沙盒保護無需外援 Windows Defender自己來

俞木發

1 簡單設置 開啟WDGA保護組件

在搜索框輸入“啟用或關閉Windows功能”，在打開的窗口勾選其中的“Windows Defender應用程序防護”，點擊“確定”，按提示開啟該組件的支持，重啟系統后就可以使用WDGA組件來保護系統了（圖3）。

這樣如果以后需要使用WDGA保護模式來瀏覽網頁，啟動Edge后點擊“菜單→新建應用程序防護窗口”，這樣在Edge中會打開一個受WDGA保護的新窗口（圖4）。

2 安全為上 使用WDGA保護

在啟動WDGA保護后，WDGA保護會先進行隔離環境初始化操作，初始化完畢后會打開一個新的Microsoft Edge，其窗口邊緣為醒目的橙色，且左上角也有醒目的“應用程序保護”圖標，可以讓用戶直觀看到現在正處于受保護的狀態（圖5）。

開啟WDGA保護后進行的網頁瀏覽、默認在這個窗口進行的所有操作都會被隔離在一個相對獨立的沙盒環境中，它的保護效果就像是在虛擬機中運行Edge瀏覽器。在瀏覽器中所有的操作都會和當前主機系統隔離，比如用戶在受保護的瀏覽器中瀏覽掛馬網頁，或者在其中下載了病毒等操作，當關閉Edge后，所有的操作都會清零，自然其中病毒、木馬都不會感染當前主機系統（圖6）。

3 按需使用 開啟WDGA靈活保護

默認情況下開啟WDGA保護后，我們在保護模式下將下載的文件、文檔或者復制的文本粘貼到主機系統。如果需要靈活使用這個保護措施，可以在組策略編輯器中進行設置。比如在進行安全測試的時候，出于安全考慮需要在WDGA保護環境下訪問一些危險網站，并且需要將一些病毒樣本或者代碼復制到主機系統中保存，此時就可以在組策略中開啟從隔離系統中復制和粘貼的功能。

在搜索框輸入“gpedit.msc”啟動組策略編輯器，依次定位到“計算機配置→管理模板→Windows組件→Windows Defender應用程序防護”，然后雙擊右側的“配置Windows Defender應用程序防護剪貼板設置”（圖7）。

在打開的窗口按自己的實際需要進行設置，比如需要允許從隔離系統中復制特定的文本（如惡意代碼文本），將“剪貼板的行為設置”選擇“應用從隔離會話到主機的剪貼板操作”，內容選項設置為“1”，依次點擊確定退出（圖8）。

這樣當我們在隔離系統查看到惡意代碼文本的時候，就可以使用復制粘貼（默認無法執行）的方法，將代碼文本粘貼到當前主機系統中。其他諸如打印、共享、保存隔離系統下載的數據、文件等操作也可以在相應的設置選項中進行設置。這樣借助WDGA既可以很好地保護瀏覽的安全，又可以根據自己的實際需要選擇性地提取隔離系統中的元素。