В своем прошлом блоге «Мнение: почему не стоит сидеть на Windows 7 и 8.1 в 2019 году» я поднимал вопросы безопасности в ОС, теперь хочу рассказать еще об одном эффективном способе поднять защищенность вашей системы.
В версии Windows 10 May 2019 Update появилась крайне полезная функция — Windows Sandbox или песочница. Она представляет собой виртуальную машину, копирующую ваше рабочее окружение. По сравнению с полноценными виртуальными машинами, типа VMware или VirtualBox, у Windows Sandbox есть серьезные плюсы.
Некоторые из них — это скромные системные требования, простота запуска и настройки виртуальной машины. Всего несколько кликов мышью, и Windows Sandbox запущена и работает. Не надо инсталлировать операционную систему в виртуальную машину, все уже скопировано и работает из коробки. Вы попадаете, по сути, в копию своей Windows 10.
Сегодня я расскажу вам, как установить, настроить и запускать Windows Sandbox и как с ее помощью осуществлять безопасный и приватный серфинг в интернете даже по вредоносным сайтам, полными вирусов и троянов.
Для чего это может понадобиться? Например, вам надо скачать какую-нибудь древнюю версию редкой программы, которая есть только на подозрительных сайтах. Сама программа может быть безобидной, а вот сайт, с которого она распространяется, может быть забит троянами, вирусами и эксплойтами. Виртуальная машина или песочница Windows позволит вам совершенно спокойно посещать такие сайты, так как она не имеет пересечения с вашей основной ОС. Если и произойдет заражение, то оно будет ограничено виртуальной машиной.
В плане приватности Windows Sandbox может быть в том случае, если вы не хотите, чтобы другой пользователь компьютера видел, по каким сайтам вы лазаете. Например, вы в гостях, или дома компьютером пользуются два-три человека. Серфинг на Windows Sandbox не оставит никаких следов в основной ОС. Как только вы ее выключите — все данные сотрутся. Даже режим «Инкогнито» в браузере не даст такой приватности.
Ну что же, перейдем к практике. Windows Sandbox встроена в Windows 10 May 2019 Update и Windows 10 November 2019 Update редакций Pro или Enterprise.
Для начала в BIOS активируем функцию виртуализации.
Чтобы включить песочницу, вам надо перейти и поставить галочку в «Панель управления» — «Программы и компоненты» — «Включение или отключение компонентов Windows» — «Песочница Windows».
Можно включить ее и командами PowerShell:
Теперь найдите Windows Sandbox в меню «Пуск», запустите ее и разрешите повышение привилегий.
Теперь можно приступать к интернет-серфингу. В песочнице есть браузеры internet explorer и EDGE.
Для примера я включу www.youtube.com. Все прекрасно воспроизводится. Потребляется около 4-5 ГБ памяти. Процессор Intel Core i5 с четырьмя ядрами загружен на 40-60%.
Сама песочница внутри себя потребляет 1.3 ГБ.
При желании можно скопировать в нее любой портабельный браузер и пользоваться им, это занимает несколько десятков секунд. Я копирую Comodo Dragon.
Особых фризов и лагов замечено не было. Иногда были редкие подвисания после закрытия окон, и EDGE не захотел проигрывать видео на www.youtube.com, но выручил internet explorer, в нем все прекрасно воспроизводилось.
Для запуска песочницы и ее настройки удобно использовать программу Windows Sandbox Editor от technet.
Она на английском, но простая и понятная. После ее использования сохранится файл с расширением *.wsb, запуском которого вы будете запускать песочницы с заданными параметрами. Не забывайте включить ускорение посредством GPU в Windows Sandbox, это здорово ускоряет работу с браузером.
Не забывайте, что «Drag and Drop» в окно песочницы не работает, а вот «скопировать» и «вставить» работают. Копирование в случае использования SSD-накопителя происходит довольно быстро. Главное, не забывайте, что все содержимое Windows Sandbox будет уничтожено при закрытии, поэтому надо скопировать информацию в компьютер до выключения.
Итоги
В виде встроенной виртуальной машины Windows Sandbox мы получили не только инструмент проверки подозрительных файлов, но и возможность абсолютного безопасного открытия вредоносных сайтов. Но, не забывайте, что при таком посещении опасных сайтов информация браузера может быть скомпрометирована, поэтому старайтесь не вводить логины и пароли.
Telegram-канал @overclockers_news — теперь в новом формате. Подписывайся, чтобы быть в курсе всех новостей!
Windows Sandbox is a new lightweight desktop environment tailored for safely running applications in isolation.
How many times have you downloaded an executable file, but were afraid to run it? Have you ever been in a situation which required a clean installation of Windows, but didn’t want to set up a virtual machine?
At Microsoft we regularly encounter these situations, so we developed Windows Sandbox: an isolated, temporary, desktop environment where you can run untrusted software without the fear of lasting impact to your PC. Any software installed in Windows Sandbox stays only in the sandbox and cannot affect your host. Once Windows Sandbox is closed, all the software with all its files and state are permanently deleted.
Windows Sandbox has the following properties:
- Part of Windows – everything required for this feature ships with Windows 10 Pro and Enterprise. No need to download a VHD!
- Pristine – every time Windows Sandbox runs, it’s as clean as a brand-new installation of Windows
- Disposable – nothing persists on the device; everything is discarded after you close the application
- Secure – uses hardware-based virtualization for kernel isolation, which relies on the Microsoft’s hypervisor to run a separate kernel which isolates Windows Sandbox from the host
- Efficient – uses integrated kernel scheduler, smart memory management, and virtual GPU
Prerequisites for using the feature
- Windows 10 Pro or Enterprise Insider build 18305 or later
- AMD64 architecture
- Virtualization capabilities enabled in BIOS
- At least 4GB of RAM (8GB recommended)
- At least 1 GB of free disk space (SSD recommended)
- At least 2 CPU cores (4 cores with hyperthreading recommended)
- Install Windows 10 Pro or Enterprise, Insider build 18305 or newer
- Enable virtualization:
- If you are using a physical machine, ensure virtualization capabilities are enabled in the BIOS.
- If you are using a virtual machine, enable nested virtualization with this PowerShell cmdlet:
- Set-VMProcessor -VMName <VMName> -ExposeVirtualizationExtensions $true
- Open Windows Features, and then select Windows Sandbox. Select OK to install Windows Sandbox. You might be asked to restart the computer.
- Using the Start menu, find Windows Sandbox, run it and allow the elevation
- Copy an executable file from the host
- Paste the executable file in the window of Windows Sandbox (on the Windows desktop)
- Run the executable in the Windows Sandbox; if it is an installer go ahead and install it
- Run the application and use it as you normally do
- When you’re done experimenting, you can simply close the Windows Sandbox application. All sandbox content will be discarded and permanently deleted
- Confirm that the host does not have any of the modifications that you made in Windows Sandbox.
Windows Sandbox respects the host diagnostic data settings. All other privacy settings are set to their default values.
Since this is the Windows Kernel Internals blog, let’s go under the hood. Windows Sandbox builds on the technologies used within Windows Containers. Windows containers were designed to run in the cloud. We took that technology, added integration with Windows 10, and built features that make it more suitable to run on devices and laptops without requiring the full power of Windows Server.
Some of the key enhancements we have made include:
At its core Windows Sandbox is a lightweight virtual machine, so it needs an operating system image to boot from. One of the key enhancements we have made for Windows Sandbox is the ability to use a copy of the Windows 10 installed on your computer, instead of downloading a new VHD image as you would have to do with an ordinary virtual machine.
We want to always present a clean environment, but the challenge is that some operating system files can change. Our solution is to construct what we refer to as “dynamic base image”: an operating system image that has clean copies of files that can change, but links to files that cannot change that are in the Windows image that already exists on the host. The majority of the files are links (immutable files) and that’s why the small size (~100MB) for a full operating system. We call this instance the “base image” for Windows Sandbox, using Windows Container parlance.
When Windows Sandbox is not installed, we keep the dynamic base image in a compressed package which is only 25MB. When installed the dynamic base package it occupies about 100MB disk space.
Memory management is another area where we have integrated with the Windows Kernel. Microsoft’s hypervisor allows a single physical machine to be carved up into multiple virtual machines which share the same physical hardware. While that approach works well for traditional server workloads, it isn’t as well suited to running devices with more limited resources. We designed Windows Sandbox in such a way that the host can reclaim memory from the Sandbox if needed.
Additionally, since Windows Sandbox is basically running the same operating system image as the host we also allow Windows sandbox to use the same physical memory pages as the host for operating system binaries via a technology we refer to as “direct map”. In other words, the same executable pages of ntdll, are mapped into the sandbox as that on the host. We take care to ensure this done in a secure manner and no secrets are shared.
With ordinary virtual machines, Microsoft’s hypervisor controls the scheduling of the virtual processors running in the VMs. However, for Windows Sandbox we use a new technology called “integrated scheduler” which allows the host to decide when the sandbox runs.
For Windows Sandbox we employ a unique scheduling policy that allows the virtual processors of the sandbox to be scheduled in the same way as threads would be scheduled for a process. High-priority tasks on the host can preempt less important work in the sandbox. The benefit of using the integrated scheduler is that the host manages Windows Sandbox as a process rather than a virtual machine which results in a much more responsive host, similar to Linux KVM.
The whole goal here is to treat the Sandbox like an app but with the security guarantees of a Virtual Machine.
As stated above, Windows Sandbox uses Microsoft’s hypervisor. We’re essentially running another copy of Windows which needs to be booted and this can take some time. So rather than paying the full cost of booting the sandbox operating system every time we start Windows Sandbox, we use two other technologies; “snapshot” and “clone.”
Snapshot allows us to boot the sandbox environment once and preserve the memory, CPU, and device state to disk. Then we can restore the sandbox environment from disk and put it in the memory rather than booting it, when we need a new instance of Windows Sandbox. This significantly improves the start time of Windows Sandbox.
Hardware accelerated rendering is key to a smooth and responsive user experience, especially for graphics-intense or media-heavy use cases. However, virtual machines are isolated from their hosts and unable to access advanced devices like GPUs. The role of graphics virtualization technologies, therefore, is to bridge this gap and provide hardware acceleration in virtualized environments; e.g. Microsoft RemoteFX.
More recently, Microsoft has worked with our graphics ecosystem partners to integrate modern graphics virtualization capabilities directly into DirectX and WDDM, the driver model used by display drivers on Windows.
At a high level, this form of graphics virtualization works as follows:
- Apps running in a Hyper-V VM use graphics APIs as normal.
- Graphics components in the VM, which have been enlightened to support virtualization, coordinate across the VM boundary with the host to execute graphics workloads.
- The host allocates and schedules graphics resources among apps in the VM alongside the apps running natively. Conceptually they behave as one pool of graphics clients.
This process is illustrated below:
This enables the Windows Sandbox VM to benefit from hardware accelerated rendering, with Windows dynamically allocating graphics resources where they are needed across the host and guest. The result is improved performance and responsiveness for apps running in Windows Sandbox, as well as improved battery life for graphics-heavy use cases.
To take advantage of these benefits, you’ll need a system with a compatible GPU and graphics drivers (WDDM 2.5 or newer). Incompatible systems will render apps in Windows Sandbox with Microsoft’s CPU-based rendering technology.
Windows Sandbox is also aware of the host’s battery state, which allows it to optimize power consumption. This is critical for a technology that will be used on laptops, where not wasting battery is important to the user.
As with any new technology, there may be bugs. Please file them so that we can continually improve this feature.
File bugs and suggestions at Windows Sandbox’s Feedback Hub (select Add new feedback), or follows these steps:
- Open the Feedback Hub
- Select Report a problem or Suggest a feature.
- Fill in the Summarize your feedback and Explain in more details boxes with a detailed description of the issue or suggestion.
- Select an appropriate category and subcategory by using the dropdown menus. There is a dedicated option in Feedback Hub to file «Windows Sandbox» bugs and feedback. It is located under «Security and Privacy» subcategory «Windows Sandbox».
- Select Next
- If necessary, you can collect traces for the issue as follows: Select the Recreate my problem tile, then select Start capture, reproduce the issue, and then select Stop capture.
- Attach any relevant screenshots or files for the problem.
- Submit.
We look forward to you using this feature and receiving your feedback!
Cheers,
Hari Pulapaka, Margarit Chenchev, Erick Smith, & Paul Bozzay
(Windows Sandbox team)
В Windows 10 последней версии появилась новая функция — Песочница, позволяющая безопасно запускать неизвестные программы в изолированной среде, не боясь, что это как-то скажется на установленной системе. Ранее на сайте уже публиковалась статья о том, как включить Песочницу Windows 10 и создать файлы конфигурации вручную и новая статья: Установка и настройка Песочницы Windows 11. Теперь же на сайте Майкрософт появилась утилита, позволяющая автоматизировать и упростить создание файлов конфигурации песочницы wsb.
В этой инструкции об утилите Windows Sandbox Editor (Sandbox Configuration Manager), предназначенной для удобного создания файлов конфигурации песочницы, определяющих доступные ей возможности взаимодействия с основной системой и другие параметры.
Работа с параметрами песочницы Windows 10 в программе
Скачать утилиту Sandbox Editor или Configuration Manager (это одна и та же программа, но в самой программе и на сайте фигурируют разные названия) можно с официальной страницы https://github.com/damienvanrobaeys/Windows_Sandbox_Editor Внимание: похоже, файл не безопасен, более не рекомендуется к загрузке. Файл представляет собой ZIP-архив, который достаточно распаковать, а затем запустить любой из двух исполняемых файлов в папке EXE (все их отличия в незначительных изменения интерфейса, я буду использовать файл, обозначенный как V2). Дальнейшая настройка песочницы Windows 10 в программе выглядит следующим образом:
- В главном разделе (Basic Infos) устанавливаем имя файла конфигурации (Sandbox name), путь (Sandbox path) — подразумевается папка, куда будет сохранен файл конфигурации, доступ к сети (Networking Status, enabled означает «включено»), доступ к виртуальному графическому ускорителю (VGPU). Также внизу этого экрана присутствует пункт «Run Sandbox after change» — «Запустить Песочницу после изменений», если он включен, песочница будет запущена сразу после завершения настройки файла конфигурации.
- Следующий раздел — Mapped Folders. Позволяет задать папки основной системы, которые будут подключены к Песочнице. Переключатель Read Only позволяет включить доступ к папкам только для чтения или полный доступ к ним (при выключенном переключателе доступ только для чтения). Папки появятся на рабочем столе в песочнице после запуска.
- Раздел Startup Commands позволяет задать выполнение скрипта, программы или любой команды сразу при запуске Песочниц (команда будет выполняться «внутри», соответственно вы не можете указать путь к ресурсам, которые недоступны из Песочницы).
- В последнем разделе — «Overview» вы можете ознакомиться с кодом файла конфигурации wsb (представляет собой обычный .xml файл).
По завершении настройки нажмите «Create Sandbox» (Создать песочницу), это сохранит файл конфигурации в указанное в поле Path расположение и запустит песочницу, если был включен автоматический запуск. Кнопка «Load Existing Sandbox» позволяет загрузить ранее созданные файлы конфигурации песочницы для их редактирования.
Вы можете создавать любое количество файлов конфигурации для разных задач: при запуске каждого из них будет запускаться Песочница Windows 10 с заданными параметрами.
Видео об установке и настройке песочницы Windows 10
В моем тесте всё работает исправно (было бы странно, если бы не работало: файлы конфигурации очень просты) и, если вы используете Песочницу, утилиту можно рекомендовать к применению как более удобный, по сравнению с ручным написанием файлов конфигурации, способ изменения её настроек.
https://www.systanddeploy.com/2019/07/windows-sandbox-editor-update.html
In this post I will show you the new versin of my tool Windows Sandbox Editor (old nam Sandbox Configurattion Manager) that allows you to create and edit your Sandbox configuration files. You will be able to generate Sandbox to run different kind of files like PS1, VBS, EXE, msi.
How to get it ?
- DOWNLOAD
About sources files
The ZIP is composed of two folders EXE and Sources.
In the EXE folder there are two graphic versions of the EXE
— HamburgerMenu version: Sandbox Configuration Manager v1
— TabControl version: Sandbox Configuration Manager v2
Configuration files reminder
You can run Windows Sandbox from two ways:
From the start menu, it will open a fresh Sandbox
From a configuration file, it will open a Sandbox with the selected configuration
The configuration file is an XML file, composed of differents tags for the below configuration:
— Virtualized GPU (Enable or Disable)
— Networking (Enable or Disable)
— Share a folder from the host (Path and access)
— Startup script
— Startup program
What’s new ?
Run directly the Sandbox
I added a control that allows you to run directly the Sandbox after generating or modiying it.
1 / Create or load an exsting Sandbox file (WSB file).
2 / Click on the button Create the Sandbox or Modifying the Sandbox
3 / The WSB file will be created
4 / A dialog will be opened
5 / The Sandbox will be launched automatically after clicking on OK
Command Build helper
In the command Tab I added some Controls to help you to build the startup command.
1 / Choose the kind of file to run (PS1, VBS, EXE, msi)
2 / Browse the file
3 / The commandline will be generated in the part Your command
4 / Use the second TextBox to add parameters to your script or silent switches to an installer file
What it does ?
The tool is composed of four tabs:
— Basic infos
— Mapped folders
— Command
— Overview: View the current configuration file
Basic infos
— Set Sandbox name
— Set Sandbox path
— Enable or disable networking
— Enable or disable VGpu
Mapped folders
— Share a new folder from the host computer
— Edit an existing shared folder path
— Remove a shared folder from the configuration file
Commands
— Add a new startup command
— Edit an existing startup command
— Remove an existing startup command
Accueil
item
Provide feedback
Saved searches
Use saved searches to filter your results more quickly
Sign up
Appearance settings