Изоляция AppContainer

Изоляция является основной целью среды выполнения AppContainer. Благодаря изоляции приложения от ненужных ресурсов и других приложений возможности для вредоносных манипуляций сведены к минимуму. Предоставление доступа на основе минимальных привилегий предотвращает доступ приложений и пользователей к ресурсам за пределами их прав. Управление доступом к ресурсам защищает процесс, устройство и сеть.

Большинство уязвимостей в Windows начинаются с приложения. Некоторые распространенные примеры включают в себя приложение, которое выходит из браузера или отправляет неверный документ в Интернет Обозреватель а также использование подключаемых модулей, таких как flash. Чем больше этих приложений можно изолировать в AppContainer, тем безопаснее устройство и ресурсы. Даже если уязвимость в приложении используется, приложение не может получить доступ к ресурсам за пределами предоставленных AppContainer ресурсов. Вредоносные приложения не могут взять на себя остальную часть компьютера.

Изоляция учетных данных

Управление удостоверениями и учетными данными, AppContainer предотвращает использование учетных данных пользователя для получения доступа к ресурсам или входа в другие среды. Среда AppContainer создает идентификатор, использующий объединенные идентификаторы пользователя и приложения, поэтому учетные данные уникальны для каждого связывания пользователей и приложений и приложение не может олицетворять пользователя.

Изоляция устройств

Изоляция приложения от ресурсов устройства, таких как пассивные датчики (камера, микрофон, GPS) и денежные насосы (3G/4G, телефон для набора номера), среда AppContainer предотвращает злонамеренное использование устройства приложением. Эти ресурсы блокируются по умолчанию, и при необходимости им может быть предоставлен доступ. В некоторых случаях эти ресурсы дополнительно защищаются брокерами. Некоторые ресурсы, такие как клавиатура и мышь, всегда доступны для AppContainer и резидентного приложения.

Изоляция файлов

Управляя доступом к файлам и реестру, среда AppContainer запрещает приложению изменять файлы, которые не должны изменяться. Доступ на чтение и запись можно предоставить определенным постоянным файлам и разделам реестра. Доступ только для чтения менее ограничен. Приложение всегда имеет доступ к резидентным файлам памяти, созданным специально для этого AppContainer.

Сетевая изоляция

Изолируя приложение от сетевых ресурсов за пределами выделенных, AppContainer предотвращает "экранирование" среды приложения и злонамеренно использовать сетевые ресурсы. Детализированный доступ можно предоставить для доступа к Интернету, доступа к интрасети и выступать в качестве сервера.

Изоляция процессов

Песочница объектов ядра приложения, среда AppContainer предотвращает влияние приложения на другие процессы приложения или его влияние. Это предотвращает повреждение других процессов в случае исключения в правильном автономном приложении.

Изоляция окна

Изолируя приложение от других окон, среда AppContainer предотвращает влияние приложения на другие интерфейсы приложения.