Uwf фильтр что это

О фильтре записи

Основные возможности фильтра записи

• Защищать данные на томах несъемных носителей

• • • Размер оверлея (по умолчанию 1024 МВ)

    • Расположение оверлея – HDD/RAM (по умолчанию RAM)

      • RAM – возможен только оверлей с временным хранением данных, который очищается только после перезагрузки системы

      • HDD – возможен оверлей с временным хранением данных и постоянный оверлей. Для очистки постоянного оверлея с помощью перезагрузки, необходимо дать оверлею команду на очистку.

    • • Порог предупреждения (по умолчанию 512 МВ)

      • Критический порог (по умолчанию 1024 МВ)

• Принудительное изменение защищенных данных, в реестре или в файловой системе. Принудительное изменение невозможно в режиме HORM.

Новые возможности в 21H2

• Режим «Read-Only Media»

  • Требуется для включения режима HORM

  • Игнорирование исключений

  • Возможность сохранить текущие изменения и сохранять последующие изменения до перезагрузки

• Перенос оверлея на другой том

• Автоматическая перезагрузка при заполнении оверлея

Особенности работы фильтра записи

• Включать фильтр записи необходимо непосредственно на конечном устройстве после активации системы.

• При включении фильтра записи изменяются некоторые настройки системы, но при выключении фильтра записи измененные настройки не возвращаются в исходное состояние. Изменяемые настройки можно посмотреть здесь

• Оверлей заполняется при записи на защищенный том, в том числе и при записи в места исключения

• Для очистки оверлея требуется перезагрузка системы

• При расположении оверлея на диске по умолчанию включена возможность сквозной записи, т.е. записываемые данные будут располагаться не в оверлее, а на всем свободном месте жесткого диска. При этом в оверлей будут записываться технологическая информация системы. Чтобы данные записывались только в оверлей необходимо отключить сквозную запись, параметр — «Freespace passthrough».

• Некоторые настройки фильтра записи вступают в силу после перезагрузки системы с включенным фильтром записи. Для таких настроек отображаются параметры для текущего и следующего сеанса.

• Фильтр записи делает записи в журнал о достижении уровня предупреждения и критического уровня

Запись о событиях производится в журнал системы «Журналы Windows > Система»

Для автоматической перезагрузки системы при достижении критического порога можно создать задачу. Для создания задачи выполните нижеуказанную команду в среде с повышенными привилегиями.

Начиная с Windows 21H2 данная задача не нужна т.к. при заполнении оверлея система будет перезагружена автоматически

Schtasks /Create /F /RU SYSTEM /TN ClearOverlay /TR "Shutdown -r -f -t 00" /SC ONEVENT /EC SYSTEM /MO "* and EventID=2]]"

Для автоматического включения фильтра записи после активации системы можно создать задачу

$local:Trigger = New-ScheduledTaskTrigger -AtLogon
$local:Settings = New-ScheduledTaskSettingsSet -DontStopIfGoingOnBatteries -AllowStartIfOnBatteries -ExecutionTimeLimit 0
$local:Action = New-ScheduledTaskAction -Execute 'powershell' -Argument '-command "Do {Start-Sleep 1; $LicenseStatus = (Get-WmiObject SoftwareLicensingProduct | Where {($_.ApplicationID -eq ''55c92734-d682-4d71-983e-d6ec3f16059f'') -and ($_.PartialProductKey -ne $null)}).LicenseStatus} Until ($LicenseStatus -eq 1); uwfmgr filter enable | Out-Null; Schtasks /Delete /F /TN UWFEnableOnSystemActivate | Out-Null; Restart-Computer -Force"'
Register-ScheduledTask -TaskName 'UWFEnableOnSystemActivate' -Trigger $Trigger -User 'SYSTEM' -Action $Action -Settings $Settings -RunLevel 'Highest' –Force

При создании задач учтите, что задачи в планировщике задач не работают в режиме аудита.

Фильтр защиты от записи на диск Unified Write Filter (UWF) в Windows 10

UWF (Unified Write Filter — объединенный фильтр записи) – это специальный фильтр записи файловой системы в Windows 10, который позволяет защитить системные файлы Windows и данные на диске от любых изменений. При включенном UWF фильтре любые операции записи на защищаемый диск или в системный реестр перехватываются драйвером UWF фильтра и помещаются в отдельное виртуально пространство (оверлей). После перезагрузки Windows все изменения на защищаемых дисках не сохраняются, т.е. Windows всегда возвращается к исходному состоянию на момент включения фильтра UWF.

Как работает фильтр UWF? Он защищает файловую систему выбранных разделов локальных дисков от изменений, прозрачно перенаправляя все операции записи на файловую систему в виртуальный оверлей в памяти, который хранит все изменения.

Settings in IGEL Setup

• Use IGEL Setup for UWF settings

  UWF settings are configured in IGEL Setup. (Default)

  ☐ UWF settings are configured in another manner.

• Enable UWF

  The write filter is enabled. (Default)

  ☐ The write filter is disabled.

  The Unified Write Filter must be enabled during regular system operation. IGEL does not provide support services if the write filter is disabled.

• Warning threshold for UWF: A warning is issued when the buffer exceeds this size (in MB). The user is prompted to save his data, close all programs, and restart the device. (Default: 512)
• Critical threshold for UWF: Normal operation is no longer possible when the buffer exceeds this size (in MB). A dialog is displayed; the user is prompted to save his data immediately. When the dialog is closed, the device is restarted. (Default: 900)

• Maximum Overlay size for UWF: Maximum size for the temporary buffer for saving writes. (Default: 1024)The actual size of the overlay buffer changes during runtime according to the memory requirements of the data to be written. The remaining physical RAM space is available to the system as regular RAM.

  Avoid very high values for the maximum size of the overlay buffer. With increasing maximum size, the probability of a conflict between overlay buffer and regular RAM demand rises. The behavior in case of conflict depends on the firmware version in use. IGEL WES 4.01.100 or older: There is no guarantee that the maximum overlay size is available at any time. Thus, it can happen that regular RAM usage and overlay buffer together require more physical RAM than is available. In this case, system failure will occur. IGEL WES 4.02.100 or newer: The RAM usage is monitored periodically. As soon as the margin between the currently required regular RAM space and the maximum overlay size has decreased to a threshold (default: 250 MB), a message is issued. The user is prompted to restart the device as soon as possible.

• List of directory excludes: Insert directories that you want to exclude from the Write Filter here, in order to allow writing to these. Use the complete path, including the drive letter.

  Please note that also write accesses to memory locations increase the Write Filter’s RAM demand. This is a property of the Windows Write Filter and therefore systemic.

To create an entry, click .

To remove an entry, click .

To edit an entry, click .

To copy an entry, click .

List of registry excludes: Insert registry keys that you want to exclude from the write filter here, in order to allow writing to these. Use the full key path.

Please note that also write accesses to memory locations increase the Write Filter’s RAM demand. This is a property of the Windows Write Filter and therefore systemic.

Directory and registry excludes defined by IGEL and needed for system operation are not shown and cannot be edited.

How to Reset or Disable UWF Filter?

You can reset the UWF filter settings to the initial ones (at the moment the filter is turned on):

To completely disable UWF (after a reboot, all changes on the disk will be saved):

Or you can disable the filter for a specific volume:

Important. If the Windows won’t boot due to incorrect UWF filter settings, you can disable the filter by booting from the install/boot media and editing the registry  offline:

• Disable UWF driver autostrart by changing the value of Start parameter to 4 in the reg key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\uwfvol;
• Delete the uwfvol string in HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{71a27cdd-812a-11d0-bec7-08002be2092f}\Lower Filters

Как использовать единый фильтр записи

Прежде чем включить и использовать функцию UWF в Windows, мы хотим, чтобы вы знали о некоторых изменениях, которые UWF внесет в вашу систему. Для этого:

Как включить единый фильтр записи

Как включить единый фильтр записи? Теперь выполните следующие действия, чтобы включить его.

Шаг 1. Нажмите «Пуск», введите «Включить функции Windows» в поле поиска и выберите «Включить или отключить функции Windows» в верхнем списке результатов.

Шаг 2. В окне «Компоненты Windows» разверните категорию «Блокировка устройства» и установите флажок рядом с «Единый фильтр записи».

Совет. Вы можете отключить эту функцию, сняв флажок «Единый фильтр записи» в том же месте. Кроме того, вы можете запустить uwfmgr filter disabled в окне командной строки с повышенными привилегиями и перезагрузить компьютер, чтобы изменения вступили в силу.

Шаг 3. Нажмите OK, чтобы сохранить изменения и закрыть окно.

Как использовать UWF для диска в Windows 10

После того как вы включите эту функцию в Windows, вы сможете использовать ее для защиты диска или других действий в зависимости от ваших потребностей.

Шаг 1. Откройте окно командной строки с повышенными привилегиями, как и в шаге 1 в части установки UWF.

Шаг 2. Скопируйте и вставьте следующую команду в окно CMD и нажмите Enter, чтобы включить защиту от записи для диска. Здесь вы можете заменить C: на диск, который хотите защитить.

защита тома uwfmgr.exe C:

Шаг 3. Перезагрузите компьютер, и все, что вы записываете на диск во время сеанса, будет доступно только до следующего запуска.

Шаг 4. Вы можете проверить, включен ли UWF для вашего накопителя, выполнив следующую команду:

uwfmgr.exe получить конфигурацию

Дополнительная литература. Если вы хотите просмотреть текущие настройки наложения, в которых UWF хранит временные данные, выполните следующую команду: uwfmgr overlay get-config. Если вы хотите использовать наложение диска, выполните следующую команду: uwfmgr overlay set-type Disk.

Знаете ли вы, что такое Exchange Online PowerShell? Как подключиться к Exchange Online PowerShell? Этот пост содержит полное руководство по достижению этой цели.

• Фейсбук
• Твиттер
• Ссылка
• Реддит

Как включить и настроить Unified Write Filter в Windows 10

Фильтр записи UWF представляет собой отдельный компонент Windows и включается через панель управления: Control Panel -> Programs and Features -> Turn Windows Features On or Off -> Device Lockdown -> Unified Write Filter.

Также можно установить компонент UWF с помощью PowerShell:

Enable-WindowsOptionalFeature -Online -FeatureName «Client-UnifiedWriteFilter» –All Или DISM:

DISM.exe /Online /enable-Feature /FeatureName:client-UnifiedWriteFilter

Для управления настройками UWF используется консольная утилита uwfmgr.exe.

Чтобы включить UWF фильтр в Windows 10, выполните следующую команду и перезагрузите компьютер:

uwfmgr.exe filter enable

Чтобы включить защиту от записи для конкретного диска, выполните команду:

uwfmgr.exe volume protect c: Теперь нужно перезагрузить компьютер. После его загрузки все, что пользователь запишет на диск за время сессии будет доступно только до момента следующей перезагрузки компьютера. Любые изменения будут сброшены.

Проверить состояние UWF фильтра можно командой:

Текущие настройки оверлея, в котором UWF хранит временные данные можно вывести с помощью команды:

uwfmgr overlay get-config

Вы можете настроить следующие параметры:

• Type – тип оверлея. Вы можете хранить данные на диск (DISK) или в оперативной памяти (RAM);
• Maximum size – максимальный размер оверлея;
• Warning Threshold – размер оверлея, при превышении которого нужно вывести предупреждение;
• Critical Threshold – размер оверлея, при превышении которого появится ошибка UWF;
• Freespace Passthrough – используется только для дискового оверлея. Позволяет разрешать писать данные в любое свободное место на диске, а не в выделенный файл.

По умолчанию используется RAM оверлей с размером 1 Гб.

Можно изменить эти настройки (если у вас достаточно свободной RAM):

uwfmgr overlay set-size 8192uwfmgr overlay set-criticalthreshold 8192uwfmgr overlay set-warningthreshold 7168

Если нужно использовать оверлей на диске, выполните команду:

uwfmgr overlay set-type Disk

Текущий размер данных в оверлее можно вывести так:

uwfmgr overlay get-consumption

uwfmgr overlay get-availablespace

Как зашифровать файлы и папки при помощи 7-zip

7-zip представляет собой бесплатную программу архивирования файлов, которая заодно умеет шифровать файлы и папки при помощи алгоритма AES-256. Это современный стандарт шифрования в большинстве систем.

Если вы планируете использовать 7-zip для шифрования файлов или папок, необходимо помнить, что создаются зашифрованные копии файла или папки. Оригиналы остаются незашифрованными.

Если вы создаёте зашифрованный объект, чтобы отправить его кому-то или хранить в облаке, этот метод подходит. Если же вы собираетесь защищать файлы или папки на вашем собственном устройстве, этот метод неидеальный.

Volumes Volumes

Введите букву обозначения диска для тома, который необходимо защитить с помощью UWF. Enter a drive letter for a volume to be protected by UWF.

В текущем выпуске операционной системы конструктор конфигураций Windows содержит ошибку проверки. In the current OS release, Windows Configuration Designer contains a validation bug. Чтобы обойти эту проблему, необходимо включить символ «:» после буквы диска при указании значения для этого параметра. To work around this issue, you must include a «:» after the drive letter when specifying the value for the setting. Например, если вы указываете диск C, необходимо задать для параметра DriveLetter значение «C:», а не просто «C». For example, if you are specifying the C drive, you must set DriveLetter to «C:» instead of just «C».

Устранение неполадок UWF

UWF использует журнал событий Windows для регистрации событий, ошибок и сообщений, связанных с использованием оверлея, изменениями конфигурации и обслуживанием.

Дополнительные сведения о том, как найти информацию журнала событий для устранения неполадок с унифицированным фильтром записи (UWF), см. в разделе Устранение неполадок с унифицированным фильтром записи (UWF).

Большое количество пользователей сбиты с толку функцией единого фильтра записи, но большинство из них не знают, как использовать ее в Windows 10. В этом посте MiniTool объясняет ее определение и предоставляет руководство по установке и использованию Функция UWF.

Тома

Том — это логическая единица, представляющая область постоянного хранилища для файловой системы, используемой операционной системой. Том может соответствовать одному физическому устройству хранения, например жесткому диску, но тома также могут соответствовать одному разделу на физическом устройстве хранения с несколькими разделами или могут охватывать несколько физических устройств хранения.Например, набор жестких дисков в массиве RAID может быть представлен ОС как один том.

При настройке UWF для защиты тома можно указать том, используя либо букву диска, либо идентификатор устройства тома. Чтобы определить идентификатор устройства для тома, запросите свойство DeviceID в классе WMI Win32_Volume.

Если вы указываете том с помощью буквы диска, UWF использует свободную привязку для распознавания тома. Используя свободную привязку, буквы дисков можно назначать разным томам при изменении конфигурации оборудования или тома. Если вы указываете том с помощью идентификатора тома, UWF использует жесткую привязку для распознавания тома. При использовании жесткой привязки идентификатор устройства уникален для тома хранилища и не зависит от буквы диска, назначенной тому файловой системой.

Несколько советов

Помните, что если суммарный размер VHD+dVHD превысит размер раздела диска, на котором они расположены, то система упадет, т.к. ей просто некуда будет записывать новые измененные данные. Для предотвращения этого, можно уменьшить размер системного раздела на VHD.

Например, установленная и настроенная система (Windows Embedded 7 + необходимые программы) заняла на системном разделе 2.5 GiB. Система установлена на SSD объемом 64 GiB. Предположим, что для нормального функционирования системы (в режиме 24/7) нужно не более 13.5 GiB свободного места на системном разделе. В данном случае целесообразно уменьшить размер системного раздела до 16 GiB (2.5 + 13.5). В итоге получаем, что максимальный суммарный объем VHD’s будет равен: 2.5 (VHD) + 16 (dVHD) = 18.5 GiB, что, с учетом pagefile.sys (~2 GiB) и остальных системных файлов, будет меньше 64 GiB (объем SSD), и система никогда не упадет из-за нехватки места для расширения dVHD на SSD.

Перед заморозкой обновленной системы (на VHD), советую сделать Compact:

Compact — сжатие диска, позволяющее убрать неиспользуемое место в динамических дисках. Как вы знаете, если на динамический диск записать данные, он расширяется. После этого, мы можем удалить эти данные, но размер VHD диска не уменьшится, и в хост системе начнёт неэффективно растрачиваться полезный объём HDD дисков.

Adding Unified Write Filter Exclusions on Windows 10

If you need to force a modified file to be saved to disk while the UWF filter is enabled, you need to run the command:

Now the file won’t be deleted even if you restart Windows.

To completely remove a file with UWF enabled, use the command:

Similar UWF commands for the registry:

You can add certain files, directories or registry keys to the list of UWF exclusions. The changes you make to these items will be written directly to the disk, and not to the overlay.

To add a specific file or folder to exclusions, run the following command:

Or:

To add an exclusion for the registry key:

You must restart your computer to apply new exclusion list.

To list the exclusions of a UWF filter, run the command:

To remove a file from exclusions:

You cannot add exclusions for some system files or folders, like:

• Registry files in \Windows\System32\config\;
• Root of the volumes;
• \Windows, \Windows\System32, \Windows\System32\Drivers;
• Pagefile.sys, swapfile.sys;
• Etc.

Note. UWF cannot be used to protect data on flash drives and external USB devices. It seems enabling write filter for Removable disk types is not supported at the software level. However, you can bypass this restriction with the trick from article Removable USB drive as fixed disk in Windows.  

To make some services work correctly, you have to add paths to their directories, files and registry keys to the exclusion list. I’ve collected typical exclusions for some Windows subsystems below:

Exclusions for BITS:

• % ALLUSERSPROFILE%\Microsoft\Network\Downloader
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\BITS\StateIndex

Exclusions for the correct work in wireless networks (these exceptions will allow you to connect to Wi-Fi networks and save WLAN profiles):

• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Wireless\GPTWirelessPolicy
• C:\Windows\wlansvc\Policies
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\wlansvc
• C:\ProgramData\Microsoft\wlansvc\Profiles\Interfaces\{<Interface GUID>}\{<Profile GUID>}.xml
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Wlansvc
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WwanSvc

Exclusions for the correct work in wired networks:

• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WiredL2\GP_Policy
• C:\Windows\dot2svc\Policies
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dot3svc
• C:\ProgramData\Microsoft\dot3svc\Profiles\Interfaces\{<Interface GUID>}\{<Profile GUID>}.xml
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\dot3svc

Exclusions for Windows Defender

• C:\Program Files\Windows Defender
• C:\ProgramData\Microsoft\Windows Defender
• C:\Windows\WindowsUpdate.log
• C:\Windows\Temp\MpCmdRun.log
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender

Включение UWF на работающем компьютере

нажмите кнопку пуск, введите включение или отключение компонентов Windows.

в окне Windows функции разверните узел блокировка устройства и проверьте объединенный фильтр записи ок.

в окне Windows функции отображается Windows поиск необходимых файлов и отображение индикатора выполнения. после того как окно будет найдено, оно покажет, Windows применяет изменения. По завершении окно указывает, что запрошенные изменения завершены.

После выполнения этой команды перезагрузите компьютер и выйдите из режима обслуживания, после чего отключаются следующие действия.

После выполнения uwfmgr filter disable перезагрузки компьютера и входа в режим обслуживания изменения будут отменены.

Включить защиту от записи для диска:

Убедитесь, что служба UWF запущена:

Turn on UWF on a running PC

1. Install the feature:

   1. Click Start, type Turn Windows features on or off.

   2. In the Windows Features window, expand the Device Lockdown node, and check Unified Write Filter > OK.

      The Windows Features window indicates Windows is searching for required files and displays a progress bar. Once found, the window indicates Windows is applying the changes. When completed, the window indicates the requested changes are completed.

   3. Click Close to close the Windows Features window.

2. Enable the filter:

   Note

   After you run this command, restart the computer and exit the servicing mode, the following things are disabled:

   • Windows Update (by setting HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate.)
   • Windows Store Update (by setting HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsStore\AutoDownload.)
   • Registry Reorganization (by setting HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\Configuration Manager\RegistryReorganizationLimitDays.)
   • Maintenance Hour (by setting HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Maintenance\MaintenanceDisabled.)

   After you run , restart the computer and enter the serving mode, the changes will be reverted.

3. Enable write protection for a drive:

4. Restart your computer.

5. Confirm that UWF is running:

Фильтр защиты от записи на диск Unified Write Filter (UWF) в Windows 10

UWF (Unified Write Filter — объединенный фильтр записи) – это специальный фильтр записи файловой системы в Windows 10, который позволяет защитить системные файлы Windows и данные на диске от любых изменений. При включенном UWF фильтре любые операции записи на защищаемый диск или в системный реестр перехватываются драйвером UWF фильтра и помещаются в отдельное виртуально пространство (оверлей). После перезагрузки Windows все изменения на защищаемых дисках не сохраняются, т.е. Windows всегда возвращается к исходному состоянию на момент включения фильтра UWF.

Как работает фильтр UWF? Он защищает файловую систему выбранных разделов локальных дисков от изменений, прозрачно перенаправляя все операции записи на файловую систему в виртуальный оверлей в памяти, который хранит все изменения.

Добавление исключений в фильтр записи UWF

Если вам нужно принудительно сохранить на диск некий изменённый файл при включенном фильтре UWF, нужно выполнить команду:

uwfmgr file commit C:\Distr\TestFile.txt

Теперь файл не исчезнет, даже если вы перезагрузите Windows.

Чтобы удалить файл при включенном UWF, используйте команду:

uwfmgr file commit-delete C:\Distr\TestFile.txt

Вы можете добавить определенные файлы, каталоги или ветки реестра в исключения фильтра UWF. Любые изменения по таким объектам будут записывать напрямую на диск, а не в оверлей.

Чтобы добавить в исключения конкретный файл или папку, выполните команду:

Uwfmgr.exe file add-exclusion c:\student

Uwfmgr.exe file add-exclusion c:\student\report.docx

Чтобы разрешить запись изменений в ключ реестра:

Uwfmgr.exe registry add-exclusion “HKLM\Software\MyRegKey”

Для применения исключений нужно перезагрузить компьютер.

Чтобы вывести список исключений UWF фильтра, выполните команду:

uwfmgr file get-exclusions

Для удаления файла из исключений, выполните команду:

uwfmgr file remove-exclusion c:\student\report.docx

Некоторые системные каталоги и файлы нельзя добавить в исключения, например:

Для корректной работы некоторых служб необходимо добавить в список исключений фильтра записи пути к их каталогам, файлам и веткам реестра. В следующем списке я собрал типовые исключения для некоторых подсистем Windows:

Исключения для BITS:

Исключения для корректной работы в беспроводных сетях (данные исключения позволят подключаться к Wi-Fi сетям и сохранять WLAN профили):

Исключения для корректной работы в проводных сетях:

Исключения для Windows Defender

Как включить фильтр записи

Для включения фильтра записи необходимо добавить компонент фильтра записи в систему. Добавить компонент можно с помощью выполнения нижеуказанной команды, выполненной в среде с повышенными привилегиями.

DISM /online /Enable-Feature /all /FeatureName:Client-UnifiedWriteFilter

После добавления компонента необходимо воспользоваться командами фильтра записи, которые можно посмотреть выполнив команду в среде с повышенными привилегиями

uwfmgr /?

Чтобы фильтр записи начал защищать том необходимо:
Указать защищаемый том, например

uwfmgr volume protect c:

И включить фильтр записи

uwfmgr filter enable

Фильтр записи будет включен после перезагрузки