Зачем нужен Application Guard в Защитнике Microsoft для Office

Данная функция основана на Application Guard в Защитнике Microsoft, который используется для загрузки сайтов неизвестного статуса безопасности в изолированном контейнере с использованием автоматизированных и автономных режимов. Автоматизированный режим под названием Enterprise Management Mode (режим управления предприятием) позволяет администратору определять доверенные через групповые политики и другие интерфейсы управления. Доверенные сайты будут открываться в основной системе, а все остальные веб-ресурсы будут расцениваться как ненадежные и будут запускаться в виртуальной среде.

В автономном режиме (Standalone mode) пользователю нужно запускать Application Guard в Защитнике Microsoft вручную.

Application Guard в Защитнике Microsoft для Office пытается бороться с угрозами, которые эксплуатируют уязвимости с Microsoft Office, связанные с поддерживаемыми типами документов и встроенными функциями. Основная идея заключается в том, чтобы запускать сомнительные файлы в безопасной среде и избежать взаимодействия с хост-системой, данными в ней и сетью.

Пользователи Office по-прежнему смогут просматривать, редактировать, печатать и сохранять документы в приложении Office.

Microsoft Office будет открывать файлы из потенциально небезопасных мест в защищенном контейнере Application Guard в Защитнике Microsoft, который изолирован от основной системы с помощью средств аппаратной виртуализации. Когда Microsoft Office открывает файлы в Application Guard в Защитнике Microsoft, пользователь может безопасно читать, редактировать, печатать и сохранять файлы без необходимости повторно открывать файлы за пределами контейнера.

Microsoft приводит следующие системные требования для работы Application Guard в Защитнике Microsoft для Office:

• 64-битный процессор как минимум с 4 ядрами (физическими или виртуальными), расширениями виртуализации (Intel VT-x или AMT-V), Core i5 или выше.
• 8 ГБ ОЗУ
• 10 ГБ свободного места на жестком диске.
• Windows 10 версии 2004, сборка 19041 или более поздняя, редакция только Enterprise
• Лицензирование: Microsoft 365 E5 или E5 Security.
• Версия сборки канала бета-версии Office 2008 или более поздняя.
• Установленное обновление KB4566782.

Microsoft ограничила использование данной функции только системами Windows 10 редакции Enterprise с подпиской Microsoft 365 E5 или E5 Security.

Application Guard в Защитнике Microsoft должен быть включен в системе с помощью интерфейса Включение и отключение компонентов Windows или с помощью команды Enable-WindowsOptionalFeature -online -FeatureName Windows-Defender-ApplicationGuard в PowerShell.

Администраторам необходимо открыть редактор групповой политики и включить политику Application Guard в Защитнике Microsoft, которая находится по пути Конфигурация компьютера \ Административные шаблоне \ Компоненты Windows \ Application Guard в Microsoft Defender, установив значение 2 или 3:

• Значение 2 включает Application Guard в Защитнике Microsoft только для изолированных сред Windows.
• Значение 3 включает Application Guard в Защитнике Microsoft для Microsoft Edge и изолированных сред Windows.

После того, как вы включили политику, запустите ненадежный документ, например скачанный из Интернета, чтобы проверить правильность настройки Application Guard для Office. Вы должны получить уведомление «В целях безопасности мы открываем этот документ в Application Guard».

В строке заголовка окна должен отображаться значок Application Guard, указывающий на то, что файл открыт в виртуальной среде.

Application Guard в Защитнике Microsoft для Office устраняет множество векторов атак, связанных с документами Office. Было бы здорово, если бы Microsoft сделала эту функцию доступной для всех пользователей, а не только для корпоративных клиентов, но вероятность этого невысока.

Домашние пользователи могут использовать другие решения для виртуализации, например приложение Sandboxie или виртуальные машины для безопасного открытия сомнительных файлов.