Включить печать в Microsoft Defender Application Guard

Кратко

В этой статье объяснено, что такое Microsoft Defender Application Guard (Application Guard) и как разрешить или запретить печать из изолированной среды в Windows 11. Приведены пошаговые инструкции через «Безопасность Windows» и через Редактор реестра, рекомендации по тестированию, чеклисты для администраторов и способы решения возможных проблем.

Что такое Microsoft Defender Application Guard

Microsoft Defender Application Guard — это функция Windows 11, которая создаёт изолированную среду для запуска приложений и защиты от вредоносных действий. Коротко: это контейнер безопасности, который ограничивает доступ приложения к файлам, реестру и сетевым ресурсам.

Ограничение модификации: предотвращает неавторизованное изменение или чтение файлов системой посторонними программами.
Блокировка установки вредоносных программ: запрещает установку ПО с повышенными правами из изолированной среды.
Список доверенных приложений: позволяет управлять перечнем приложений, которым разрешён доступ вне изоляции.

Важно: Application Guard повысит безопасность, но может ограничить некоторые возможности приложений (например, печать или обмен буфером обмена).

Когда имеет смысл включать печать в Application Guard

Если пользователи регулярно печатают защищённые документы из браузера или корпоративных веб-приложений и при этом безопасность среды важнее удобства.
Когда в организации есть контролируемые принтеры и обновлённые драйверы.

Когда не стоит включать печать:

Если принтеры уязвимы или непроверены, или если нужно полностью исключить утечку данных через печать.

Как включить печать через «Безопасность Windows» (Windows Security)

Нажмите клавишу Windows, введите «Безопасность Windows (Windows Security)» в поле поиска и откройте приложение.
В левой панели выберите «Приложения и браузер» (App & browser control), затем в секции «Изолированное просмотр» нажмите «Изменить параметры Application Guard».
Включите опцию «Печать файлов» (Print files) — переключатель должен быть в положении «Вкл».
Перезагрузите компьютер, чтобы изменения вступили в силу.
Чтобы отключить печать, верните переключатель в положение «Выкл» и снова перезагрузите систему.

Примечание: после включения печати в Application Guard браузер Edge и другие расширения могут всё ещё хранить устаревший кеш или куки, мешающие печати. Очистите кеш браузера и повторите попытку.

Как включить печать через Редактор реестра (Registry Editor)

Внимание: некорректные изменения в реестре могут сделать систему нестабильной или непригодной к использованию. Создайте точку восстановления перед редактированием.

Шаги:

Нажмите Windows + R, введите regedit и нажмите Enter, чтобы открыть Редактор реестра.
Перейдите по ветке:

Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Hvsi

Найдите параметр EnablePrinters. Если его нет, можно создать параметр DWORD (32-bit) с именем EnablePrinters.
Дважды щёлкните EnablePrinters и в поле “Значение” установите 1, чтобы включить печать.
Для отключения установите значение 0 и перезагрузите компьютер.

Рекомендации по безопасности при редактировании реестра:

Создайте точку восстановления системы перед изменениями.
Экспортируйте ветку реестра, которую собираетесь менять, чтобы иметь возможность откатить изменения.
Вносите изменения под учётной записью администратора.

Как проверить, включён ли Application Guard

Нажмите Windows + R, введите gpedit.msc и нажмите Enter, чтобы открыть Локальную групповую политику.
Перейдите в:

Computer Configuration\Administrative Templates\Windows Components\Microsoft Defender Application Guard\Turn on Microsoft Defender Application Guard in Managed Mode setting

Если флажок «Включено» не установлен, функция не активна. Установите «Включено», затем нажмите «Применить» и «ОК».

Если функция включена, при вводе URL в Edge Application Guard проверит, доверен ли сайт. Если нет — сессия будет запущена в изолированной среде.

Совет: расширение Windows Defender Application Guard доступно и для Chrome/Firefox — используйте его, если хотите защитить эти браузеры.

Типичные причины, почему печать не работает после включения

Неполадки драйвера принтера или устаревший драйвер.
Кеш браузера или повреждённые cookie мешают рендерингу страницы для печати.
Ограничения групповой политики или дополнительные настройки безопасности на уровне организации.
Принтер подключён через неподдерживаемый протокол или использует сторонние приложения, которые блокируются изоляцией.

Что проверять по порядку:

Обновите драйверы принтера до последних официальных версий.
Очистите кеш и cookie браузера и перезапустите браузер.
Попробуйте печать в другой программе внутри изолированной среды, чтобы проверить, это проблема приложения или глобальная.
Если используется сетевой принтер, убедитесь, что сетевые правила и брандмауэр не блокируют соединение из контейнера.

Альтернативные подходы к печати при повышенной безопасности

Разворот на сервер печати: отправляйте задания на защищённый печатный сервер, а не напрямую на локальные драйверы.
Преобразование в PDF: сохраняйте документы в PDF в изолированной среде, затем переносите файл на защищённую машину для печати.
Использование виртуальной машины: настройте отдельную VM с контролируемыми правилами печати.
Разрешить печать только для доверенных сайтов и приложений (Allowlist).

Чеклист для администратора перед включением печати

Проверить совместимость моделей принтеров с Application Guard.
Обновить драйверы печати на клиентских ПК.
Настроить и протестировать точку восстановления системы.
Убедиться, что политики соответствуют требованиям безопасности организации.
Сообщить пользователям о возможных изменениях в работе печати.

Пошаговый SOP: быстрое безопасное включение печати

Создайте точку восстановления системы.
Обновите драйверы принтера на тестовом ПК.
Включите опцию “Печать файлов” в Безопасности Windows и перезагрузите тестовую машину.
Выполните тестовые задания печати из Edge и из другого приложения в изолированной среде.
Отслеживайте логи безопасности и сообщения об ошибках в течение 24–72 часов.
При положительном результате — массово разверните настройку через групповые политики или скрипты.

Критерии приёмки (тесты/acceptance)

Тест 1: Пользователь отправляет страницу из Edge на печать — задание поступает в очередь печати и успешно завершено.
Тест 2: Удалённый/сетевой принтер доступен из изолированной сессии без ошибок подключения.
Тест 3: При отключении печати задания из изолированной сессии не доходят до принтера.
Тест 4: Логи безопасности не показывают попыток доступа изолированной среды к запрещённым ресурсам во время печати.

Матрица рисков и меры смягчения

Риск: Утечка данных через неподконтрольную печать. Митигирование: ограничить список доверенных принтеров и использовать шифрованные каналы.
Риск: Сбой системы после редактирования реестра. Митигирование: точка восстановления и экспорт ветки реестра.
Риск: Несовместимость драйверов. Митигирование: тестирование на эталонных моделях принтеров.

Короткий глоссарий

Application Guard — изолированная среда безопасности от Microsoft.
EnablePrinters — параметр реестра, включающий поддержку печати в Application Guard.
Групповая политика — инструмент централизованного управления настройками Windows.

Когда это не сработает

На старых билдах Windows, где Application Guard реализован иначе, некоторые параметры могут отсутствовать.
На неподдерживаемых моделях принтеров.
Если корпоративные политики запрещают изменение этих настроек на уровне устройства.

Заключение

Включение печати в Microsoft Defender Application Guard даёт дополнительное удобство, но требует внимательной подготовки: обновлённые драйверы, проверка сетевых правил и тестирование на нескольких сценариях. Для большинства организаций безопаснее сначала протестировать изменения на контрольной группе пользователей и иметь план отката.

Важно: всегда создавайте точку восстановления и резервную копию реестра перед правкой системных настроек.

Пожалуйста, напишите в комментариях, получилось ли у вас включить или отключить печать в Application Guard и какие проблемы возникли.