沙盒保护无需外援 Windows Defender自己来

俞木发

1 简单设置 开启WDGA保护组件

在搜索框输入“启用或关闭Windows功能”，在打开的窗口勾选其中的“Windows Defender应用程序防护”，点击“确定”，按提示开启该组件的支持，重启系统后就可以使用WDGA组件来保护系统了（图3）。

这样如果以后需要使用WDGA保护模式来浏览网页，启动Edge后点击“菜单→新建应用程序防护窗口”，这样在Edge中会打开一个受WDGA保护的新窗口（图4）。

2 安全为上 使用WDGA保护

在启动WDGA保护后，WDGA保护会先进行隔离环境初始化操作，初始化完毕后会打开一个新的Microsoft Edge，其窗口边缘为醒目的橙色，且左上角也有醒目的“应用程序保护”图标，可以让用户直观看到现在正处于受保护的状态（图5）。

开启WDGA保护后进行的网页浏览、默认在这个窗口進行的所有操作都会被隔离在一个相对独立的沙盒环境中，它的保护效果就像是在虚拟机中运行Edge浏览器。在浏览器中所有的操作都会和当前主机系统隔离，比如用户在受保护的浏览器中浏览挂马网页，或者在其中下载了病毒等操作，当关闭Edge后，所有的操作都会清零，自然其中病毒、木马都不会感染当前主机系统（图6）。

3 按需使用 开启WDGA灵活保护

默认情况下开启WDGA保护后，我们在保护模式下将下载的文件、文档或者复制的文本粘贴到主机系统。如果需要灵活使用这个保护措施，可以在组策略编辑器中进行设置。比如在进行安全测试的时候，出于安全考虑需要在WDGA保护环境下访问一些危险网站，并且需要将一些病毒样本或者代码复制到主机系统中保存，此时就可以在组策略中开启从隔离系统中复制和粘贴的功能。

在搜索框输入“gpedit.msc”启动组策略编辑器，依次定位到“计算机配置→管理模板→Windows组件→Windows Defender应用程序防护”，然后双击右侧的“配置Windows Defender应用程序防护剪贴板设置”（图7）。

在打开的窗口按自己的实际需要进行设置，比如需要允许从隔离系统中复制特定的文本（如恶意代码文本），将“剪贴板的行为设置”选择“应用从隔离会话到主机的剪贴板操作”，内容选项设置为“1”，依次点击确定退出（图8）。

这样当我们在隔离系统查看到恶意代码文本的时候，就可以使用复制粘贴（默认无法执行）的方法，将代码文本粘贴到当前主机系统中。其他诸如打印、共享、保存隔离系统下载的数据、文件等操作也可以在相应的设置选项中进行设置。这样借助WDGA既可以很好地保护浏览的安全，又可以根据自己的实际需要选择性地提取隔离系统中的元素。