Credential Guard deshabilitado tras actualizar: verificar y corregir

¿Qué significa Credential Guard deshabilitado tras actualizar?

Credential Guard deshabilitado tras actualizar puede ser una configuración heredada, incluso en una versión de Windows que activa la función de forma predeterminada. Una actualización elegible no borra una decisión explícita anterior de desactivarla. Antes de considerar un sistema operativo actual como prueba de protección de credenciales, compruebe la edición del equipo, su historial de implementación, la directiva y los servicios en ejecución. La guía de configuración de Microsoft documenta esta excepción persistente.

Credential Guard aísla determinados secretos del dominio mediante la seguridad basada en virtualización (VBS). La tarea práctica consiste en establecer si ese aislamiento está funcionando en los dispositivos donde inician sesión los usuarios del dominio. Una directiva de implementación y una actualización satisfactoria del sistema operativo responden a preguntas distintas de las de una comprobación en ejecución.

Esta guía refleja las páginas de Microsoft Learn consultadas el 3 de octubre de 2026. Abarca dispositivos Windows 11 elegibles desde la versión 22H2 y miembros del dominio Windows Server 2025 elegibles. Los comandos siguientes se reproducen de la documentación; no se ejecutaron en un parque Windows para este artículo. No se afirma ninguna prevalencia de excepciones heredadas.

Cómo funciona la activación predeterminada

La descripción general de Credential Guard de Microsoft describe la activación predeterminada a partir de Windows 11 22H2 y Windows Server 2025. Su introducción la sitúa en sistemas elegibles unidos a un dominio que no son controladores de dominio; las condiciones específicas de Windows enumeran las licencias, la elegibilidad del hardware y del software y la ausencia de una desactivación explícita. Mantenga esas condiciones al revisar un parque AD.

Para el caso histórico de Pro, Microsoft identifica HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0\IsolatedCredentialsRootSecret como el indicador del registro que debe examinarse. Identifica ese historial; no es una medición del aislamiento en ejecución. La tabla de licencias no concede a Pro, Pro Education o SE los mismos derechos que a Enterprise y Education. Descripción general de Microsoft

También debe revisarse la elegibilidad del hardware. La descripción general enumera VBS y Secure Boot para la protección y recomienda TPM, sin convertirlo en un requisito universal de Credential Guard. Por separado, indica que VBS puede alcanzar un estado de ejecución sin Secure Boot. Mantenga esa distinción: un servicio VBS en ejecución no certifica por sí solo las protecciones de plataforma previstas. La documentación de la plataforma VBS detalla las extensiones de virtualización, SLAT y los requisitos de firmware y DMA.

Por qué una desactivación explícita sobrevive a la actualización

Microsoft indica que los valores configurados explícitamente prevalecen sobre la activación predeterminada después del reinicio. Un dispositivo desactivado explícitamente antes de actualizar permanece desactivado después. Por tanto, la actualización es un punto de control útil para la auditoría, no una corrección de una excepción antigua. Configurar Credential Guard

Revise LsaCfgFlags tanto en HKLM\SYSTEM\CurrentControlSet\Control\Lsa como en HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard. Microsoft documenta 0 para desactivar explícitamente, 1 para activar con bloqueo UEFI y 2 para activar sin bloqueo. En GPO, revise Computer Configuration → Administrative Templates → System → Device Guard → Turn On Virtualization Based Security, incluida su configuración anidada de Credential Guard. Procedimientos de configuración y desactivación de Microsoft

Una excepción pudo introducirse por una dependencia real de una aplicación. Los problemas conocidos de Microsoft abordan el inicio de sesión único MS-CHAPv2/NTLMv1, las credenciales CredSSP guardadas y la migración en vivo de Hyper-V basada en CredSSP. Determine qué flujo de trabajo necesitaba originalmente la excepción, si aún la necesita y quién es responsable de la decisión. Evite suponer tanto que la excepción sigue siendo necesaria como que puede retirarse sin pruebas.

Cadena de ataque: qué cambia cuando falta el aislamiento

Sin el aislamiento de Credential Guard, una intrusión local con privilegios suficientes puede facilitar el robo desde LSASS de secretos del dominio presentes en el host. Cuando Credential Guard funciona, los secretos protegidos se gestionan mediante un componente LSA aislado. El robo y la reutilización siguen dependiendo de los secretos presentes, los privilegios del atacante y una vía de autenticación disponible; un control desactivado no implica automáticamente comprometer el dominio. Cómo funciona Credential Guard

Nuestro artículo sobre Pass-the-Hash en Active Directory explica cómo el material NTLM robado puede permitir el movimiento lateral cuando el destino acepta NTLM y la cuenta tiene derechos útiles. Ya presenta Credential Guard como una mitigación. Esta guía añade la investigación de la desactivación heredada y la verificación en ejecución necesarias para establecer si esa mitigación está realmente implementada.

Credential Guard tiene límites incluso cuando está activo: las cuentas locales/Microsoft, los tickets de servicio Kerberos, las credenciales NTLM introducidas manualmente, los registradores de teclas y el abuso de los privilegios de una sesión existente siguen siendo riesgos relevantes. Los verificadores de inicio de sesión de dominio almacenados en caché tampoco son hashes NTLM que puedan presentarse sin más a otro equipo. Límites de protección según Microsoft

Detección: medir el servicio en ejecución

En el dispositivo Windows de destino, utilice una sesión de PowerShell elevada y el comando exacto que Microsoft proporciona en Comprobar si Credential Guard está habilitado:

(Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard).SecurityServicesRunning

Interprete el resultado como un conjunto de identificadores de servicios. La presencia de 1 significa que Credential Guard está en ejecución; 2 significa integridad de memoria. Un resultado que contiene tanto 1 como 2 incluye Credential Guard. SecurityServicesConfigured describe la configuración, mientras que SecurityServicesRunning describe la ejecución; VirtualizationBasedSecurityStatus describe VBS. Son observaciones distintas. Referencia de propiedades de Win32_DeviceGuard de Microsoft

También puede abrir msinfo32.exe, seleccionar System Summary y buscar Credential Guard en Virtualization-based Security Services Running. Microsoft desaconseja utilizar la presencia de LsaIso.exe en el Administrador de tareas como método de verificación. Guía de verificación de Microsoft

Cuando difieran la configuración y la ejecución, examine Windows Logs → System, origen WinInit. Microsoft documenta estas señales de inicio en la misma página de configuración:

Estos eventos describen el estado de protección, no prueban que se hayan robado credenciales. Una recopilación fallida significa desconocido, no desactivado. Registre el host, la hora de recopilación y el contexto del reinicio para no confundir un evento antiguo o un endpoint inaccesible con la cobertura actual.

Remediación: sustituir la excepción y verificar tras reiniciar (Remediation)

1. Elaborar un inventario de excepciones

Para cada candidato, registre la versión, la edición y las licencias, la elegibilidad de la plataforma, el rol de dominio/DC, los ajustes explícitos locales y administrados y el resultado en ejecución. Separe los dispositivos confirmados como no ejecutando el servicio de los hosts que no pudieron medirse. Priorice la investigación donde se utilizan credenciales del dominio, manteniendo las exclusiones documentadas anteriormente.

2. Probar la dependencia que justificaba la desactivación

Utilice dispositivos representativos y los flujos de autenticación reales. Microsoft recomienda la autenticación Wi-Fi/VPN basada en certificados en lugar de MS-CHAPv2, y Kerberos Constrained Delegation o Resource-Based Kerberos Constrained Delegation para los flujos de migración Hyper-V afectados. Estos cambios resuelven la dependencia en vez de perpetuar la desactivación. Registre un responsable y una fecha de revisión para las excepciones que deban mantenerse. Guía de compatibilidad de Microsoft

3. Establecer una configuración explícita compatible

Para los dispositivos administrados por el dominio, siga el procedimiento GPO de Microsoft: habilite Turn On Virtualization Based Security en Computer Configuration → Administrative Templates → System → Device Guard y elija Enabled with UEFI lock o Enabled without lock en Credential Guard Configuration. Delimite el ámbito y pruebe la implementación antes de extenderla ampliamente. Reinicie después de aplicar la directiva. Intune también ofrece estas opciones de Credential Guard. Instrucciones de implementación de Microsoft

La alternativa documentada mediante el registro utiliza EnableVirtualizationBasedSecurity=1 en HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard, con LsaCfgFlags=1 o 2 en HKLM\SYSTEM\CurrentControlSet\Control\Lsa. RequirePlatformSecurityFeatures en la ruta DeviceGuard selecciona Secure Boot (1) o Secure Boot con protección DMA (3). Siga el procedimiento documentado completo y resuelva los conflictos con la configuración administrada. Ajustes del registro de Microsoft

Elija el bloqueo de forma deliberada. La activación predeterminada es sin bloqueo UEFI; retirar una configuración bloqueada mediante UEFI requiere el procedimiento de firmware de Microsoft y confirmación física. Una edición del registro por sí sola no elimina ese estado del firmware. Documente la capacidad de recuperación antes de seleccionar el bloqueo. Procedimiento de bloqueo UEFI de Microsoft

4. Verificar y conservar pruebas

Tras reiniciar, repita el comando CIM documentado o la comprobación con msinfo32.exe y revise los errores WinInit. Cierre la remediación cuando se ejecute el servicio previsto y los flujos necesarios superen las pruebas, no simplemente cuando exista una GPO. Mantenga los dispositivos sin resolver en el inventario con sus pruebas reales y la siguiente acción.

Esta comprobación en ejecución no establece si las credenciales estuvieron expuestas antes de que comenzara la protección. Microsoft recomienda habilitar Credential Guard antes de unir el equipo al dominio o del primer inicio de sesión de un usuario del dominio, porque los secretos utilizados antes podrían haber sido comprometidos. Guía de implementación de Microsoft

Revise también otras exposiciones de credenciales relacionadas. Nuestro artículo sobre WDigest habilitado explica cómo UseLogonCredential y las excepciones obsoletas pueden aumentar el material de credenciales expuesto en LSASS. Es una revisión complementaria del almacenamiento de credenciales, no un sustituto de la medición del aislamiento de Credential Guard.

Cómo detecta EtcSec este problema

El etc-collector de EtcSec incluye CREDENTIAL_GUARD_DISABLED, una comprobación de configuración GPO de gravedad media. Su método Detect() lee las directivas GPO recopiladas y busca un valor VBS de 1 y un valor LsaCfgFlags de Credential Guard de 1 o 2. Si falta cualquiera de las condiciones, registra un hallazgo de configuración.

La búsqueda toma el primer ajuste encontrado en Default DC Policy, Default Domain Policy y después otras GPO; los dos valores pueden proceder de directivas distintas. No calcula la directiva resultante de cada endpoint, no consulta el estado CIM de cada host ni identifica la activación automática en cada equipo. La configuración GPO no es el estado efectivo en ejecución. Un valor GPO ausente puede coexistir con un servicio en ejecución activado de forma predeterminada; un ajuste presente no demuestra la ejecución en todo el parque.

Utilice el hallazgo para iniciar la investigación de configuración y después adjunte las mediciones por host al registro de remediación. La cadena de pruebas útil comprende la elegibilidad, los ajustes explícitos, la configuración aplicada, el reinicio y la verificación en ejecución. Mantenga visibles los resultados desconocidos para no presentar la cobertura de configuración como protección medida.