Windows Sandbox introduserer enkle konfigurasjonsfiler i Windows 10

Windows Sandbox er et isolert, midlertidig skrivebordsmiljø der du kan kjøre upålitelig programvare uten frykt for varig innvirkning på PC-en din. Windows Sandbox har nå støtte for enkle konfigurasjonsfiler (.wsb filtype), som gir minimalt med skriptstøtte. Du kan bruke denne funksjonen i den nyeste Windows Insider build 18342.

Eventuell programvare installert i Windows Sandbox forblir bare i sandkassen og kan ikke påvirke verten din. Når Windows Sandbox er lukket, slettes all programvare med alle filene og tilstanden permanent.

Windows Sandbox har følgende egenskaper:

• En del av Windows – alt som kreves for denne funksjonen leveres med Windows 10 Pro og Enterprise. Du trenger ikke å laste ned en VHD!
• Uberørte – hver gang Windows Sandbox kjører, er den like ren som en helt ny installasjon av Windows
• Engangs – ingenting vedvarer på enheten; alt forkastes etter at du lukker programmet
• Sikre – bruker maskinvarebasert virtualisering for kjerneisolering, som er avhengig av Microsofts hypervisor for å kjøre en egen kjerne som isolerer Windows Sandbox fra verten
• Effektiv – bruker integrert kjerneplanlegger, smart minneadministrasjon og virtuell GPU

Det er følgende forutsetninger for å bruke Windows Sandbox-funksjonen:

• Windows 10 Pro eller Enterprise build 18305 eller nyere
• AMD64-arkitektur
• Virtualiseringsfunksjoner aktivert i BIOS
• Minst 4 GB RAM (8 GB anbefales)
• Minst 1 GB ledig diskplass (SSD anbefales)
• Minst 2 CPU-kjerner (4 kjerner med hyperthreading anbefales)

Du kan lære hvordan du aktiverer og bruker Windows Sandbox HER.

Windows Sandbox-konfigurasjonsfiler

Sandbox-konfigurasjonsfiler er formatert som XML, og er knyttet til Windows Sandbox via filtypen .wsb. En konfigurasjonsfil lar brukeren kontrollere følgende aspekter av Windows Sandbox:

1. vGPU (virtualisert GPU)
   • Aktiver eller deaktiver den virtualiserte GPUen. Hvis vGPU er deaktivert, vil Sandbox bruke VARP (programvare rasterizer).
2. Nettverk
   • Aktiver eller deaktiver nettverkstilgang til Sandbox.
3. Delte mapper
   • Del mapper fra verten med lese- eller skrivetillatelser. Merk at avsløring av vertskataloger kan skadelig programvare påvirke systemet ditt eller stjele data.
4. Oppstartsskript
   • Påloggingshandling for sandkassen.

Ved å dobbeltklikke på en *.wsb-fil åpner du den i Windows Sandboxю

Støttede konfigurasjonsalternativer

VGpu

Aktiverer eller deaktiverer GPU-deling.

verdi

Støttede verdier:

• Deaktiver – deaktiverer vGPU-støtte i sandkassen. Hvis denne verdien er satt, vil Windows Sandbox bruke programvaregjengivelse, som kan være tregere enn virtualisert GPU.
• Misligholde – dette er standardverdien for vGPU-støtte; for øyeblikket betyr dette at vGPU er aktivert.

Merk: Aktivering av virtualisert GPU kan potensielt øke angrepsoverflaten til sandkassen.

Nettverk

Aktiverer eller deaktiverer nettverk i sandkassen. Deaktivering av nettverkstilgang kan brukes til å redusere angrepsoverflaten som eksponeres av Sandbox.

verdi

Støttede verdier:

• Deaktiver – deaktiverer nettverk i sandkassen.
• Misligholde – dette er standardverdien for nettverksstøtte. Dette muliggjør nettverksbygging ved å opprette en virtuell svitsj på verten, og kobler sandkassen til den via et virtuelt nettverkskort.

Merk: Aktivering av nettverk kan avsløre uklarerte applikasjoner for ditt interne nettverk.

Mapped Folders

Omslutter en liste over MappedFolder-objekter.

liste over MappedFolder-objekter. 

Merk: Filer og mapper som er tilordnet fra verten kan bli kompromittert av apper i Sandbox eller potensielt påvirke verten.

Mapped Folder

Spesifiserer en enkelt mappe på vertsmaskinen som skal deles på beholderskrivebordet. Apper i Sandbox kjøres under brukerkontoen "WDAGUtilityAccount". Derfor er alle mapper tilordnet under følgende bane: C:\Users\WDAGUtilityAccount\Desktop.

F.eks. "C:\Test" vil bli tilordnet som "C:\users\WDAGUtilityAccount\Desktop\Test".

banen til vertsmappenverdi

Host Folder: Spesifiserer mappen på vertsmaskinen som skal deles med sandkassen. Merk at mappen allerede må eksistere på verten, ellers vil beholderen ikke starte hvis mappen ikke blir funnet.

Skrivebeskyttet: Hvis sant, fremtvinger skrivebeskyttet tilgang til den delte mappen fra beholderen. Støttede verdier: sann/falsk.

Merk: Filer og mapper som er tilordnet fra verten kan bli kompromittert av apper i Sandbox eller potensielt påvirke verten.

Påloggingskommando

Spesifiserer en enkelt kommando som vil bli påkalt automatisk etter at beholderen logger på.

kommando som skal påkalles

Kommando: En bane til en kjørbar fil eller et skript inne i beholderen som vil bli utført etter pålogging.

Merk: Selv om veldig enkle kommandoer vil fungere (å starte en kjørbar fil eller et skript), bør mer kompliserte scenarier som involverer flere trinn plasseres i en skriptfil. Denne skriptfilen kan tilordnes beholderen via en delt mappe, og deretter kjøres via LogonCommand-direktivet.

Konfigurasjonseksempler

Eksempel 1

Følgende konfigurasjonsfil kan brukes til å enkelt teste nedlastede filer inne i sandkassen. For å oppnå dette deaktiverer skriptet nettverk og vGPU, og begrenser den delte nedlastingsmappen til skrivebeskyttet tilgang i beholderen. For enkelhets skyld åpner påloggingskommandoen nedlastingsmappen inne i beholderen når den startes.

Nedlastinger.wsb

DeaktiverDeaktiverC:\Brukere\Public\Nedlastingerekteexplorer.exe C:\users\WDAGUtilityAccount\Desktop\Nedlastinger

Eksempel 2

Følgende konfigurasjonsfil installerer Visual Studio Code i beholderen, som krever et litt mer komplisert LogonCommand-oppsett.

To mapper er tilordnet i beholderen; den første (SandboxScripts) inneholder VSCodeInstall.cmd, som vil installere og kjøre VSCode. Den andre mappen (CodingProjects) antas å inneholde prosjektfiler som utvikleren ønsker å endre ved hjelp av VSCode.

Med VSCode-installasjonsskriptet allerede kartlagt i beholderen, kan LogonCommand referere til det.

VSCodeInstall.cmd

REM Last ned VSCode. krøll -L " https://update.code.visualstudio.com/latest/win32-x64-user/stable" --output C:\users\WDAGUtilityAccount\Desktop\vscode.exe REM Installer og kjør VSCode. C:\users\WDAGUtilityAccount\Desktop\vscode.exe /verysilent /suppressmsgboxes

VSCode.wsb

C:\SandboxScriptsekteC:\CodingProjectsfalskC:\users\wdagutilityaccount\desktop\SandboxScripts\VSCodeInstall.cmd

Kilde: Microsoft