Установка Defender Application Guard для Edge

Важно: для установки требуются права администратора и обычно перезагрузка системы.

Зачем устанавливать Microsoft Defender Application Guard

Microsoft Defender Application Guard изолирует сессии браузера в контейнере. Это снижает риск доступа веб-малвари к локальным файлам, сетевым шерам и корпоративным ресурсам. Коротко: если вы работаете с конфиденциальными данными, App Guard добавляет слой защиты при просмотре сомнительных сайтов или открытии потенциально опасных вложений.

В этой статье показаны практические шаги для установки и удаления, а также рекомендации по проверке и отладке работы Application Guard.

Основные требования и примечания

Права администратора на компьютере — обязательны.
Перезагрузка системы необходима для применения изменений.
У некоторых редакций Windows (например, Home) редактор локальной групповой политики (gpedit.msc) может быть недоступен по умолчанию.
App Guard требует компонентов виртуализации; на некоторых устройствах их нужно включить в BIOS/UEFI.

Важно: если вы работаете в корпоративной среде, согласуйте установку с IT-службой и политиками безопасности организации.

1. Установка Microsoft Defender Application Guard через Параметры Windows

Этот способ простой и подходит большинству пользователей. Выполните следующие шаги:

Нажмите Win + I, чтобы открыть Параметры.
Слева выберите «Конфиденциальность и безопасность», справа — «Безопасность Windows».
В разделе «Области защиты» нажмите «Контроль приложений и браузера».
На странице Безопасности Windows под заголовком «Изолированный просмотр» щелкните ссылку «Установить Microsoft Defender Application Guard».

Установка Microsoft Defender Application Guard через параметры безопасности Windows

При появлении запроса контроля учетных записей (UAC) подтвердите действие, нажав «Да».
Отметьте флажок рядом с «Microsoft Defender Application Guard» и нажмите «ОК».

Добавление Microsoft Defender Application Guard в компоненты Windows

Перезагрузите компьютер для завершения установки.

Если нужно удалить компонент, вернитесь на ту же страницу и нажмите «Удалить Microsoft Defender Application Guard», затем снимите флажок и перезагрузите устройство.

Удаление Microsoft Defender Application Guard из параметров

2. Установка через Панель управления

Этот метод использует классические средства Windows и полезен, если вы привыкли к интерфейсу Панели управления.

Откройте «Панель управления» (поиск в Пуске).
Выберите «Программы» → «Программы и компоненты».
В левом меню нажмите «Включение или отключение компонентов Windows».
В списке компонентов отметьте «Microsoft Defender Application Guard» и нажмите «ОК».
Перезагрузите компьютер для применения изменений.

Для удаления выполните те же действия и снимите флажок.

3. Установка через Редактор локальной групповой политики

Этот способ предназначен для продвинутых пользователей и администраторов. Подходит, если необходимо включить управляемый режим App Guard или задать параметры внедрения централизованно.

Примечание: на Windows Home gpedit.msc может отсутствовать.

Шаги:

Нажмите Win + R, введите gpedit.msc и нажмите Enter.
Перейдите по пути:
Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Application Guard
В правой части найдите Политику «Turn On Microsoft Defender Application Guard in Managed Mode» (Включить Microsoft Defender Application Guard в управляемом режиме) и дважды кликните её.

Настройка Microsoft Defender Application Guard через gpedit

Выберите «Включено» и в разделе «Опции» задайте значение 2 или 3 в зависимости от требований политики (описание опций доступно в документации Microsoft).

Включение Microsoft Defender Application Guard в управляемом режиме

Нажмите «Применить» и «ОК», затем перезагрузите систему.

Совет: используйте групповые политики, если вам нужно развернуть App Guard массово в домене через GPO.

4. Установка через Командную строку (DISM)

DISM позволяет включать и отключать опциональные компоненты Windows из командной строки. Подходит для автоматизации и сценариев развертывания.

Нажмите правой кнопкой мыши по Пуск и выберите «Выполнить».
Введите cmd и нажмите Ctrl + Shift + Enter, чтобы запустить командную строку от имени администратора.
Введите команду и нажмите Enter:

Dism /online /Enable-Feature /FeatureName:"Windows-Defender-ApplicationGuard"

Когда инструмент попросит перезагрузить систему, введите Y и нажмите Enter.

Для удаления используйте:

Dism /online /Disable-Feature /FeatureName:"Windows-Defender-ApplicationGuard"

DISM полезен при подготовке образов или при пакетной установке на многих машинах.

5. Установка через Windows PowerShell

PowerShell — гибкий инструмент для администраторов и автоматизации. Команды удобны для сценариев и скриптов управления.

Откройте Windows PowerShell от имени администратора.
Выполните команду:

Enable-WindowsOptionalFeature -Online -FeatureName "Windows-Defender-ApplicationGuard"

При запросе перезагрузки введите Y и нажмите Enter.

Для удаления используйте:

Disable-WindowsOptionalFeature -Online -FeatureName "Windows-Defender-ApplicationGuard"

PowerShell легче интегрировать в конфигурационные скрипты (например, в дескрипторы для автоматического развертывания).

Командная сводка (cheat sheet)

Параметры GUI: Пуск → Win + I → Конфиденциальность и безопасность → Безопасность Windows → Контроль приложений и браузера → Установить
Панель управления: Программы и компоненты → Включение/отключение компонентов Windows
DISM (cmd): Dism /online /Enable-Feature /FeatureName:”Windows-Defender-ApplicationGuard”
PowerShell: Enable-WindowsOptionalFeature -Online -FeatureName “Windows-Defender-ApplicationGuard”
GPEDIT: gpedit.msc → Computer Configuration → Administrative Templates → Windows Components → Microsoft Defender Application Guard

Проверка успешной установки и критерии приёмки

Критерии приёмки:

В компонентах Windows отмечен флажок Microsoft Defender Application Guard.
После перезагрузки Microsoft Edge может запускать изолированные сессии (отображение параметра «Изолированный просмотр» или уведомления безопасности при открытии сомнительных страниц).
Команда DISM/PowerShell возвращает успешный статус (exit code 0) после включения компонента.
В корпоративной среде — соответствующие GPO применяются на клиенте.

Как проверить вручную:

Откройте Microsoft Edge и попробуйте открыть сайт в изолированном режиме (если политика или настройка предлагают такой режим).
Проверьте события в Журнале событий (Event Viewer) по источнику, связанному с App Guard, если нужна диагностика.

Тестовые сценарии и критерии приёма (простые тест-кейсы)

Установка через Параметры
- Шаги: включить в Параметрах → перезагрузить → открыть Edge
- Ожидаемый результат: компонент отмечен, Edge запускает защищённые сессии
Установка через PowerShell
- Шаги: выполнить Enable-WindowsOptionalFeature, перезагрузить
- Ожидаемый результат: команда завершилась без ошибок, компонент активен
Удаление
- Шаги: выполнить Disable-WindowsOptionalFeature или снять флажок в компонентах
- Ожидаемый результат: компонент удалён; после перезагрузки возможности App Guard отсутствуют

Роль‑ориентированные чеклисты

IT-администратор:

Подготовить список целевых машин и редакций Windows.
Проверить, включена ли виртуализация в BIOS/UEFI.
Развернуть через GPO или сценарии PowerShell/DISM.
Проверить журналы и уведомления после установки.

Пользователь (энд‑юзер):

Убедиться, что есть права администратора или обратиться в IT.
Перезагрузить ПК после установки.
При обнаружении проблем — собрать скриншоты и события и передать администратору.

Операционный директор безопасности:

Определить политики Managed Mode и перечень доверенных/белых сайтов.
Проверить совместимость с корпоративными VPN/антивирусами.

Распространённые проблемы и способы устранения

Установка не завершается, требуется перезагрузка снова и снова
- Убедитесь, что на диске достаточно места и нет блокирующих обновлений Windows Update. Запустите «Проверку системных файлов» (sfc /scannow) и повторите установку.
gpedit.msc отсутствует на Windows Home
- Для домашних редакций редактирование локальной политики по умолчанию недоступно. Можно использовать PowerShell/DISM или установить сторонние обходные решения (не рекомендуется в корпоративной среде).
App Guard не запускает изолированные сессии в Edge
- Проверьте, активирована ли поддержка виртуализации в BIOS/UEFI и включены ли соответствующие компоненты в Windows.
- Убедитесь, что настройки политики (GPO) не ограничивают Managed Mode.
Конфликты с другим ПО
- Некоторые решения безопасности или средства виртуализации могут несовместимо взаимодействовать с App Guard. Тестируйте на контрольной группе машин.

Когда App Guard не решит задачу (ограничения и контрпримеры)

App Guard не заменяет полнофункциональный EDR/AV‑решение. Он уменьшает вектор атаки для браузерных сессий, но не защищает от всех типов атак.
Он не предотвратит уже присутствующее в системе вредоносное ПО, если оно имеет доступ вне изолированного контейнера.
Если цель — защита специфичных приложений, отличных от Edge, потребуется рассмотреть отдельные средства контейнеризации или песочницы.

Альтернативные подходы

Песочницы сторонних производителей (например, Sandboxie-стиле) — для изоляции отдельных приложений.
Использование виртуальных машин для открытия сомнительных сайтов/файлов.
Прокси/фильтры веб-трафика и облачные прокси для централизованной проверки содержимого.

Совместимость и примечания по миграции

App Guard поддерживается в современных версиях Windows, но конкретные возможности зависят от редакции и сборки ОС. Перед массовым развертыванием проверьте совместимость с образами и политиками.
На Windows Home некоторые инструменты администрирования (gpedit.msc) недоступны. Для централизованного управления лучше использовать редакции Pro/Enterprise/Education.

Пример плейбука для быстрого развертывания (SOP)

Собрать инвентарь целевых ПК и проверить редакции Windows.
Убедиться в включении виртуализации в BIOS/UEFI.
Выполнить тестовую установку на контрольной машине (PowerShell или Параметры).
Проверить работу Edge в изолированном режиме и собрать логи.
Подготовить скрипты (PowerShell/DISM) и развернуть пакетно.
Мониторить и собирать обратную связь от пользователей.

Приватность и соответствие (GDPR и обработка данных)

App Guard изолирует сессии и уменьшает риск утечки локальных данных при посещении вредоносных сайтов. Однако он не отменяет обязанностей по защите персональных данных: хранение, доступ и трансфер данных должны соответствовать внутренним политикам и требованиям GDPR. В корпоративной среде настройте DLP и политики доступа совместно с App Guard.

Краткое резюме

Microsoft Defender Application Guard — полезный инструмент для изоляции браузерных сессий и снижения рисков при работе с сомнительным веб-контентом. Установить его можно несколькими способами: через Параметры, Панель управления, GPEDIT, DISM или PowerShell. Для корпоративного развертывания рекомендуется тестирование, проверка совместимости и использование групповых политик.

Важно: всегда выполняйте установку с правами администратора и перезагружайте систему после внесения изменений.

Если понадобятся готовые скрипты для массового развертывания, шаблоны GPO или пример отчёта о проверке установки — сообщите, и я подготовлю их под вашу среду.