Procesisolatiemodus in Office en Windows: een complete handleiding

Als u werkt met Microsoft Office, Windows 10 of 11 en services zoals HTTP.sys of Windows-containers, is het belangrijk dat u begrijpt hoe de procesisolatiemodus werkt en welke verschillende sandboxlagen het Microsoft-ecosysteem biedt. Dit omvat niet alleen Access en Office, maar ook technologieën zoals Windows Sandbox, kernelisolatie en containerisolatiemodi.

Dit klinkt misschien erg technisch, maar het heeft wel degelijk invloed op het dagelijks leven van iedereen die Office-documenten opent, programma's installeert op Windows of webdiensten gebruikt. Inzicht in procesisolatiemodus, sandboxing, kernelisolatie en de verschillende beveiligingsniveaus helpt u te bepalen wanneer u prioriteit moet geven aan beveiliging en wanneer u de prestaties van uw computer moet maximaliseren.

Wat is de isolatiemodus of sandboxing in het Microsoft-ecosysteem?

Wanneer Microsoft spreekt over isolatie of 'sandboxing', verwijst het naar mechanismen die processen van elkaar scheiden, zodat ze elkaar niet kunnen beïnvloeden, vastlopen of toegang krijgen tot bronnen die niet van hen zijn . Dit concept komt voor in verschillende producten: Access, Windows-containers, HTTP.sys, Windows Sandbox en Windows-kernelisolatie.

In Microsoft Access bijvoorbeeld, is de zogenaamde sandboxmodus een functie die expressies blokkeert die als onveilig worden beschouwd . Dit omvat functies zoals Kill of Shell , waarmee bestanden kunnen worden verwijderd, uitvoerbare programma's kunnen worden gestart of systeembronnen kunnen worden gemanipuleerd. Zelfs als een database als 'vertrouwd' wordt beschouwd, kan Access besluiten dat bepaalde expressies nooit mogen worden uitgevoerd als ze door kwaadwillende gebruikers zouden kunnen worden misbruikt.

In andere omgevingen, zoals Windows Server of Windows 10/11, wordt isolatie doorgevoerd tot op het niveau van het besturingssysteem: containers die alleen hun eigen bestandssysteem zien, Windows Sandbox dat fungeert als een wegwerpbare mini-virtuele machine , of kernelisolatie die een virtuele barrière creëert tussen kritieke hardware en de rest van de processen om malware op een laag niveau af te remmen.

Het gangbare idee is dat elke beveiligingslaag ervoor probeert te zorgen dat, zelfs als er iets misgaat in een deel van het systeem (een kwaadwillig document, een defecte driver, een verdacht programma), de schade beperkt blijft tot de eigen "afbakening" en zich niet verspreidt naar de rest.

Sandboxmodus in Microsoft Access en Office

In Access is de 'sandboxmodus' een beveiligingsmaatregel die voorkomt dat potentieel gevaarlijke expressies worden uitgevoerd, zelfs op vertrouwde bestanden . Dit geldt met name voor functies die bestanden kunnen wijzigen, externe processen kunnen starten of op agressieve wijze toegang tot het systeem kunnen krijgen.

De basis van deze beveiliging is eenvoudig: Access analyseert expressies en blokkeert ze voordat ze het systeem bereiken als er 'onveilige' functies of eigenschappen in voorkomen . Dit gebeurt zelfs als de database vanaf een vertrouwde locatie wordt geopend of een geldige digitale handtekening heeft, omdat het risico te groot wordt geacht om aan het oordeel van de gebruiker over te laten.

Bovendien maakt Access onderscheid tussen vertrouwde en niet-vertrouwde databases. Een database wordt als veilig beschouwd wanneer deze zich op een vertrouwde locatie bevindt of correct is ondertekend . Als het bestand niet aan deze voorwaarden voldoet, gedraagt ​​Access zich restrictiever en wordt de sandboxmodus afgedwongen.

Wanneer een onveilige expressie wordt aangetroffen, volgt Access een soort 'beslissingsboom': het controleert of de database vertrouwd is, analyseert de sandbox-instellingen in het Windows-register en besluit op basis van die combinatie of de expressie moet worden uitgevoerd, geblokkeerd of beperkt tot een veilige context. Vanuit het perspectief van de gebruiker resulteert dit vaak in waarschuwingsberichten of macro's die simpelweg niet werken.

Hoe u de sandboxmodus via het register kunt beheren

Het specifieke gedrag van de sandboxmodus wordt bepaald door een registerwaarde in Windows die vaststelt wanneer de beperking van toepassing is. Normaal gesproken stelt het installatieprogramma van Access deze waarde bij de meest restrictieve instelling in, waardoor sandboxing standaard is ingeschakeld voor zowel Access als andere programma's die de Access-engine gebruiken.

De sleutel die deze functie beheert, heet SandBoxMode en bevindt zich op verschillende locaties, afhankelijk van de Office-versie, het installatietype (Click-to-Run) en of u een 32-bits of 64-bits systeem gebruikt. Op computers met Access 2016 of 2019 is deze bijvoorbeeld te vinden in locaties zoals Office\16.0\Access Connectivity Engine\Engines , terwijl deze bij Microsoft 365-installaties meestal onder de specifieke ClickToRun-vertakkingen in het register staat.

Door deze sleutel aan te passen, kunt u het isolatieniveau wijzigen:

• 0De geïsoleerde ruimtemodus is volledig gedeactiveerd en de omgeving is zo tolerant mogelijk.
• 1De sandbox is alleen van toepassing op Microsoft Access, maar niet op andere programma's die dezelfde verbindingsengine gebruiken.
• 2De geïsoleerde modus is van toepassing op andere programma's, maar Access is hiervan uitgezonderd en heeft meer speelruimte.
• 3: in alle scenario's wordt geïsoleerde ruimte gebruikt, wat de standaard en meest conservatieve instelling is.

Om deze waarde te wijzigen, moet u alle instanties van Access sluiten, de Register-editor (regedit) openen, de betreffende sleutel zoeken en de DWORD-waarde SandBoxMode bewerken . Er is echter een belangrijke waarschuwing: als de sleutel niet bestaat, is het geen goed idee om deze handmatig aan te maken, omdat dit toekomstige Office-updates kan verstoren of interne configuraties kan beschadigen.

Risico's van het aanpassen van het register om de sandbox uit te schakelen

Het bewerken van het register is geen ongevaarlijke handeling; een onjuiste wijziging kan ertoe leiden dat uw systeem niet meer opstart, Office constant vastloopt of dat u zelfs uw besturingssysteem volledig opnieuw moet installeren . Microsoft raadt ten zeerste aan om een ​​back-up te maken van uw register en alle belangrijke gegevens voordat u wijzigingen aanbrengt.

Bovendien betekent het verlagen van het isolatieniveau van Access dat potentieel gevaarlijke expressies ongefilterd kunnen worden uitgevoerd. Dit kan verleidelijk zijn als u oudere databases met oude macro's hebt die door de sandboxmodus worden geblokkeerd, maar het opent een extra deur voor kwaadaardige code in Access-bestanden die u via e-mail ontvangt of van internet downloadt.

De combinatie van beheerdersrechten, registerwijzigingen en het uitvoeren van onveilige expressies vormt het perfecte recept voor kwaadaardige macro's om ongecontroleerd te opereren. Tenzij u precies weet wat u doet en volledig op de hoogte bent van de mogelijke gevolgen, is het daarom verstandig om de waarde op 3 te houden , of maximaal op 2 als u de beperkingen in Access echt wilt versoepelen maar ze in andere programma's wilt handhaven.

Isolatiemodi in Windows-containers: proces en Hyper-V

In de wereld van Windows-containers wordt isolatie naar een hoger niveau getild. Windows biedt twee runtime-modi voor containers: procesisolatie en Hyper-V -isolatie . Beide gebruiken dezelfde images en worden beheerd met dezelfde tools, maar de mate van scheiding tussen container en host verschilt aanzienlijk.

Bij procesisolatie draaien meerdere containers op hetzelfde hostbesturingssysteem. Ze delen de kernel, maar zijn gescheiden door namespaces, resourcegrenzen en andere procesisolatietechnieken . Dit is de "klassieke" aanpak en lijkt sterk op het gedrag van containers in Linux.

In de isolatiemodus van Hyper-V wordt elke container gehost in een lichtgewicht virtuele machine met een eigen kernel. Deze virtuele machine biedt hardwarematige isolatie tussen de container en de host , waardoor de containerprocessen niet zichtbaar of direct toegankelijk zijn vanuit het hoofdbesturingssysteem.

Wat wordt er geïsoleerd in een Windows-container?

Windows-containers virtualiseren de toegang tot verschillende naamruimten van het besturingssysteem, waardoor elke container een eigen weergave heeft van bepaalde resources. Deze resources omvatten het bestandssysteem, het register, netwerkpoorten, proces- en thread-ID's en de naamruimte van de objectmanager.

Dankzij deze virtualisatie denkt een container dat hij een eigen, compleet besturingssysteem heeft, ook al deelt hij in werkelijkheid dezelfde kernel met andere containers en de host (in procesmodus). Processen binnen de container zien zichzelf met hun eigen ID's en resources, maar deze informatie komt niet direct overeen met de externe omgeving.

Er zijn specifieke gevallen waarin het nuttig kan zijn om de isolatiegrens te doorbreken en een container toegang te geven tot bepaalde hostbronnen, maar dit zijn weloverwogen beslissingen. Elke dergelijke concessie kan de algehele beveiliging van de omgeving verzwakken , dus het is voorbehouden aan zeer specifieke scenario's.

Daarentegen zijn er zaken die momenteel niet worden ondersteund in Windows-containers, zoals traditioneel gedeeld geheugen tussen host- en containerprocessen, het delen van synchronisatieobjecten zoals semaforen of mutexen , of het gebruik van gedeelde procesnaamruimten zoals in andere systemen voorkomt.

Procesisolatie versus Hyper-V-isolatie in de praktijk.

In de praktijk is het maken van een container met een van beide isolatiemodi met Docker net zo eenvoudig als het specificeren van de optie. -isolatie bij het weggooien van de container. Als u kiest voor --isolation=processDe container zal de kernel delen met de host; als u dat aangeeft... --isolation=hypervDocker zal een kleine virtuele machine opzetten om het te encapsuleren.

In Windows Server draaien containers standaard in de procesisolatiemodus, terwijl ze in Windows 10 Pro en Enterprise doorgaans Hyper-V-isolatie gebruiken. Sinds de update van oktober 2018 is het in Windows 10 echter ook mogelijk om, indien gewenst, expliciet procesisolatie af te dwingen door de bijbehorende vlag te gebruiken bij het starten van de container.

Het verschil wordt heel duidelijk met een eenvoudig voorbeeld. Als je een proces-geïsoleerde container uitvoert die een proces start... langdurige ping, tijdens gebruik docker top Binnen de container zie je het ping-proces met een specifieke identificatiecode. Als je naar de host gaat en het volgende uitvoert... Get-Process -Name pingJe ziet precies hetzelfde proces met dezelfde ID, omdat het in feite hetzelfde is. hetzelfde proces, bekeken vanuit twee perspectieven.

Als u echter een Hyper-V-geïsoleerde container maakt die ook continu pingt, ziet u het proces ervan wel vanuit de container zelf, maar niet wanneer u ernaar zoekt op de host met `Get-Process`. Wat u wel ziet, is een `vmwp`- proces (de werkende virtuele machine), dat de ingekapselde container host en de processen ervan verbergt voor het hoofdbesturingssysteem.

Procesisolatie in HTTP.sys en het workerprocesmodel

Een ander scenario waarin Microsoft procesisolatie toepast, is de Windows HTTP Server 2.0 API, die wordt gebruikt door webservices die afhankelijk zijn van HTTP.sys. Het ontwerp draait hier om het strikt scheiden van het proces dat de aanvraagwachtrij beheert of aanmaakt van de werkprocessen die de aanvragen afhandelen.

Het idee is dat de HTTP-aanvraagwachtrij wordt aangemaakt met behulp van een zeer specifieke toegangscontrolelijst (ACL) en wordt beheerd door een proces met verhoogde privileges. Dit controllerproces configureert de service, stelt de URL-groepen vast, definieert welke applicaties de wachtrij kunnen openen en start werkprocessen met minder privileges om de daadwerkelijke aanvragen af ​​te handelen.

Op deze manier beheert de controller de centrale configuratie, handhaaft de algehele servicestatus en bewaakt de gezondheid van de workerprocessen via gecentraliseerd toezicht . Elk workerproces werkt geïsoleerd, zelfs wanneer potentiële componenten van derden worden geladen, maar als er iets misgaat of een kwetsbaarheid ontstaat, blijft de schade beperkt tot dat proces en brengt het de controller of de rest niet in gevaar.

De belangrijkste elementen van deze HTTP-architectuur zijn:

• Schepper- of beheerprocesHet zorgt voor de configuratie van de serversessie, het aanmaken van groepen URL-adressen, het koppelen van die groepen aan specifieke aanvraagwachtrijen en het starten van de werkprocessen.
• WerkprocessenDit zijn onafhankelijke instanties die invoer-/uitvoerbewerkingen uitvoeren op de aanvraagwachtrij, aanvragen verwerken en webapplicaties van derden kunnen laden zonder de rest van het systeem in gevaar te brengen.
• HTTP-verzoekwachtrijHet is geconfigureerd met een ACL die bepaalt welke processen het op naam mogen openen en welke verzoeken die een specifieke URL-naamruimte binnenkomen, mogen verwerken.
• Serversessie- en URL-adresgroepenDe controller definieert een serversessie met de algemene configuratie en een of meer groepen URL's die naar een specifieke wachtrij worden doorgestuurd, waardoor services en applicaties van elkaar worden gescheiden.

Kernelisolatie en geheugenintegriteit in Windows 10 en 11

De afgelopen jaren heeft Microsoft de beveiliging van Windows versterkt met functies zoals Core Isolation en geheugenintegriteit. Deze beveiligingslaag maakt gebruik van virtualisatie om processen met een hoge beveiligingsgraad te scheiden van de rest van de applicaties en stuurprogramma's die op het systeem draaien.

Kernelisolatie creëert een virtuele "koepel" binnen de processor en het RAM-geheugen, waar kritieke systeemcomponenten draaien. Geheugenintegriteit, een onderdeel van deze functie, zorgt ervoor dat alleen correct ondertekende en geverifieerde stuurprogramma's in deze omgeving worden geladen , waardoor het risico wordt verkleind dat een kwaadaardig of defect stuurprogramma zich aan de kernel hecht.

In de praktijk betekent dit dat processen met een hoge beveiligingsgraad gescheiden worden gehouden van randapparatuur en andere minder betrouwbare componenten, zoals USB-apparaten, uitbreidingskaarten of software van derden. De "primaire" hardware (moederbord, CPU, GPU, RAM, hoofdopslag) is daardoor beter beschermd tegen ongeautoriseerde activiteiten van externe apparaten of dubieuze programma's.

Het is belangrijk te begrijpen dat Core Isolation Windows Defender niet vervangt, maar eerder fungeert als een extra component die het aanvalsoppervlak versterkt . Defender blijft verantwoordelijk voor het scannen van bestanden, het blokkeren van malware en het realtime monitoren van activiteiten, terwijl Core Isolation controleert wat zich mogelijk in de diepere lagen van het systeem kan nestelen.

Prestatiekosten en situaties waarin het de moeite waard is om het uit te schakelen

Dit soort beveiliging heeft een prijs: elke controle, elke integriteitsvalidatie en elke extra beveiligingslaag verbruikt CPU-tijd en geheugen . Het is alsof je niet alleen een vergrendelde deur hebt voordat je je huis binnenkomt, maar ook een beveiligingscontrolepunt dat je documenten controleert en een volledige scan uitvoert.

In systemen met beperkte resources of in prestatiegevoelige scenario's, zoals sommige gaming-pc's of handheld-pc's met vooraf geïnstalleerde Windows 11 (ROG Ally, Lenovo Legion Go, enz.), is het advies om geheugenintegriteit uit te schakelen om een ​​paar frames per seconde extra te krijgen of de latentie te verminderen populair geworden.

Als je je computer voornamelijk gebruikt voor het bezoeken van vertrouwde websites, het spelen van games en het gebruiken van bekende software, kan het uitschakelen van kernelisolatie zinvol zijn, mits je je ervan bewust bent dat je daarmee een beveiligingslaag tegen malware op laag niveau vermindert . Als je echter USB-sticks van dubieuze bronnen aansluit, applicaties van onbekende oorsprong installeert of met gevoelige gegevens werkt, is het raadzaam om kernelisolatie ingeschakeld te laten.

Een verstandig gebruik is om deze functie alleen te activeren wanneer u mogelijk risicovolle externe apparaten wilt aansluiten of wanneer u de computer in gedeelde omgevingen gebruikt (open kantoren, bibliotheken, klaslokalen). Deze configuratie vergroot de kans dat een exploit op driverniveau of een gecompromitteerd apparaat moeilijker de controle over het systeem kan overnemen.

Waarom Microsoft soms automatisch kernelisolatie uitschakelt

Een detail dat vaak verrast, is dat na bepaalde software-updates of -installaties sommige beveiligingsfuncties, zoals kernelisolatie of de geheugenintegriteitscomponent ervan, standaard uitgeschakeld lijken te zijn . Dit is geen bug, maar een bewuste beslissing die door Microsoft is gedocumenteerd.

Wanneer Windows niet-ondertekende, verouderde of geheugen-incompatibele stuurprogramma's detecteert, kan het systeem deze functie uitschakelen om ernstige fouten zoals blauwe schermen (BSOD's), opstartlussen of crashes te voorkomen . Met andere woorden, het geeft prioriteit aan de schijnbare stabiliteit van het systeem boven een deel van de beveiliging op laag niveau.

Bovendien vereisen bepaalde tools van derden, zoals moederbordbeheersuites of geavanceerde hulpprogramma's (bijvoorbeeld sommige modules van ASUS AI Suite 3), dat de gebruiker deze functies expliciet uitschakelt om te kunnen functioneren . Eenmaal gewijzigd, kan het opnieuw inschakelen ervan gecompliceerd zijn als het betreffende stuurprogramma niet is bijgewerkt of niet meer wordt ondersteund.

Als u de status van deze beveiligingen wilt controleren, kunt u de Windows Beveiliging-app gebruiken of, in meer geavanceerde omgevingen, PowerShell-cmdlets die de geheugenintegriteit opvragen en activeren na het bijwerken van problematische stuurprogramma's. In elk geval is de eerste stap het identificeren van het conflicterende stuurprogramma, het zoeken naar een update op de website van de fabrikant en pas daarna proberen de functie opnieuw te activeren.

Windows Sandbox: een direct te gebruiken, geïsoleerde omgeving in Windows 10 en 11.

Windows Sandbox, in het Spaans "Windows Isolated Space" genoemd, is een ander belangrijk onderdeel van de puzzel. Het is alleen beschikbaar in de Pro-versie (en hoger) van Windows 10 en 11 en functioneert als een lichtgewicht, wegwerpbare virtuele machine die in het systeem zelf is geïntegreerd.

Het doel is om een ​​veilige omgeving te bieden waarin u verdachte programma's kunt uitvoeren, ongebruikelijke bijlagen kunt openen of websites met een twijfelachtige betrouwbaarheid kunt bezoeken zonder bang te hoeven zijn uw Windows-systeem te beschadigen. Wat u in de sandbox doet, blijft daar, en wanneer u het venster sluit, wordt alles zonder een spoor te verwijderen : bestanden, geschiedenis, instellingen, enzovoort.

Om het te gebruiken, moet je aan een paar vereisten voldoen: virtualisatieondersteuning ingeschakeld in de BIOS (of UEFI), minimaal 4 GB RAM (8 GB is beter), een moderne multi-core CPU en voldoende vrije schijfruimte, bij voorkeur op een SSD. Zodra je aan deze vereisten voldoet, schakel je de functie "Windows Sandbox" in via de optionele systeeminstellingen.

Bij het opstarten wordt een schone Windows-sessie geopend waarin u bestanden van de host kunt kopiëren, programma's kunt installeren of op internet kunt surfen. Het is bijvoorbeeld ideaal voor het controleren van verdachte installatieprogramma's, het analyseren van gevaarlijke e-mailbijlagen of het bezoeken van onbetrouwbare websites zonder uw hoofdsysteem in gevaar te brengen.

Praktische toepassingen van Windows Sandbox

Het meest gebruikelijke gebruik is het kopiëren van een van internet gedownload bestand dat niet helemaal in orde lijkt, naar Windows Sandbox en het daar uitvoeren. Je kunt zien welke processen het opent, of het probeert verbinding te maken met het netwerk, of het zich vreemd gedraagt, en de sandbox sluiten om het volledig te verwijderen als je niet tevreden bent.

Je kunt Sandbox ook gebruiken om risicovolle websites te bezoeken met de ingebouwde browser (meestal Microsoft Edge) zonder je echte profiel te onthullen of cookies, sessies of sporen op het systeem achter te laten. Het is echter verstandig om bestanden die je in Sandbox hebt gedownload niet direct opnieuw te gebruiken op je computer als je twijfelt aan de herkomst ervan.

Een ander zeer nuttig scenario betreft e-mailbijlagen. U kunt vanuit de Sandbox toegang krijgen tot uw webmail, de bijlagen downloaden en ze daar openen om te controleren of ze proberen macro's, scripts of gevaarlijke verbindingen uit te voeren . Wanneer u klaar bent, sluit u het venster en verdwijnt alles, waardoor uw echte gebruikersprofiel minder zichtbaar wordt.

Voor gevorderde gebruikers kan Windows Sandbox worden geautomatiseerd met behulp van configuratiebestanden en scripts die opties definiëren zoals het al dan niet toestaan ​​van netwerkverbindingen, welke hostmappen erin worden gekoppeld of welke programma's automatisch worden uitgevoerd bij het starten van de virtuele sessie.

Kort gezegd is het een geïsoleerde ruimte die zich gedraagt ​​als een kleine virtuele Windows-machine, die de systeembronnen redelijk efficiënt gebruikt en je de vrijheid geeft om te experimenteren in de wetenschap dat eventuele schade zich niet naar de rest van het besturingssysteem kan verspreiden.

Andere beveiligingslagen van Windows die het bekijken waard zijn.

Naast procesisolatie, Access-sandboxing, geheugenintegriteit en Windows Sandbox, bevatten Windows 10 en 11 nog andere beveiligingsfuncties die het waard zijn om in te schakelen en correct te configureren. Een daarvan is Microsoft Defender SmartScreen , dat fungeert als een filter wanneer u bestanden downloadt of potentieel gevaarlijke websites bezoekt.

SmartScreen kan in sommige installaties uitgeschakeld lijken, vooral als u een schone installatie hebt uitgevoerd of de privacyinstellingen hebt gewijzigd. Als het is uitgeschakeld, is het alsof u zonder veiligheidsgordel rijdt: gedownloade uitvoerbare bestanden en bepaalde risicovolle websites worden niet gefilterd of er worden geen waarschuwingen weergegeven , waardoor de kans groter wordt dat u per ongeluk malware downloadt.

Een andere belangrijke functie is de sabotagebeveiliging, die voorkomt dat externe programma's (of kwaadaardige code) de instellingen van Windows Defender wijzigen zonder uw toestemming. In bedrijfsomgevingen of beheerde professionele versies kan deze beveiliging uitgeschakeld lijken, dus het is raadzaam om naar Windows Beveiliging te gaan en de status ervan te controleren.

Het Windows Beveiligingscentrum zelf waarschuwt u wanneer een van deze cruciale functies is uitgeschakeld, maar het is gemakkelijk om de meldingen te negeren als u ze irritant vindt. Een paar minuten de tijd nemen om de kernelisolatie, SmartScreen, sabotagebeveiliging en de algehele status van Defender te controleren, maakt een wereld van verschil tussen een redelijk veilig systeem en een systeem vol kwetsbaarheden.

Naast dit alles blijven de klassieke aanbevelingen van kracht: installeer software alleen van officiële bronnen, houd uw antivirusprogramma en besturingssysteem up-to-date en maak regelmatig back-ups, in de cloud of op een NAS. Windows Defender bevat specifieke mechanismen om ransomware te stoppen, maar zonder een goed back-upbeleid kan een grootschalige dataversleutelingsaanval u alsnog in een zeer lastige situatie brengen.

Al deze isolatie- en sandboxingtechnologieën van Microsoft, van Access tot containers, inclusief HTTP.sys, kernelisolatie en Windows Sandbox, vormen een netwerk van elkaar versterkende lagen. Door ze te begrijpen en aan te passen aan uw team en workflow, kunt u een redelijke balans vinden tussen beveiliging, stabiliteit en prestaties , in plaats van uitsluitend te vertrouwen op standaardinstellingen zonder te weten wat er daadwerkelijk beschermd is en wat niet.