O Device Guard é um conjunto de recursos de segurança disponíveis em sistemas operacionais Windows, projetado para proteger dispositivos contra a execução de software malicioso. Ele utiliza a virtualização baseada em segurança (VBS) para isolar processos críticos do sistema, garantindo que apenas aplicativos confiáveis possam ser executados. Este artigo irá guiá-lo através do processo de configuração e utilização do Device Guard no Windows.

O que é o Device Guard?

O Device Guard é composto por duas tecnologias principais: o Credential Guard e o Code Integrity (CI). O Credential Guard protege credenciais de acesso, enquanto o Code Integrity verifica a assinatura digital de todos os binários antes de serem executados, garantindo que apenas software confiável seja executado.

Requisitos para o Device Guard

Para utilizar o Device Guard, o sistema deve atender a alguns requisitos de hardware e software:

1. Windows 10 Enterprise, Education ou versões mais recentes do Windows Server.
2. Processador com suporte a virtualização (Intel VT-x ou AMD-V).
3. UEFI com Secure Boot habilitado.
4. TPM 2.0 (opcional, mas recomendado para melhor segurança).

Como habilitar o Device Guard

1. Habilite a virtualização no BIOS/UEFI: Reinicie o computador e acesse o BIOS/UEFI. Procure por opções relacionadas à virtualização (Intel VT-x ou AMD-V) e habilite-as.

2. Habilite o Secure Boot: Ainda no BIOS/UEFI, certifique-se de que o Secure Boot está ativado.

3. Configure o Device Guard usando o PowerShell:

Abra o PowerShell como administrador e execute os seguintes comandos para habilitar o Device Guard:

   # Habilitar o recurso de segurança baseada em virtualização

   Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-Hypervisor -All



   # Habilitar o Device Guard

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" -Name "EnableVirtualizationBasedSecurity" -Value 1



   # Configurar a integridade de código

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" -Name "Enabled" -Value 1

4. Reinicie o computador: Após executar os comandos, reinicie o sistema para aplicar as alterações.

5. Verifique a configuração:

Após a reinicialização, você pode verificar se o Device Guard está ativo usando o PowerShell:

   Get-CimInstance -ClassName Win32_DeviceGuard -Namespace "Root\Microsoft\Windows\DeviceGuard"

Este comando exibirá o status do Device Guard e suas configurações.

Exemplos práticos

• 
  

  Verificação de integridade de código: Para garantir que apenas aplicativos assinados sejam executados, você pode criar uma política de integridade de código usando o Windows Defender Application Control (WDAC).

  
  


• 
  

  Proteção de credenciais: O Credential Guard pode ser configurado para proteger credenciais de acesso, evitando que malwares as capturem.

  
  

Conclusão

O Device Guard é uma poderosa ferramenta de segurança no Windows que ajuda a proteger o sistema contra ameaças avançadas. Ao seguir as etapas acima, você pode configurar e utilizar o Device Guard para aumentar significativamente a segurança do seu ambiente Windows.