงานหรือไม่

ใช้คำสั่ง

Get-CimInstance Win32_DeviceGuard

ผลลัพธ์ที่ควรเห็น

SecurityServicesRunning

หากแสดงค่า

1

แสดงว่า Credential Guard กำลังทำงาน

⑧ วิธีตรวจสอบผ่าน System Information

เปิด

msinfo32

ค้นหา

Credential Guard

หากแสดง

Running

แสดงว่าระบบเปิดใช้งานสำเร็จ

⑨ ผลกระทบต่อระบบ

ในระบบส่วนใหญ่

Credential Guard แทบไม่ส่งผลต่อ Performance

แต่จะเพิ่มความปลอดภัยอย่างมาก

โดยเฉพาะ

• Domain Controller
• Administrator Workstation
• Jump Server
• Management Server

⑩ ข้อผิดพลาดที่พบบ่อย

เปิด VBS ไม่สำเร็จ

สาเหตุ

• CPU ไม่รองรับ
• BIOS ปิด Virtualization

Secure Boot ถูกปิด

Credential Guard ต้องใช้ Secure Boot

Hyper-V ไม่พร้อมใช้งาน

บางกรณีต้องเปิด Hyper-V Feature ก่อน

GPO ถูก Override

ตรวจสอบ Group Policy ระดับ Domain

⑪ Best Practice สำหรับองค์กร

• เปิด Credential Guard บน Server สำคัญทุกเครื่อง
• เปิด Secure Boot
• ใช้ TPM 2.0
• เปิด BitLocker ร่วมกัน
• ใช้ MFA สำหรับ Administrator
• เปิด Security Auditing

ทีมงาน comsiam มักแนะนำให้เปิด Credential Guard บน Domain Controller และเครื่อง Administrator ทุกเครื่องก่อนเป็นลำดับแรก เพราะเป็นจุดที่ผู้โจมตีมักพยายามขโมยข้อมูลรับรองมากที่สุด

⑫ ความแตกต่างระหว่าง Credential Guard และ Antivirus

Antivirus มีหน้าที่

• ตรวจจับ Malware
• ลบ Virus
• ป้องกัน Ransomware

Credential Guard มีหน้าที่

• ป้องกันการขโมย Credentials
• ป้องกัน Pass-the-Hash
• ป้องกัน Credential Dumping

ทั้งสองระบบควรใช้งานร่วมกัน

องค์กรจำนวนมากที่เปิด Defender แต่ไม่เปิด Credential Guard ยังคงมีความเสี่ยงด้าน Credential Theft อยู่

⑬ FAQ

Credential Guard จำเป็นหรือไม่

จำเป็นสำหรับองค์กรที่ใช้ Active Directory

Credential Guard ป้องกัน Mimikatz ได้หรือไม่

ช่วยลดความสามารถของ Mimikatz ได้อย่างมาก

ต้องใช้ TPM หรือไม่

แนะนำให้ใช้ TPM 2.0

ต้องรีบูตเครื่องหรือไม่

จำเป็นหลังเปิดใช้งาน

⑭ สรุป

Credential Guard เป็นหนึ่งในฟีเจอร์ด้านความปลอดภัยที่ทรงพลังที่สุดของ Windows Server 2025 โดยใช้ Virtualization-Based Security แยกข้อมูลรับรองการเข้าสู่ระบบออกจากระบบปฏิบัติการหลัก ช่วยลดความเสี่ยงจาก Pass-the-Hash, Credential Dumping และการโจมตีที่มุ่งขโมยข้อมูล Administrator ได้อย่างมีประสิทธิภาพ องค์กรที่ใช้ Active Directory ควรเปิดใช้งานฟีเจอร์นี้โดยเร็วที่สุด

⑮ คำถามชวนคิด

หากผู้โจมตีสามารถดึง Password Hash ของ Domain Admin ออกจากเซิร์ฟเวอร์ของคุณได้ในวันนี้ ระบบ Active Directory ทั้งองค์กรจะยังปลอดภัยอยู่หรือไม่?