- O Application Guard isola sites e arquivos não confiáveis em um contêiner baseado em Hyper-V para proteger o sistema e a rede corporativa.
- A organização define quais sites, redes e recursos de nuvem são confiáveis; todo o resto é aberto na sessão Edge isolada.
- Inclui funcionalidades avançadas como bloqueio de uploads, sincronização opcional de favoritos, etiquetas de tráfego e suporte para extensões selecionadas.
- Embora continue sendo uma ferramenta poderosa, a Microsoft classificou o Application Guard como um recurso obsoleto para o Enterprise Edge e recomenda o planejamento de alternativas.
A Microsoft criou o Microsoft Defender Application Guard (MDAG) Isolar a navegação e determinados arquivos em um ambiente separado. Dessa forma, mesmo que o usuário acesse um site infectado ou abra um documento malicioso, o dano permanece contido em um ambiente seguro e não atinge o sistema principal ou os dados da empresa.
Application Guard é uma tecnologia de segurança projetada para Windows 10, Windows 11 e o navegador Microsoft Edge que se baseia no isolamento de hardware. Quando um usuário visita um site que a organização considera não confiável, esse site é aberto dentro de uma espécie de máquina virtual leve, completamente separada do sistema operacional hospedeiro.
Esta “caixa” isolada é habilitado via Hyper-VPortanto, o contêiner possui seu próprio ambiente, independente do sistema Windows real do usuário. Se a página se revelar maliciosa ou baixar algo perigoso, o código é executado dentro desse contêiner e não pode acessar a rede corporativa, o sistema de arquivos do computador físico ou as credenciais corporativas armazenadas no host.
A filosofia de design está em consonância com o chamado “metodologia para suprimir violações”Parte-se do princípio de que, mais cedo ou mais tarde, um ataque conseguirá penetrar a segurança, portanto, a estratégia consiste em limitar o impacto ao máximo quando isso acontecer. O Application Guard não visa garantir imunidade total, mas sim conter os danos dentro de um perímetro virtualizado.
Além da integração com o Edge, o Application Guard também foi estendido para Proteger documentos do Microsoft Office (Word, Excel e PowerPoint). Quando um arquivo considerado não confiável é aberto, o Office pode carregá-lo no mesmo tipo de contêiner isolado, impedindo que macros ou códigos maliciosos acessem dados confidenciais do sistema.
Como o Application Guard funciona em nível técnico
A essência do Application Guard reside em sua Modelo de isolamento de hardware baseado em Hyper-VQuando ativado, o Windows inicia um contêiner separado que executa uma instância isolada do Edge (ou um processo protegido do Office). Esse contêiner se comporta como uma pequena máquina virtual, sem acesso direto ao sistema host.
A organização define um lista de sites confiáveisOs recursos em nuvem e as redes internas são considerados seguros. Qualquer item que não esteja nessa lista é automaticamente classificado como não confiável. Quando um usuário tenta acessar um URL que não está marcado como confiável, o Edge abre esse site em uma janela do Application Guard em vez de carregá-lo no navegador normal.
Nesse modo, o navegador opera com um perfil completamente independente: Sem cookies, sem senhas e sem dados de usuários do host.A menos que uma política corporativa permita certas sincronizações controladas, o contêiner é virtualmente anônimo para o invasor, pois ele não tem acesso às credenciais ou segredos da empresa.
O importante é que Qualquer alteração que ocorra dentro do contêiner. Os arquivos baixados, as configurações do navegador e qualquer malware em execução no sistema ficam restritos a esse ambiente. Quando a sessão do Application Guard é encerrada, o sistema pode descartar o contêiner ou limpar seu estado, eliminando ameaças potenciais sem afetar o sistema principal.
Do ponto de vista da rede, o tráfego do contêiner lata Diferencie-se do tráfego do hostIsso permite que a organização aplique políticas específicas de proxy e filtragem a sessões isoladas. Isso é especialmente útil quando se deseja que a navegação na internet ocorra somente dentro do contêiner.
Cenários de uso e tipos de dispositivos recomendados
A Microsoft projetou o Application Guard principalmente para ambientes e organizações de negóciosNo entanto, também pode ser usado em computadores pessoais avançados. Os principais cenários que abrange incluem vários tipos de dispositivos e modelos de gerenciamento.
Em primeiro lugar estão os computadores corporativos conectados a um domínioEsses ambientes são gerenciados por meio de ferramentas como o Microsoft Configuration Manager ou o Microsoft Intune. Nessas máquinas, o usuário normalmente possui permissões padrão e trabalha em uma rede cabeada de alta capacidade. O Application Guard se integra perfeitamente a esse contexto para proteger a navegação fora dos sites internos.
Outro grupo fundamental são os laptops empresariais Eles também estão integrados a um domínio, geralmente conectados à rede corporativa via Wi-Fi. Como são dispositivos móveis que saem do escritório, ficam mais expostos a redes menos seguras, tornando o isolamento do navegador ainda mais importante.
Modelo BYOD (traga seu próprio dispositivo) Isso também está sendo considerado. Trata-se de laptops pessoais que não estão conectados a um domínio, mas são gerenciados pela organização via Intune ou outras soluções MDM. Nesses casos, o usuário geralmente é um administrador local do computador, o que aumenta o risco; portanto, ter um ambiente seguro para navegação corporativa é bastante benéfico.
Por fim, também se pode considerar equipamentos pessoais não gerenciadosonde o usuário tem propriedade absoluta do dispositivo e atua como administrador do sistema. Embora esses ambientes sejam mais difíceis de controlar para a empresa, a capacidade de executar o Edge em um contêiner isolado adiciona uma camada extra de proteção ao acessar recursos confidenciais.
Requisitos de sistema e licenciamento para usar o Application Guard
Para usar o Application Guard com o Microsoft Edge, você precisa atender a uma série de requisitos. pré-requisitos do sistema operacional e de gerenciamentoEm termos de versão do Windows, é necessário pelo menos o Windows 10 versão 1809 (Atualização de outubro de 2018) ou versões posteriores, incluindo edições equivalentes no Windows 11.
O recurso está disponível em SKUs de clientes do Windows tais como Windows Pro, Windows Enterprise, Windows Pro Education/SE e Windows Education. Nestes produtos, o Microsoft Defender App Protection é compatível com o chamado "modo autônomo do Edge".
Com relação ao licenciamento, os direitos de uso do MDAG neste modo são concedidos por meio de Licenças Windows Pro/Pro Education/SEWindows Enterprise E3, Windows Enterprise E5, Windows Education A3 e Windows Education A5. Em outras palavras, não é um recurso exclusivo da edição Enterprise, embora em ambientes corporativos seja geralmente implementado principalmente nessa edição.
Além do sistema operacional apropriado, você também precisa de um solução de gerenciamento compatível Para aplicar a configuração: por exemplo, usando o Microsoft Intune ou o Configuration Manager, siga os requisitos de software indicados na documentação oficial do Microsoft Defender Application Guard.
Em termos de hardware, como depende do Hyper-V, é essencial que o dispositivo seja compatível com ele. virtualização assistida por hardware e possuir recursos suficientes (CPU, RAM) para executar o contêiner em paralelo com a sessão normal do Windows sem problemas.
Como instalar e ativar o Application Guard no Windows
A ativação do Application Guard em um computador com Windows 10 ou 11 é feita da mesma forma que em qualquer outro computador. um recurso opcional do sistemaO processo clássico no Windows 10 de abril de 2018 e versões semelhantes é feito através do Painel de Controle, embora em versões mais modernas também possa ser realizado a partir de "Recursos opcionais".
Um método comum é seguir a rota “Painel de Controle \ Programas” e clique em “Ativar ou desativar recursos do Windows”. Na lista de recursos disponíveis, localize a entrada “Proteção de aplicativos do Windows Defender” e marque a caixa correspondente.
Após confirmar com “OK”, o Windows inicia aplicar os componentes necessários Para ambientes isolados. Após a conclusão da instalação, o sistema solicitará que você reinicie o computador para finalizar as alterações. Depois de reiniciar, o recurso Application Guard estará pronto para uso.
Em ambientes gerenciados, a ativação geralmente é feita de forma centralizada por meio de políticas de grupo ou perfis de configuração distribuídas com o Intune ou o Configuration Manager. Essas políticas não apenas habilitam a funcionalidade, mas também definem a lista de sites confiáveis e configurações avançadas de segurança.
É importante lembrar que, embora o usuário possa ativar o recurso manualmente, o formato recomendado nas empresas É sempre melhor fazer isso de forma controlada pela equipe de TI, para garantir que a configuração de isolamento de rede e as políticas de uso sejam consistentes com o restante da estratégia de segurança.
Como usar o Application Guard para navegar com segurança
Após a instalação do recurso, o Microsoft Edge permite que você abra uma janela específica do Application GuardEm versões como a Atualização de abril de 2018 do Windows 10, isso é feito no menu lateral do navegador, selecionando a opção "Nova janela de proteção de aplicativo".
Ao selecioná-lo, o Edge exibe uma mensagem indicando que ele está criando um ambiente seguro e isoladoDurante alguns segundos, o contêiner habilitado para Hyper-V é preparado e, quando o processo é concluído, uma nova instância do Edge aparece com um indicador visual (por exemplo, um ícone distinto no canto superior esquerdo) que deixa claro que você está navegando dentro do Application Guard.
Dentro dessa janela, qualquer site visitado é executado no ambiente virtualizado separado do hostO usuário navega de forma semelhante à que faria no Edge normal, mas tudo o que acontece nessa sessão fica confinado ao contêiner. Quando a janela é fechada, o sistema pode descartar o estado da sessão para eliminar possíveis ameaças.
Em configurações gerenciadas, o uso geralmente é ainda mais transparente: se um funcionário tentar acessar um site que não esteja incluído na lista de sites confiáveis da organização, o Edge detecta que se trata de um destino potencialmente perigoso e redireciona automaticamente essa navegação para uma sessão do Application Guard.O usuário mal percebe a mudança, além do indicador de ambiente seguro.
Essa abordagem permite que os administradores marquem domínios públicos ou categorias de sites como "não confiáveis" e abram apenas portais internos críticos no navegador normal, reduzindo o risco de um ataque atingir a infraestrutura interna.
Principais melhorias e novos recursos no Microsoft Edge com o Application Guard.
Com a transição para o novo Microsoft Edge baseado no Chromium, a Microsoft trabalhou arduamente para manter e aprimorar o Paridade funcional com o antigo Edge Legacy Com relação ao Application Guard, além de replicar as funcionalidades, foram feitos ajustes para dar aos administradores mais controle e melhorar a experiência do usuário.
Uma das novas funcionalidades notáveis é a possibilidade de Bloquear uploads de arquivos do contêinerA partir do Microsoft Edge 96, as organizações podem impedir que os usuários carreguem arquivos de seus computadores locais para um site aberto no Application Guard. Isso é gerenciado pela política "ApplicationGuardUploadBlockingEnabled".
Outra mudança relevante foi a incorporação de modo passivo A partir do Microsoft Edge 94, este modo permite que o Application Guard ignore a lista de sites definida e habilite a navegação com o Edge como se nenhum isolamento estivesse configurado. Esta é uma opção útil para testes ou para cenários em que você deseja desativar temporariamente o comportamento automático. A política associada é “ApplicationGuardPassiveModeEnabled”.
A capacidade de Sincronizar favoritos do host para o contêinerDesde o Microsoft Edge 91, os usuários podem visualizar os favoritos do navegador principal na sessão isolada, e os novos favoritos também aparecem no contêiner se a organização habilitar esse recurso por meio da política "ApplicationGuardFavoritesSyncEnabled".
Para empresas que precisam de controle de tráfego granular, o Edge inclui a opção de Conexões de rótulos originadas de contêineres do Application GuardCom a política “ApplicationGuardTrafficIdentificationEnabled”, o tráfego de rede de saída do contêiner pode incluir cabeçalhos ou identificadores específicos, permitindo que o proxy ou outros dispositivos de segurança apliquem regras diferentes a esse tráfego em comparação com o tráfego do host.
Outro dos pedidos mais comuns dos clientes era o compatibilidade de extensão dentro do contêinerA partir da versão 81 do Microsoft Edge, é possível instalar extensões na sessão do Application Guard, desde que a política “ExtensionInstallForcelist” esteja configurada corretamente e a URL de atualização da extensão (updateURL) esteja marcada como um recurso neutro nas políticas de isolamento de rede.
Gerenciamento avançado: proxy duplo, diagnóstico e tráfego de contêineres.
Muitas implementações do Application Guard em empresas utilizam arquiteturas de rede complexas, onde é importante identificar e Encaminhar o tráfego de contêineres por meio de proxies específicosPara esses casos, o Microsoft Edge oferece suporte integrado a um design de "proxy duplo".
A partir da versão estável 84 do Edge, a política “ApplicationGuardContainerProxy” pode ser configurada para definir um proxy dedicado ao tráfego que sai do contêinersem misturá-lo com as conexões do host. Dessa forma, a organização pode enviar a navegação isolada por um caminho de inspeção mais rigoroso, com análise aprofundada, enquanto o tráfego do sistema principal continua a usar um proxy diferente.
Para facilitar a resolução de problemas, o Edge incorpora um Página de diagnóstico específica para o Application GuardÉ possível acessar essa página digitando “edge://application-guard-internals” na barra de endereços. Essa página com várias abas permite visualizar informações sobre a configuração aplicada e, entre outras coisas, verificar o nível de confiança de um URL específico com base nas políticas do dispositivo.
Essa ferramenta é especialmente útil quando um usuário relata que um site está abrindo inesperadamente ou não está abrindo no contêiner. A equipe de suporte pode verificar se a URL está sendo avaliada como confiável e ajustar as listas de sites ou as políticas de isolamento de rede de acordo.
Em relação à gestão de tráfego, a possibilidade de adicionar rótulos para solicitações provenientes do contêiner Isso permite que os administradores implementem cenários como restringir o acesso do contêiner apenas a um pequeno conjunto de sites não confiáveis ou, inversamente, permitir determinado acesso à internet somente a partir do Application Guard.
Esse nível de detalhamento facilita muito o alinhamento do Application Guard com o restante da estratégia de segurança de rede, proporcionando visibilidade clara sobre qual tráfego pertence ao host e qual provém de um ambiente isolado e potencialmente mais exposto.
Atualização de borda dentro do contêiner e compatibilidade de extensão
Com a versão antiga do Microsoft Edge Legacy, o atualizações dentro do contêiner Eles seguiam o ciclo de atualizações do Windows. Ou seja, o navegador independente era atualizado ao mesmo tempo que o sistema operacional, o que criava uma certa dependência das atualizações do Windows para manter o mecanismo do navegador atualizado.
Com o novo Edge, a situação mudou: o navegador atualizações independentemente do sistema operacionalO canal e a versão em execução no host são replicados dentro do contêiner do Application Guard. Isso simplifica a administração, pois não há mais necessidade de se preocupar com um ciclo de manutenção separado para a borda isolada.
Com relação às extensões, como já mencionado, elas podem Forçar instalações, bloquear ou remover extensões tanto no host quanto no contêiner, usando políticas. Algumas combinações práticas incluem, por exemplo, exigir a instalação de um bloqueador de anúncios no ambiente isolado para melhorar o desempenho e reduzir o risco, ou permitir extensões personalizadas da empresa somente na sessão do Application Guard.
No entanto, nem todas as extensões são compatíveis: aqueles que dependem de componentes nativos de controle de mensagens O envio de mensagens nativas não é suportado dentro do contêiner. Se uma extensão não funcionar na sessão do Application Guard, mesmo com as políticas de extensão ativadas, é recomendável verificar se ela requer esse tipo de componente, pois, nesse caso, não será possível utilizá-la.
A sincronização de favoritos, por outro lado, é opcional. Se os funcionários não virem seus favoritos habituais na janela do Application Guard, é muito provável que seja porque... A política de sincronização de favoritos está desativada.Nesse caso, o departamento de TI deve revisar a configuração no console de administração para permitir a funcionalidade, se julgarem apropriado.
Limitações práticas: downloads, copiar e colar, HDR e outras perguntas frequentes.
O isolamento proporcionado pelo Application Guard implica em inevitável limitações em certas tarefas do dia a diaUma das perguntas mais frequentes é se os documentos podem ser baixados do contêiner para o computador host. A resposta depende da versão do Windows e das configurações de política.
No Windows 10 Enterprise, edição 1803, os usuários podem Baixar arquivos da sessão isolada para o host, desde que a organização o permita através das políticas correspondentes. No entanto, no Windows 10 Enterprise 1709 ou no Windows 10 Professional 1803, não é possível exportar arquivos diretamente do Application Guard para o computador host.
Nesses casos, existe um truque aceito: você pode usar a opção de “Imprimir em PDF” ou “Imprimir em XPS” A partir da sessão do Application Guard, salve o resultado no dispositivo host. Dessa forma, mesmo que o arquivo original não possa ser transferido, uma cópia impressa será obtida em um formato seguro.
Com relação a copiar e colar, a política da empresa define o que é permitido. Normalmente, a permissão pode ser concedida. Transferência de texto e imagens do tipo .bmp entre o host e o contêiner, mas não outros tipos de dados. Isso ajuda a manter o isolamento, ao mesmo tempo que facilita determinadas tarefas de trabalho.
Outro tópico interessante é a reprodução de vídeo HDR. Para que a opção HDR esteja disponível no contêiner do Application Guard, é necessário que A aceleração de hardware vGPU está ativada. nas configurações de proteção do aplicativo. Sem essa aceleração, o ambiente isolado não consegue aproveitar ao máximo os recursos da GPU.
Por fim, muitos usuários estão confusos sobre a extensão Application Guard para Chrome: não é necessário instalá-la no Edge, visto que O Edge integra nativamente a funcionalidade do Application Guard.Na verdade, a extensão desenvolvida para o Chrome não é uma configuração compatível com o Microsoft Edge.
Estado atual do Application Guard e funcionalidades obsoletas
Ao longo do tempo, a Microsoft tem ajustado seu catálogo de recursos de segurança e, nesse processo, O Microsoft Defender Application Guard agora é considerado um recurso obsoleto. Em determinados cenários, especialmente no Edge para empresas.
A Microsoft anunciou que Proteção de aplicativos do Microsoft Defender, incluindo APIs do Windows Isolated Application Launcher.Está sendo descontinuado no Microsoft Edge para empresas e não receberá mais atualizações. Embora a funcionalidade ainda possa funcionar em computadores onde já esteja instalado, sua manutenção e desenvolvimento foram interrompidos.
Especificamente, a extensão Application Guard para O Chrome e o Edge não serão atualizados para o novo Manifest V3.O Manifesto V3 do Chromium é o modelo que define como as extensões devem funcionar e quais permissões elas têm dentro do ecossistema Chromium. Quando o Manifesto V3 se tornar obrigatório, esta extensão será desativada e deixará de funcionar.
Para usuários domésticos, o impacto é limitado, pois o Application Guard sempre foi uma solução mais voltada para... ambientes de negóciosAinda assim, a Microsoft recomenda que as organizações que o utilizavam avaliem medidas alternativas de isolamento e proteção de navegação para manter um nível semelhante de segurança contra sites potencialmente perigosos.
A remoção gradual do Application Guard se junta a outros recursos considerados obsoletos no Windows, como certos tipos de certificados TLS com chaves RSA curtas, partes do ecossistema Windows Mixed Reality e até mesmo o Subsistema Windows para Android em algumas versões. Tudo indica que a Microsoft está... reorganizando e simplificando seu portfólio de funçõesapostando em outras tecnologias de proteção.
Na prática, isso significa que, embora o Application Guard continue sendo um Uma ferramenta muito poderosa para isolar navegação e documentos não confiáveis.As empresas devem planejar sua transição para outras soluções de segurança de navegador e contêiner, aproveitando todos os recursos oferecidos em termos de listas de sites, proxy duplo, diagnósticos internos e controle granular de tráfego e extensões.
Considerando o panorama geral, o Application Guard representou um passo importante na estratégia de "preencher a lacuna" e conter ataques em um ambiente seguro, ajudando muitas organizações a equilibrar melhor a produtividade com a proteção contra ameaças da web e arquivos maliciosos, e pavimentando um caminho claro para modelos de segurança cada vez mais baseados em isolamento e virtualização leve.
Escritor apaixonado pelo mundo dos bytes e da tecnologia em geral. Adoro compartilhar meu conhecimento por meio da escrita, e é isso que farei neste blog, mostrar a vocês tudo o que há de mais interessante sobre gadgets, software, hardware, tendências tecnológicas e muito mais. Meu objetivo é ajudá-lo a navegar no mundo digital de uma forma simples e divertida.