Вопрос или проблема
Я ищу альтернативу API для запуска изолированных приложений, так как он перестал поддерживаться. Хотя существуют такие изоляционные функции, как AppContainer, я считаю, что они не обеспечивают тот же уровень безопасности, что и изоляция на основе Hyper-V.
Кто-нибудь знает какие-либо альтернативные API, которые обеспечивают изоляцию на основе Hyper-V, или какой будет самый сильный метод изоляции, доступный на данный момент для Windows 10/11?
.
Ответ или решение
Поиск замены для устаревшего API Isolated App Launcher, обеспечивающего изоляцию приложений на базе Hyper-V, является актуальной задачей для специалистов по информационным технологиям. В условиях усиления требований к безопасности корпоративных инфраструктур и персональных данных все более актуальными становятся более защищенные методы изоляции приложений, особенно на платформах Windows 10 и Windows 11. Рассмотрим теорию, примеры и возможное применение существующих технологий для решения этой задачи.
Теория
API Isolated App Launcher предоставлял возможность запускать приложения в изолированных контейнерах, опираясь на возможности виртуализации на базе Hyper-V. Hyper-V является гипервизором, интегрированным в Windows, который позволяет создавать и управлять виртуальными машинами. Он предоставляет изолированную среду, которая обеспечивает высокий уровень безопасности за счет сегментации ресурсов и выполнения кода в отдельной от основной системы среде.
С изоляцией на уровне Hyper-V у приложений есть доступ лишь к тем системным ресурсам, которые явно предоставлены, что позволяет минимизировать риски, связанные с уязвимостями и злонамеренными действиями. В отличие от AppContainer, который ограничивает доступность ресурсов для приложений путем политики ограничений, Hyper-V обеспечивает аппаратную изоляцию, что делает его предпочтительным выбором для критически важных и чувствительных к безопасности задач.
Примеры
После устранения Isolated App Launcher, продолжают разрабатываться и использоваться альтернативные методы, хотя в большинстве из них осталась неизменной базовая концепция использования Hyper-V:
-
Windows Sandbox: Эта функция использует технологии виртуализации Hyper-V для создания временной, изолированной среды, в которой можно безопасно запускать приложения. Sandbox обеспечивает полнофункциональную версию Windows, отделенную от основной операционной системы, что позволяет тестировать и исполнять файлы без риска. Однако эта функция предназначена в основном для тестирования подозрительных программ и не предоставляет API для развертывания приложений в автоматическом или широкомасштабном виде в корпоративных средах.
-
WDAG (Windows Defender Application Guard): Расширение Hyper-V, созданное для безопасного просмотра веб-страниц, изолируя их в отдельной виртуальной среде. Хотя WDAG предлагает Hyper-V изоляцию, его использование ограничивается в основном браузингом и не предназначено для общего применения и запуска произвольных приложений.
-
MSIX контейнеры: Хотя они не используют Hyper-V напрямую, эти контейнеры предоставляют функцию упаковки и развертывания приложений. В сочетании с другими изолирующими технологиями они могут обеспечить достаточный уровень изоляции и контроля за приложениями.
Применение
На текущий момент нет полного аналога API Isolated App Launcher, который обеспечивал бы столь же удобный и безопасный способ Hyper-V изоляции приложений. Однако, можно использовать комбинацию различных технологий для достижения требуемого уровня безопасности:
-
Использование виртуальных машин на Hyper-V: Создание полного виртуального десктопа для каждого приложения или группы приложений, требующих высокой степени изоляции. Это сложное, но эффективное решение для критически важных приложений.
-
Интеграция Windows Sandbox как инструмента тестирования: Хотя Sandbox не является прямым аналогом Isolated App Launcher, он предоставляет возможность тестирования и анализа состояния приложения в изолированной среде, и, несмотря на ограниченность API, может быть полезен в задачах интеграции и безопасности.
-
Разработка собственных решений с использованием Windows Hypervisor Platform: Для компаний или разработчиков, которые могут инвестировать ресурсы в разработку, использование Windows Hypervisor Platform может стать площадкой для создания собственных средств изоляции и управления, включая разработку кастомных контейнеров и гипервизоров.
Таким образом, хотя прямой альтернативы в виде API для замены Isolated App Launcher пока не предлагается, существующие технологии виртуализации и изоляции позволяют создать многоуровневую архитектуру безопасности для защиты и развертывания приложений в среде Windows 10/11. Консолидируя различные подходы и приложения, можно достичь значительного уровня защиты и соответствовать современным требованиям безопасности.