Windows 10 Enterprise
The most advanced Windows edition – comprehensive security, zero‑trust protection, full device management, and long‑term servicing for large organisations and mission‑critical environments
Overview
How It Works
1. UEFI, Secure Boot & BitLocker
Firmware UEFI com inicialização segura verifica a assinatura do bootloader. Se o BitLocker estiver habilitado, o TPM liberará a chave de descriptografia somente após a inicialização medida verificar se não há violação. Em dispositivos com proteção DMA (Kernel DMA Protection), as portas Thunderbolt ficam bloqueadas até que o sistema operacional seja carregado.
2. Virtualisation‑Based Security (VBS) Initialisation
O hipervisor (Microsoft Hyper‑V) é carregado antecipadamente, criando contêineres de virtualização isolados. Credential Guard executa LSA dentro de uma VM segura. O Windows Defender Application Guard (WDAG) prepara seu próprio contêiner leve. O sistema operacional principal é executado como partição raiz com privilégios reduzidos.
3. Kernel & Device Guard / WDAC
O kernel é carregado com Hypervisor-Protected Code Integrity (HVCI). Cada driver e módulo do kernel é verificado em relação a uma política (WDAC) antes da execução. Somente binários assinados por editores autorizados (Microsoft, sua organização) podem ser executados – bloqueando efetivamente rootkits e drivers não assinados.
4. DirectAccess & VPN Client
Assim que a conectividade de rede estiver disponível, o cliente DirectAccess tenta estabelecer um túnel IPsec para a rede corporativa usando certificados de máquina. Isso acontece antes do logon do usuário, permitindo o gerenciamento remoto de dispositivos (implantação de patches, atualizações de políticas) mesmo quando nenhum usuário está conectado.
5. User Logon with Windows Hello for Business
Na tela de login, o Windows Hello for Business (biométrico ou PIN) autentica o usuário no Azure AD ou no Active Directory local. Remote Credential Guard permite que o usuário acesse recursos remotos sem enviar suas credenciais para a máquina de destino.
6. Group Policy / MDM Refresh & BranchCache
Os serviços em segundo plano atualizam objetos de Política de Grupo (GPOs) de controladores de domínio ou políticas de MDM do Intune. BranchCache no 'modo de cache distribuído' verifica o cache local em busca de arquivos baixados anteriormente, evitando transferências WAN redundantes.
7. Windows Defender Application Guard (Optional)
Se um administrador iniciar o Edge no modo Application Guard (ou por meio de política), um novo contêiner Hyper-V será iniciado com uma imagem mínima do Windows. O navegador é executado dentro desta sandbox, com área de transferência e redirecionamento de arquivos controlados por política. Fechar o contêiner descarta todas as alterações.
8. Microsoft Defender for Endpoint Sensors
O sensor Defender for Endpoint (`MsSense.exe`) monitora a criação de processos, conexões de rede, gravações de arquivos e alterações no registro. Sinais comportamentais são enviados à nuvem para análise de risco em tempo real. Se uma ameaça for detectada, ações de resposta automatizadas (isolamento, quarentena de arquivos) poderão ser acionadas.
9. Windows Update for Business & Desktop Analytics
O Windows Update for Business usa políticas de adiamento (até 365 dias para atualizações de recursos) e anéis de atualização. Desktop Analytics integra-se ao Configuration Manager para fornecer insights de preparação para atualização, identificando problemas de compatibilidade de aplicativos antes da implantação.
Key Features
Credential Guard
A segurança baseada em virtualização isola o LSASS – evita ataques pass-the-hash e pass-the-ticket. Requer TPM 2.0 e bloqueio UEFI.
Application Guard for Edge
Contêiner isolado por hardware para navegação na Web – sites maliciosos não podem comprometer o sistema operacional host. Suporta controle da área de transferência e políticas de redirecionamento de arquivos.
DirectAccess
VPN transparente e sempre ativa usando IPsec. Conecta-se antes do logon do usuário, oferece suporte a vários sites e integra-se à autenticação de certificado.
BranchCache
Cache distribuído ou hospedado de conteúdo SMB/HTTP – reduz a largura de banda e a latência da WAN para usuários de filiais.
Windows Defender Application Control (WDAC)
Integridade de código protegida por hipervisor – permite apenas executáveis, drivers e scripts confiáveis. Bloqueia ransomware e malware sem arquivo no nível do kernel.
AppLocker
Lista de permissões de aplicativos no modo de usuário com coleções de regras para EXEs, MSIs, scripts e aplicativos da Loja. Modo de auditoria para testes.
Microsoft Defender for Endpoint
EDR empresarial completo – sensores comportamentais, IA em nuvem, investigação automatizada, gerenciamento de ameaças e vulnerabilidades e ações de resposta (isolamento, quarentena).
BitLocker
Criptografia completa de disco com TPM e PIN. O Enterprise adiciona o BitLocker Network Unlock (inicialização a partir de uma unidade criptografada quando conectado à rede corporativa) e a integração Microsoft BitLocker Administration and Monitoring (MBAM).
Windows Hello for Business
Autenticação de dois fatores usando biometria + TPM. Substitui senhas por autenticação baseada em chave ou certificado. Suporta Azure AD e AD local.
Desktop Analytics
Integração com o Configuration Manager para avaliar a compatibilidade do aplicativo com atualizações de recursos do Windows. Fornece recomendações piloto e insights de reversão.
Windows Update for Business (Advanced)
Adie atualizações de recursos em até 365 dias e atualizações de qualidade em até 30 dias. Crie grupos de dispositivos (piloto, amplo, crítico) com anéis de atualização. Integra-se com Otimização de Entrega (ponto a ponto).
Universal Print
Solução de impressão baseada em nuvem – sem necessidade de servidores de impressão. A edição Enterprise inclui gerenciamento de conectores de impressão universal e cota de trabalhos de impressão por usuário.
Microsoft Endpoint Manager (Intune + ConfigMgr) Co‑management
Gerencie dispositivos perfeitamente com MDM na nuvem (Intune) e SCCM local. Permite acesso condicional, políticas de conformidade e ações remotas (apagar, retirar, sincronizar).
Long‑Term Servicing Channel (LTSC)
10 anos de atualizações de segurança sem alterações de recursos – para dispositivos de finalidade fixa (caixas eletrônicos, médicos, industriais). Somente com Software Assurance.
Credential Guard & Virtualisation‑Based Security
Isole segredos do sistema operacional – mesmo o malware do kernel não consegue roubar hashes
How Credential Guard Works
O Credential Guard usa Segurança Baseada em Virtualização (VBS) para executar o Serviço de Subsistema de Autoridade de Segurança Local (LSASS) dentro de uma máquina virtual isolada por hardware. Os processos do Windows fora desta VM segura não podem acessar as credenciais com hash, os tickets Kerberos ou os hashes NTLM armazenados dentro dela. Os ataques Pass‑the‑hash e Pass‑the‑ticket tornam-se impossíveis porque os segredos nunca saem do ambiente isolado.
Requirements & Enablement
Requer uma CPU de 64 bits com Intel VT‑x (com Extended Page Tables) ou AMD‑V (com Rapid Virtualization Indexing), bloqueio UEFI e TPM 2.0. Habilite via Política de Grupo: `Configuração do Computador → Modelos Administrativos → Sistema → Proteção de Dispositivo → Ativar Segurança Baseada em Virtualização`. Defina como 'Ativado com Credential Guard'.
Key Protection & Remote Credential Guard
O Credential Guard também protege Key Trust (chaves vinculadas a TPM) e Certificate Trust (certificados de cartão inteligente). Remote Credential Guard estende isso para sessões RDP – quando um usuário se conecta a um PC remoto, suas credenciais nunca saem da máquina cliente. O PC de destino recebe um tíquete de serviço Kerberos, não o hash da senha do usuário.
Performance Impact
O VBS impõe uma pequena sobrecarga (2-5% da CPU) para a alternância de contexto entre a VM segura e o sistema operacional normal. Em hardware moderno de classe de servidor, isso é insignificante para a maioria das cargas de trabalho. Alguns drivers e aplicativos legados (especialmente software de jogos anti-cheat) são incompatíveis e impedirão a ativação do VBS.
Windows Defender Application Guard (WDAG)
Navegação isolada por hardware – a maneira mais segura de navegar em sites não confiáveis
Hyper‑V Container per Browser Session
WDAG lança o Microsoft Edge dentro de um contêiner Hyper-V leve. Este contêiner usa uma cópia do sistema operacional host, mas é executado em uma máquina virtual separada, sem acesso à memória, armazenamento ou pilha de rede do host (exceto por meio de um switch virtual). Se um site explorar o navegador, o invasor apenas obterá acesso ao contêiner – o host permanecerá completamente intocado.
Configuration & Policies
Habilite via Política de Grupo ou Intune: `Modelos Administrativos → Componentes do Windows → Windows Defender Application Guard → Ativar Windows Defender Application Guard`. As políticas controlam o acesso à área de transferência (copiar/colar permitido?), redirecionamento de download de arquivos (salvar no host?) e impressão a partir do contêiner. Você também pode definir a confiança de recursos corporativos (por exemplo, sites internos do SharePoint abertos no Edge normal).
Performance & User Experience
A primeira inicialização leva de 5 a 10 segundos para criar o contêiner; os lançamentos subsequentes são mais rápidos devido ao cache. Uma vez lá dentro, a navegação é quase nativa. O contêiner não mantém nenhum dado – cookies, downloads e histórico de navegação são descartados quando o contêiner é fechado. Os usuários veem uma UI especial indicando que estão no modo 'Application Guard'.
Integration with Defender for Endpoint
Se uma amostra de malware for detectada dentro do contêiner, o Defender for Endpoint poderá coletar automaticamente a carga útil e enviá-la para análise. O contêiner também pode ser redefinido automaticamente para um estado bom se um comportamento suspeito for detectado.
DirectAccess & BranchCache
Acesso remoto contínuo e otimização de WAN para organizações distribuídas
DirectAccess – Always On VPN
O DirectAccess fornece um túnel IPsec automático, transparente e sempre ativo para a rede corporativa assim que o dispositivo tiver acesso à Internet. Nenhuma entrada do usuário (sem clique para conectar) – ele usa certificados de máquina para autenticação. Os usuários acessam recursos internos (compartilhamentos de arquivos, sites de intranet) como se estivessem no local, mesmo atrás de NATs e firewalls. O DirectAccess também oferece suporte à implantação em vários sites e integra-se à Proteção de acesso à rede (NAP) (legado).
DirectAccess vs Traditional VPN
A VPN tradicional exige que o usuário se conecte manualmente, pode desconectar após inatividade e não funciona antes do logon do usuário. O DirectAccess se conecta automaticamente antes do login, permanece conectado indefinidamente e suporta túnel forçado (todo o tráfego da Internet roteado pela rede corporativa) ou túnel dividido. É ideal para gerenciamento remoto de laptops e acesso constante a recursos internos.
BranchCache – Reduce WAN Traffic
O BranchCache armazena em cache o conteúdo de servidores de arquivos remotos (compartilhamentos SMB) e servidores HTTP (web) em PCs clientes locais ou em um servidor de cache hospedado no local. No Modo de cache distribuído, cada cliente armazena conteúdo em cache e o compartilha com clientes pares por meio de descoberta de LAN local (WS-Discovery). No Modo Cache Hospedado, um Windows Server dedicado atua como cache central. As solicitações subsequentes do mesmo arquivo são atendidas pelo cache local, reduzindo drasticamente a latência e a utilização da WAN.
BranchCache Security
Os dados são criptografados e verificados em termos de integridade usando SHA‑256. Os clientes recebem apenas as partes do arquivo solicitadas e o cache é segmentado para evitar reconstrução não autorizada. BranchCache funciona em protocolos HTTP e SMB, perfeitamente integrado ao Windows File Server.
Windows Defender Application Control (WDAC) & AppLocker
Lista de permissões de aplicativos de confiança zero – somente software aprovado é executado
WDAC – Hypervisor‑Protected Code Integrity
O WDAC (anteriormente Device Guard) permite que os administradores especifiquem exatamente quais arquivos executáveis, drivers, scripts e MSIs são confiáveis. As regras são baseadas no caminho do arquivo, editor (certificado digital) ou hash do arquivo. A política é aplicada pelo hipervisor (HVCI) e não pode ser contornada por malware em modo kernel. O WDAC pode bloquear não apenas malware conhecido, mas também binários “vivos da terra” (por exemplo, PowerShell, wmic) usados pelos invasores.
WDAC vs AppLocker
AppLocker é uma solução de política de modo de usuário disponível em Enterprise (e Pro) – mais fácil de gerenciar, mas pode ser contornada por drivers de kernel. O WDAC é uma solução protegida por hipervisor em modo kernel – muito mais forte, mas requer planejamento e testes cuidadosos. Muitas organizações usam ambos: WDAC para proteção crítica do sistema, AppLocker para restrições de aplicativos do usuário.
Creating WDAC Policies
Use o módulo `ConfigCI` do PowerShell em um PC de referência. `New-CIPolicy` verifica o sistema e gera uma lista de permissões de todos os aplicativos e drivers atualmente instalados. `ConvertFrom-CIPolicy` converte para o formato binário. Implante via Política de Grupo ou MDM. Você pode executar inicialmente no Modo de auditoria para registrar o que seria bloqueado sem realmente bloqueá-lo.
AppLocker Rulesets for Enterprises
O AppLocker oferece suporte a cinco coleções de regras: Executáveis (.exe, .com), Windows Installers (.msi, .msp), Scripts (.ps1, .bat, .vbs, .js), DLLs e aplicativos empacotados (aplicativos da loja). As políticas podem ser aplicadas por grupo de usuários. Por exemplo: permitir que todos os usuários executem programas de `C:\Arquivos de Programas` e `C:\Arquivos de Programas (x86)`, mas negar a execução de `%USERPROFILE%\Downloads` ou `%TEMP%`.
Microsoft Defender for Endpoint (formerly ATP)
Enterprise EDR com investigação e resposta automatizadas
Next‑Generation Protection
Sensores comportamentais, IA em nuvem e modelos de aprendizado de máquina analisam comportamentos de processos, conexões de rede e alterações de registro. Regras de redução da superfície de ataque (por exemplo, impedir que o Office crie processos secundários, bloquear conteúdo executável do cliente de e-mail) evitam vetores de infecção comuns.
Endpoint Detection & Response (EDR)
Visibilidade profunda dos endpoints: alertas sobre comportamentos suspeitos, investigações em máquinas e visualizações da linha do tempo das árvores de processos. Os centros de operações de segurança (SOCs) podem consultar a telemetria bruta por até 6 meses (dependendo da licença).
Automated Investigation & Remediation
Quando um alerta é acionado, o Defender for Endpoint pode investigar automaticamente o incidente: determinar a causa raiz, isolar as máquinas afetadas da rede (usando a integração do Microsoft Intune) e remover artefatos maliciosos (arquivos, chaves de registro, tarefas agendadas).
Threat & Vulnerability Management (TVM)
O TVM descobre continuamente atualizações de segurança ausentes, configurações incorretas (por exemplo, regras de firewall fracas) e versões de software vulneráveis. Ele fornece priorização baseada em risco – recomendações do tipo “patch first” baseadas na probabilidade de exploração e exposição de ativos.
Long‑Term Servicing Channel (LTSC)
10 anos de atualizações de segurança sem alterações de recursos – para dispositivos de finalidade fixa
What is LTSC?
O Long-Term Servicing Channel (anteriormente LTSB) é uma edição especial do Windows 10 Enterprise que não recebe atualizações de recursos. Inclui apenas atualizações de segurança e qualidade por até 10 anos (5 anos convencionais + 5 anos estendidos). Ideal para dispositivos que nunca devem mudar de funcionalidade: caixas eletrônicos, equipamentos médicos (ressonância magnética, tomografia computadorizada), sistemas de controle industrial (SCADA), quiosques e sistemas embarcados.
What’s Missing in LTSC
O LTSC é fornecido sem Microsoft Edge (apenas versão herdada, não Chromium), Windows Store, Cortana, aplicativos de caixa de entrada (Mail, Calendário, Calculadora), OneDrive e recursos modernos como Linha do tempo e Conjuntos. Ele também não oferece suporte às atualizações semestrais de recursos do Windows 10 (por exemplo, 21H2, 22H2). Isso torna o LTSC incompatível com novo hardware (os drivers podem exigir versões mais recentes do Windows).
Licensing & Availability
O LTSC está apenas disponível para clientes com Software Assurance ativo (licenciamento por volume) ou por meio do Microsoft 365 E3/E5 (não há LTSC – você precisa de SA). Cada nova versão do LTSC tem suporte por 10 anos a partir da data de lançamento (por exemplo, o Windows 10 Enterprise LTSC 2019 tem suporte até 2029, o LTSC 2021 até 2031). Você não pode atualizar de uma versão LTSC para outra sem uma instalação limpa.
LTSC vs Semi‑Annual Channel (SAC)
A maioria dos dispositivos empresariais deve usar o Canal Semestral (SAC) – obtenha novos recursos duas vezes por ano. LTSC é uma ferramenta especializada para infraestrutura crítica que não pode tolerar alterações na interface do usuário ou reinicialização para atualizações de recursos. A Microsoft desaconselha o uso do LTSC para desktops de uso geral, Office ou máquinas de desenvolvimento.
Pros
- ✓Segurança incomparável – Credential Guard, Application Guard, WDAC e Defender for Endpoint fornecem defesa profunda
- ✓DirectAccess elimina VPN voltada para o usuário – gerenciamento de acesso remoto contínuo
- ✓BranchCache melhora drasticamente a experiência de filiais para servidores de arquivos e aplicativos da Web
- ✓Gerenciamento completo de dispositivos – Intune, ConfigMgr, Política de Grupo e cogerenciamento
- ✓Windows Update for Business com adiamento de 1 ano – planeje atualizações de acordo com sua programação
- ✓Canal de serviço de longo prazo (LTSC) para ambientes regulatórios ou críticos para estabilidade
- ✓AppLocker + WDAC – aplica políticas de aplicativos de confiança zero do kernel ao modo de usuário
- ✓Microsoft Defender for Endpoint fornece EDR empresarial sem agentes terceirizados
- ✓Desktop Analytics reduz o risco de atualização com dados de compatibilidade do mundo real
- ✓Remote Credential Guard protege credenciais durante sessões RDP
- ✓Impressão Universal reduz a complexidade do servidor de impressão
- ✓Suporta Windows 10 no modo S – bloqueado apenas para aplicativos da Microsoft Store, para ambientes ultrarestritos
Cons
- ✗Não disponível para varejo – requer contrato de licenciamento por volume (Microsoft 365 E3/E5 ou Software Assurance)
- ✗Custo mais alto do que o Pro – taxas de assinatura por usuário/por dispositivo (normalmente entre US$ 7 e US$ 14 por usuário/mês como parte do Microsoft 365)
- ✗Complexidade – muitos recursos (WDAC, Credential Guard, Application Guard) exigem planejamento e testes cuidadosos
- ✗Requisitos de hardware – Os recursos VBS precisam de TPM 2.0, UEFI e CPUs recentes; dispositivos mais antigos podem não suportá-los
- ✗Problemas de compatibilidade de aplicativos – o WDAC pode bloquear software legítimo; O Credential Guard quebra alguns módulos de autenticação de terceiros
- ✗Sobrecarga de desempenho – VBS (Credential Guard, HVCI) pode reduzir o desempenho em 2 a 8%, o que é perceptível em cargas de trabalho de jogos ou de alta E/S
- ✗O DirectAccess requer infraestrutura do Windows Server (servidor DirectAccess, PKI, DNS e tecnologias de transição IPv6)
- ✗BranchCache requer servidores de arquivos do Windows Server e dimensionamento cuidadoso do cache
- ✗O suporte termina em 14 de outubro de 2025 – igual a todas as edições do Windows 10 (embora o LTSC vá até 2031 para versões específicas)
- ✗Sem recursos para o consumidor – Cortana, Windows Store (pode ser desativada), experiências na nuvem para consumidores são desativadas por política (pode confundir os usuários que as esperam)
- ✗LTSC não possui navegadores modernos e loja de aplicativos – não é possível instalar Microsoft Teams, novos aplicativos Edge ou Store sem soluções alternativas
Use Cases
Hidden & Useful Shortcuts
Master Windows 10 with these time‑saving keyboard shortcuts
Open Start Menu (Cortana disabled by default on Enterprise)
Open Action Centre
Show desktop
Open File Explorer
Open Settings
Lock workstation – secure against physical access
Open Run – use `secpol.msc` (local security), `gpedit.msc` (group policy), `wdagtool.exe` (Application Guard CLI)
Open Quick Link menu – includes Windows Terminal (if installed), Disk Management, Event Viewer
Open Search (Cortana disabled but search works)
Task View – virtual desktops (useful for separating classified and unclassified work)
New virtual desktop
Close current virtual desktop
Switch between virtual desktops
Open Game Bar (if not removed by policy)
Open Snip & Sketch for custom screenshots
Open clipboard history (if enabled by policy)
Emoji panel
Open Task Manager – can view VBS status (Performance → Virtualisation)
Open System Properties (shows 'Windows 10 Enterprise')
Open Connect (wireless displays) – may be disabled via policy
Open dictation (if not disabled)
Check TPM status (required for Credential Guard)
System Information – see 'Virtualisation‑Based Security' status
Advanced user account management
Computer Management – Local Users, Disk Management, Services
Windows Firewall with Advanced Security
Technical Specifications
| Architecture | 64‑bit (x86‑64) – 32‑bit available but deprecated; LTSC includes 32‑bit |
| Processor | 1 GHz or faster with 2 or more cores; supports up to 2 physical sockets (like Pro, not Workstation) |
| RAM | 4 GB minimum; maximum 2 TB for 64‑bit (same as Pro); Hyper‑V and VBS require additional memory overhead (~500 MB-2 GB) |
| Storage | 64 GB or larger drive (SSD strongly recommended); BitLocker requires TPM and UEFI |
| Graphics | DirectX 12 compatible with WDDM 2.0 driver; Application Guard requires GPU with Hyper‑V integration (any modern GPU) |
| Display | Minimum 800x600; recommended 1920x1080 or higher |
| TPM | TPM 2.0 required for Credential Guard and Device Guard; TPM 1.2 for BitLocker only |
| Virtualisation | Intel VT-x with EPT / AMD-V with RVI required for VBS, Credential Guard, Application Guard, and Hyper‑V |
| Secure Boot | Required for VBS features; strongly recommended for all Enterprise deployments |
| Memory for VBS | At least 8 GB RAM recommended if enabling Credential Guard or Application Guard (4 GB minimum, but performance suffers) |
| Internet | Required for initial setup, updates, DirectAccess, and Defender for Endpoint cloud features |
| DirectAccess Infrastructure | Requires Active Directory, PKI (smart card or machine certificates), and DirectAccess server running Windows Server 2016 or later |
Windows 10 Enterprise vs Windows 10 Pro vs Windows 10 Education
| Feature | enterprise | pro | education |
|---|---|---|---|
| Availability | Volume licensing (M365 E3/E5, SA) | Retail / OEM | Academic VL / Azure for Education (free) |
| Credential Guard | Yes | No | Yes (same as Enterprise) |
| Application Guard for Edge | Yes | No (consumer version only) | Yes |
| DirectAccess | Yes | No | Yes |
| BranchCache | Yes | No | Yes |
| WDAC (Hypervisor Code Integrity) | Yes (fully configurable) | Yes (but limited policies) | Yes (full) |
| AppLocker | Yes (full) | Yes (via GPO) | Yes |
| Microsoft Defender for Endpoint (ATP) | Yes (requires separate licence) | No | Yes (through M365 A5) |
| Long‑Term Servicing Channel (LTSC) | Yes (with SA) | No | No (only via VL, not free) |
| Desktop Analytics | Yes (with ConfigMgr) | No | Yes (with ConfigMgr) |
| Universal Print | Yes (full management) | Basic (client only) | Yes (with A3/A5) |
| Remote Desktop Host | Yes | Yes | Yes |
| Hyper‑V | Yes | Yes | Yes |
| Group Policy / MDM | Full (Intune + ConfigMgr co‑management) | Local + domain | Full (with appropriate licences) |
| Cortana | Disabled by default (can enable) | Enabled | Disabled by default |
| Max RAM (64‑bit) | 2 TB | 2 TB | 2 TB |
Frequently Asked Questions
Related Resources
- Visão geral do Windows 10 Enterprise (Microsoft)
- Comparação Microsoft 365 E3/E5
- Documentação do Credential Guard
- Proteção de aplicativos do Windows Defender
- Guia de implantação do DirectAccess
- Visão geral do BranchCache
- Guia de criação do WDAC (Device Guard)
- Microsoft Defender para Ponto de Extremidade
- Documentação LTSC do Windows 10