Glosario
Credential Guard
Característica de Windows que usa la seguridad basada en virtualización para aislar de LSASS los hashes NTLM y los secretos Kerberos y frenar el volcado de credenciales.
Credential Guard usa la seguridad basada en virtualización (VBS) para trasladar los secretos que LSASS guardaría normalmente, como los hashes de contraseña NTLM y las claves de los vales de concesión de vales (TGT) de Kerberos, a un proceso aislado (LsaIso.exe) que se ejecuta en un nivel de confianza separado y protegido por el hipervisor. Ni siquiera el código que se ejecuta como SYSTEM en el sistema operativo normal puede leer esa memoria.
Requiere UEFI, arranque seguro y compatibilidad de la CPU con la virtualización, y funciona en las ediciones Enterprise y Education y en Windows Server. Está habilitado de forma predeterminada en los dispositivos Windows 11 22H2+ Enterprise/Education que cumplen los requisitos y en los servidores miembro de Windows Server 2025 unidos a un dominio. Bloquea NTLMv1, la delegación Kerberos sin restricciones y la delegación de credenciales guardadas, y no protege las bases de datos de los controladores de dominio.
Consulte Credential Guard y protección LSA.