วิธีใช้งาน Microsoft Defender Application Guard ทีละขั้นตอน

หากคุณทำงานกับข้อมูลที่ละเอียดอ่อนหรือเข้าชมเว็บไซต์ที่น่าสงสัยเป็นประจำMicrosoft Defender Application Guard (MDAG)คือหนึ่งในคุณสมบัติของ Windows ที่สามารถสร้างความแตกต่างระหว่างความหวาดกลัวและความเสียหายร้ายแรงได้ มันไม่ใช่แค่โปรแกรมป้องกันไวรัสทั่วไป แต่เป็นชั้นป้องกันพิเศษที่แยกภัยคุกคามออกจากระบบและข้อมูลของคุณ

ในบรรทัดต่อไปนี้ คุณจะได้เห็นอย่างชัดเจนว่า Application Guard คืออะไร ทำงานอย่างไรภายใน อุปกรณ์ใดบ้างที่สามารถใช้งานได้ และวิธีการกำหนดค่าทั้งในโหมดง่ายและโหมดองค์กร นอกจากนี้ เราจะทบทวนข้อกำหนด นโยบายกลุ่ม ข้อผิดพลาดทั่วไป และคำถามที่พบบ่อยหลายข้อที่มักเกิดขึ้นเมื่อเริ่มใช้งานเทคโนโลยีนี้

Microsoft Defender Application Guard คืออะไร และทำงานอย่างไร?

Microsoft Defender Application Guard เป็นคุณสมบัติความปลอดภัยขั้นสูงที่ออกแบบมาเพื่อแยกเว็บไซต์และเอกสารที่ไม่น่าเชื่อถือไว้ในคอนเทนเนอร์เสมือนจริงบนพื้นฐานของ Hyper-V แทนที่จะพยายามบล็อกการโจมตีแต่ละครั้งทีละรายการ มันจะสร้าง "คอมพิวเตอร์แบบใช้แล้วทิ้ง" ขนาดเล็กเพื่อเก็บเนื้อหาที่น่าสงสัย

คอนเทนเนอร์นี้ทำงานแยกต่างหากจากระบบปฏิบัติการหลักโดยมี Windows เวอร์ชันที่ได้รับการรักษาความปลอดภัยเป็นพิเศษ และไม่มีสิทธิ์เข้าถึงไฟล์ ข้อมูลประจำตัว หรือทรัพยากรภายในของบริษัทโดยตรง แม้ว่าเว็บไซต์ที่เป็นอันตรายจะสามารถใช้ประโยชน์จากช่องโหว่ของเบราว์เซอร์หรือ Office ได้ ความเสียหายก็จะยังคงอยู่ภายในสภาพแวดล้อมที่แยกออกมานี้เท่านั้น

ในกรณีของ Microsoft Edge นั้น Application Guard จะตรวจสอบให้แน่ใจว่าโดเมนใดๆ ที่ไม่ได้ถูกทำเครื่องหมายว่าเชื่อถือได้จะถูกเปิดโดยอัตโนมัติภายในคอนเทนเนอร์นั้น สำหรับ Office นั้น ก็จะดำเนินการเช่นเดียวกันกับเอกสาร Word, Excel และ PowerPoint จากแหล่งที่มาที่องค์กรไม่ถือว่าปลอดภัย

หัวใจสำคัญคือการแยกส่วนนี้เป็นไปตามฮาร์ดแวร์: Hyper-V สร้างสภาพแวดล้อมที่ไม่ขึ้นกับโฮสต์ซึ่งช่วยลดโอกาสที่ผู้โจมตีจะกระโดดจากเซสชันที่แยกส่วนไปยังระบบจริง ขโมยข้อมูลของบริษัท หรือใช้ประโยชน์จากข้อมูลประจำตัวที่จัดเก็บไว้ได้อย่างมาก

นอกจากนี้ คอนเทนเนอร์ยังถูกมองว่าเป็นสภาพแวดล้อมที่ไม่ระบุตัวตน กล่าวคือมันจะไม่สืบทอดคุกกี้ รหัสผ่าน หรือเซสชันของผู้ใช้ซึ่งทำให้การโจมตีโดยใช้เทคนิคการปลอมแปลงหรือการขโมยเซสชันทำได้ยากขึ้นมาก

ประเภทอุปกรณ์ที่แนะนำให้ใช้ Application Guard

แม้ว่า Application Guard จะสามารถทำงานได้ในหลายสถานการณ์ แต่โดยหลักแล้วได้รับการออกแบบมาสำหรับสภาพแวดล้อมขององค์กรและอุปกรณ์ที่ได้รับการจัดการไมโครซอฟต์ได้จำแนกประเภทของอุปกรณ์หลายประเภทที่ MDAG เหมาะสมที่สุด

ประการแรกคือคอมพิวเตอร์เดสก์ท็อปสำหรับธุรกิจที่เข้าร่วมโดเมนซึ่งโดยทั่วไปจะจัดการด้วย Configuration Manager หรือ Intune คอมพิวเตอร์เหล่านี้เป็นคอมพิวเตอร์สำนักงานแบบดั้งเดิมที่ผู้ใช้ทั่วไปใช้งานและเชื่อมต่อกับเครือข่ายองค์กรแบบใช้สาย ซึ่งความเสี่ยงส่วนใหญ่มาจากการท่องอินเทอร์เน็ตในแต่ละวัน

นอกจากนี้ เรายังมีแล็ปท็อปขององค์กรซึ่งก็เข้าร่วมโดเมนและได้รับการจัดการจากส่วนกลางเช่นกัน แต่เชื่อมต่อกับเครือข่าย Wi-Fi ภายในหรือภายนอก ในกรณีนี้ ความเสี่ยงจะเพิ่มขึ้น เนื่องจากอุปกรณ์ออกจากเครือข่ายที่ควบคุมและสัมผัสกับ Wi-Fi ในโรงแรม สนามบิน หรือเครือข่ายบ้าน

อีกกลุ่มหนึ่งคือแล็ปท็อป BYOD (Bring Your Own Device) ซึ่งเป็น คอมพิวเตอร์ส่วนบุคคลที่ไม่ใช่ของบริษัท แต่ได้รับการจัดการผ่านโซลูชันต่างๆ เช่น Intune โดยปกติแล้วผู้ใช้งานจะมีสิทธิ์ผู้ดูแลระบบในเครื่อง ซึ่งเพิ่มความเสี่ยงต่อการโจมตีและทำให้การจำกัดการเข้าถึงทรัพยากรขององค์กรมีความสำคัญมากยิ่งขึ้น

สุดท้ายนี้ ยังมีอุปกรณ์ส่วนบุคคลที่ไม่ได้รับการจัดการอย่างสมบูรณ์ซึ่งไม่ได้สังกัดโดเมนใดๆ และผู้ใช้มีอำนาจควบคุมอย่างเต็มที่ ในกรณีเหล่านี้ สามารถใช้ Application Guard ในโหมดสแตนด์อโลน (โดยเฉพาะสำหรับ Edge) เพื่อเพิ่มระดับการป้องกันอีกชั้นหนึ่งเมื่อเข้าชมเว็บไซต์ที่อาจเป็นอันตราย

ระบบปฏิบัติการ Windows ที่ต้องการและข้อกำหนดด้านลิขสิทธิ์

ก่อนเริ่มการตั้งค่าใดๆ สิ่งสำคัญคือต้องทำความเข้าใจให้ชัดเจนว่าคุณสามารถใช้งาน Microsoft Defender Application Guard กับ Windows รุ่นใดได้บ้าง และคุณมีสิทธิ์การใช้งานอย่างไร

สำหรับโหมดใช้งาน Edge แบบสแตนด์อโลน (กล่าวคือ การใช้ Application Guard เป็นเพียงแซนด์บ็อกซ์ของเบราว์เซอร์โดยไม่มีการจัดการระดับองค์กรขั้นสูง) จะรองรับคุณสมบัติต่อไปนี้บน Windows:

• วินโดวส์โปร
• Windows Enterprise
• Windows Pro Education / SE
• Windows Education

ในสถานการณ์นี้ สิทธิ์การใช้งาน MDAG จะได้รับหากคุณมีใบอนุญาต เช่นWindows Pro/Pro Education/SE, Windows Enterprise E3 หรือ E5 และ Windows Education A3 หรือ A5ในทางปฏิบัติ บนพีซีระดับมืออาชีพจำนวนมากที่ใช้ Windows Pro คุณสามารถเปิดใช้งานคุณสมบัตินี้สำหรับการใช้งานขั้นพื้นฐานได้อยู่แล้ว

สำหรับโหมดการบริหารจัดการระดับองค์กรและระดับ Edge (ซึ่งเกี่ยวข้องกับคำสั่งขั้นสูงและสถานการณ์ที่ซับซ้อนกว่า) การสนับสนุนจะลดลง:

• Windows Enterprise y Windows Education Application Guard รองรับโหมดนี้
• Windows Pro และ Windows Pro Education/SE ไม่ พวกเขาให้การสนับสนุนสำหรับเวอร์ชันสำหรับองค์กรนี้

ในส่วนของการอนุญาตใช้งาน การใช้งานระดับองค์กรขั้นสูงนี้จำเป็นต้องใช้Windows Enterprise E3/E5 หรือ Windows Education A3/A5หากองค์กรของคุณใช้เฉพาะเวอร์ชัน Pro โดยไม่มีการสมัครใช้งานระดับ Enterprise คุณจะถูกจำกัดให้ใช้งานได้เฉพาะโหมด Edge แบบสแตนด์อโลนเท่านั้น

ข้อกำหนดเบื้องต้นและความเข้ากันได้ของระบบ

นอกเหนือจากเวอร์ชัน Windows แล้ว เพื่อให้ Application Guard ทำงานได้อย่างเสถียร คุณจำเป็นต้องปฏิบัติตามข้อกำหนดทางเทคนิคหลายประการที่เกี่ยวข้องกับเวอร์ชัน ฮาร์ดแวร์ และการรองรับเวอร์ชวลไลเซชัน

ในส่วนของระบบปฏิบัติการ จำเป็นต้องใช้Windows 10 เวอร์ชัน 1809 หรือใหม่กว่า (อัปเดตตุลาคม 2018) หรือ Windows 11 เวอร์ชันที่เทียบเท่ากัน ระบบนี้ไม่ได้ออกแบบมาสำหรับเซิร์ฟเวอร์หรือรุ่นที่ลดขนาดลงอย่างมาก แต่ได้รับการออกแบบมาเพื่อใช้งานกับคอมพิวเตอร์ไคลเอ็นต์โดยเฉพาะ

ในระดับฮาร์ดแวร์ ระบบจะต้องเปิดใช้งานการจำลองเสมือนแบบฮาร์ดแวร์ (เช่น การรองรับ Intel VT-x/AMD-V และการแปลงที่อยู่ระดับที่สอง เช่น SLAT) เนื่องจาก Hyper-V เป็นส่วนประกอบสำคัญในการสร้างคอนเทนเนอร์ที่แยกต่างหาก หากไม่มีเลเยอร์นี้ MDAG จะไม่สามารถตั้งค่าสภาพแวดล้อมที่ปลอดภัยได้

นอกจากนี้ ยังจำเป็นต้องมีกลไกการจัดการที่เข้ากันได้หากคุณวางแผนที่จะใช้งานแบบรวมศูนย์ (เช่น Microsoft Intune หรือ Configuration Manager) ตามรายละเอียดในข้อกำหนดซอฟต์แวร์ระดับองค์กร สำหรับการติดตั้งแบบง่ายๆ อินเทอร์เฟซความปลอดภัยของ Windows เองก็เพียงพอแล้ว

สุดท้ายนี้ โปรดจำไว้ว่าApplication Guard กำลังจะถูกยกเลิกสำหรับ Microsoft Edge เวอร์ชันสำหรับธุรกิจ และ API บางส่วนที่เกี่ยวข้องกับแอปพลิเคชันแบบสแตนด์อโลนจะไม่ได้รับการอัปเดตอีกต่อไป ถึงกระนั้นก็ตาม ฟีเจอร์นี้ยังคงมีความสำคัญอย่างมากในสภาพแวดล้อมที่ต้องการลดความเสี่ยงในระยะสั้นและระยะกลาง

กรณีศึกษา: ความปลอดภัยกับประสิทธิภาพการทำงาน

หนึ่งในปัญหาคลาสสิกของความปลอดภัยทางไซเบอร์คือการหาจุดสมดุลที่เหมาะสมระหว่างการปกป้องผู้ใช้อย่างแท้จริงและการไม่ปิดกั้นพวกเขาหากคุณอนุญาตเฉพาะเว็บไซต์ที่ "ได้รับอนุญาต" เพียงไม่กี่แห่ง คุณจะลดความเสี่ยงลงได้ แต่คุณจะลดประสิทธิภาพการทำงานลง หากคุณผ่อนปรนข้อจำกัด ระดับความเสี่ยงก็จะพุ่งสูงขึ้น

เบราว์เซอร์เป็นหนึ่งในช่องทางโจมตีหลักบนคอมพิวเตอร์ เนื่องจากหน้าที่ของมันคือการเปิดเนื้อหาที่ไม่น่าเชื่อถือจากแหล่งต่างๆ มากมาย เช่น เว็บไซต์ที่ไม่รู้จัก การดาวน์โหลด สคริปต์จากภายนอก โฆษณาที่รุกล้ำ ฯลฯ ไม่ว่าคุณจะปรับปรุงกลไกของเบราว์เซอร์มากแค่ไหน ก็จะมีช่องโหว่ใหม่ๆ ที่ใครบางคนจะพยายามใช้ประโยชน์อยู่เสมอ

ในโมเดลนี้ ผู้ดูแลระบบจะกำหนดอย่างแม่นยำว่าโดเมน ช่วง IP และทรัพยากรคลาวด์ใดบ้างที่ถือว่าน่าเชื่อถือสิ่งใดที่ไม่อยู่ในรายการนั้นจะถูกย้ายไปไว้ในคอนเทนเนอร์โดยอัตโนมัติ ในคอนเทนเนอร์ นั้น ผู้ใช้สามารถเรียกดูข้อมูลได้โดยไม่ต้องกังวลว่าข้อผิดพลาดของเบราว์เซอร์จะส่งผลกระทบต่อระบบภายในส่วนที่เหลือ

ผลลัพธ์ที่ได้คือ พนักงานสามารถเข้าถึงข้อมูลภายในองค์กรได้อย่างค่อนข้างยืดหยุ่น แต่มีขอบเขตที่ชัดเจนระหว่างโลกภายนอกที่ไม่น่าเชื่อถือกับสภาพแวดล้อมภายในองค์กรที่ต้องได้รับการปกป้องอย่างถึงที่สุด

คุณสมบัติและการอัปเดตล่าสุดของ Application Guard ใน Microsoft Edge

ตลอดเวอร์ชันต่างๆ ของ Microsoft Edge ที่ใช้ Chromium เป็นพื้นฐาน Microsoft ได้เพิ่มการปรับปรุงเฉพาะให้กับ Application Guardโดยมีเป้าหมายเพื่อปรับปรุงประสบการณ์การใช้งานของผู้ใช้และให้ผู้ดูแลระบบมีอำนาจควบคุมมากขึ้น

หนึ่งในคุณสมบัติใหม่ที่สำคัญคือ การบล็อกการอัปโหลดไฟล์จากคอนเทนเนอร์ตั้งแต่ Edge 96 เป็นต้นมา องค์กรต่างๆ สามารถป้องกันไม่ให้ผู้ใช้ทำการอัปโหลดเอกสารจากอุปกรณ์ของตนเองไปยังแบบฟอร์มหรือบริการเว็บภายในเซสชันที่แยกต่างหากได้ โดยใช้ นโยบายดังกล่าว ApplicationGuardUploadBlockingEnabledวิธีนี้ช่วยลดความเสี่ยงของการรั่วไหลของข้อมูล

การปรับปรุงที่มีประโยชน์อีกอย่างหนึ่งคือ โหมดพาสซีฟมีให้ใช้งานตั้งแต่ Edge 94 เมื่อเปิดใช้งานตามนโยบาย ApplicationGuardPassiveModeEnabledApplication Guard จะหยุดการบังคับให้แสดงรายการเว็บไซต์และอนุญาตให้ผู้ใช้เรียกดู Edge ได้ "ตามปกติ" แม้ว่าฟีเจอร์ดังกล่าวจะยังคงติดตั้งอยู่ก็ตาม นี่เป็นวิธีที่สะดวกในการเตรียมเทคโนโลยีให้พร้อมใช้งานโดยไม่ต้องเปลี่ยนเส้นทางการรับส่งข้อมูลในขณะนี้

ความเป็นไปได้ก็ถูกเพิ่มเข้ามาด้วย ซิงโครไนซ์รายการโปรดของโฮสต์กับคอนเทนเนอร์นี่เป็นสิ่งที่ลูกค้าหลายรายร้องขอเพื่อหลีกเลี่ยงประสบการณ์การท่องเว็บที่ไม่เชื่อมต่อกันอย่างสิ้นเชิงสองแบบ ตั้งแต่ Edge 91 เป็นต้นมา นโยบายนี้จึงถูกนำมาใช้ ApplicationGuardFavoritesSyncEnabled สิ่งนี้ช่วยให้เครื่องหมายใหม่ปรากฏขึ้นอย่างเท่าเทียมกันภายในสภาพแวดล้อมที่แยกออกมา

ในด้านการเชื่อมต่อเครือข่าย Edge 91 ได้รวมการสนับสนุนสำหรับ ติดป้ายกำกับปริมาณการจราจรที่ออกจากคอนเทนเนอร์ ขอบคุณคำสั่งดังกล่าว ApplicationGuardTrafficIdentificationEnabledวิธีนี้ช่วยให้บริษัทต่างๆ สามารถระบุและกรองปริมาณการรับส่งข้อมูลผ่านพร็อกซีได้ เช่น เพื่อจำกัดการเข้าถึงเว็บไซต์จำนวนน้อยมากเมื่อเรียกดูจาก MDAG

พร็อกซีคู่, ส่วนขยาย และสถานการณ์ขั้นสูงอื่นๆ

บางองค์กรใช้ Application Guard ในการใช้งานที่ซับซ้อนกว่า ซึ่งจำเป็นต้องตรวจสอบปริมาณการรับส่งข้อมูลของคอนเทนเนอร์และความสามารถของเบราว์เซอร์ภายในสภาพแวดล้อมที่แยกต่างหาก อย่างใกล้ชิด

สำหรับกรณีเหล่านี้ Edge มีการรองรับ พร็อกซีคู่ ตั้งแต่เวอร์ชันเสถียร 84 เป็นต้นไป สามารถกำหนดค่าได้ผ่านคำสั่ง ApplicationGuardContainerProxyแนวคิดคือ การรับส่งข้อมูลที่มาจากคอนเทนเนอร์จะถูกส่งผ่านพร็อกซีเฉพาะ ซึ่งแตกต่างจากพร็อกซีที่ใช้โดยโฮสต์ ทำให้ง่ายต่อการใช้กฎที่เป็นอิสระและการตรวจสอบที่เข้มงวดมากขึ้น

อีกหนึ่งคำขอที่ลูกค้าร้องขอซ้ำๆ คือความเป็นไปได้ในการ ใช้ส่วนขยายภายในคอนเทนเนอร์ตั้งแต่ Edge เวอร์ชัน 81 เป็นต้นมา สามารถทำได้แล้ว ดังนั้นโปรแกรมบล็อกโฆษณา ส่วนขยายภายในองค์กร หรือเครื่องมืออื่นๆ สามารถทำงานได้ตราบใดที่ปฏิบัติตามนโยบายที่กำหนดไว้ จำเป็นต้องประกาศนโยบายเหล่านั้น updateURL ของส่วนขยายในนโยบายการแยกเครือข่าย เพื่อให้ถือว่าเป็นทรัพยากรที่เป็นกลางซึ่งสามารถเข้าถึงได้จาก Application Guard

สถานการณ์ที่รองรับ ได้แก่การบังคับติดตั้งส่วนขยายบนโฮสต์ซึ่งจะพร้อมใช้งานในคอนเทนเนอร์ การลบส่วนขยายเฉพาะ หรือการบล็อกส่วนขยายอื่น ๆ ที่ถือว่าไม่พึงประสงค์ด้วยเหตุผลด้านความปลอดภัย อย่างไรก็ตาม ส่วนขยายที่ขึ้นอยู่กับส่วนประกอบการจัดการข้อความดั้งเดิมจะไม่ได้รับการสนับสนุนภายใน MDAG

เพื่อช่วยวินิจฉัยปัญหาเกี่ยวกับการกำหนดค่าหรือพฤติกรรม หน้าการวินิจฉัยเฉพาะ en edge://application-guard-internalsจากตรงนั้น คุณสามารถตรวจสอบได้ว่า URL ที่กำหนดนั้นถือว่าน่าเชื่อถือหรือไม่ ตามนโยบายที่ใช้กับผู้ใช้จริง

สุดท้ายนี้ ในส่วนของการอัปเดต Microsoft Edge เวอร์ชันใหม่จะอัปเดตตัวเองภายในคอนเทนเนอร์โดยใช้ช่องทางและเวอร์ชันเดียวกับเบราว์เซอร์หลัก ไม่ขึ้นอยู่กับรอบการอัปเดตของระบบปฏิบัติการเหมือน Edge เวอร์ชันเก่าอีกต่อไป ซึ่งช่วยลดความซับซ้อนในการบำรุงรักษาได้อย่างมาก

วิธีเปิดใช้งาน Microsoft Defender Application Guard ใน Windows

หากคุณต้องการใช้งานบนคอมพิวเตอร์ที่รองรับ ขั้นตอนแรกคือการเปิดใช้งานคุณสมบัติของ Windows ที่เกี่ยวข้องกระบวนการนี้โดยพื้นฐานแล้วค่อนข้างตรงไปตรงมา

วิธีที่เร็วที่สุดคือการเปิดกล่องโต้ตอบ Run ด้วย Win + R, เขียน appwiz.cpl จากนั้นกด Enter เพื่อไปยังแผง "โปรแกรมและคุณสมบัติ" โดยตรง จากตรงนั้น ทางด้านซ้าย คุณจะพบลิงก์ "เปิดหรือปิดคุณสมบัติของ Windows"

ในรายการส่วนประกอบที่มีอยู่ ให้ค้นหา"Microsoft Defender Application Guard"แล้วเลือก เมื่อยืนยันแล้ว Windows จะดาวน์โหลดหรือเปิดใช้งานไฟล์ไบนารีที่จำเป็น และแจ้งให้คุณรีสตาร์ทคอมพิวเตอร์เพื่อใช้การเปลี่ยนแปลง

หลังจากรีสตาร์ทแล้ว บนคอมพิวเตอร์ที่รองรับและมี Edge เวอร์ชันที่ถูกต้อง คุณควรจะสามารถเปิดหน้าต่างใหม่หรือแท็บแยกต่างหากได้โดยใช้ตัวเลือกของเบราว์เซอร์ หรือในสภาพแวดล้อมที่มีการจัดการ จะเปิดโดยอัตโนมัติตามการตั้งค่ารายการเว็บไซต์ที่ไม่น่าเชื่อถือ

หากคุณไม่เห็นตัวเลือกเช่น "หน้าต่าง Application Guard ใหม่" หรือคอนเทนเนอร์ไม่เปิดขึ้น อาจเป็นไปได้ว่าคำแนะนำที่คุณทำตามนั้นล้าสมัยเวอร์ชัน Windows ของคุณไม่ได้รับการสนับสนุน คุณไม่ได้เปิดใช้งาน Hyper-V หรือนโยบายขององค์กรของคุณได้ปิดใช้งานคุณสมบัตินี้ไว้

การกำหนดค่า Application Guard ด้วย Group Policy

ในสภาพแวดล้อมระดับองค์กร อุปกรณ์แต่ละชิ้นจะไม่ได้รับการกำหนดค่าด้วยตนเอง แต่ จะใช้ Group Policy Objects (GPOs)หรือโปรไฟล์การกำหนดค่าใน Intune เพื่อกำหนดนโยบายจากส่วนกลาง Application Guard อาศัยส่วนประกอบการกำหนดค่าหลักสองส่วน ได้แก่ การแยกเครือข่ายและพารามิเตอร์เฉพาะแอปพลิเคชัน

การตั้งค่าการแยกเครือข่ายจะอยู่ที่... Computer Configuration\Administrative Templates\Network\Network Isolationตัวอย่างเช่น สิ่งต่อไปนี้จะถูกกำหนดไว้ที่นี่: ขอบเขตและโดเมนของเครือข่ายภายในถือเป็นโดเมนของบริษัทซึ่งจะเป็นตัวกำหนดขอบเขตระหว่างสิ่งที่เชื่อถือได้และสิ่งที่ควรทิ้งลงถังขยะ

หนึ่งในนโยบายสำคัญคือ"ช่วงเครือข่ายส่วนตัวสำหรับแอปพลิเคชัน " ซึ่งระบุช่วง IP ที่อยู่ในเครือข่ายขององค์กรโดยคั่นด้วยเครื่องหมายจุลภาค อุปกรณ์ปลายทางในช่วงเหล่านี้จะเปิดใช้งานได้ใน Edge ตามปกติ และจะไม่สามารถเข้าถึงได้จากสภาพแวดล้อม Application Guard

นโยบายสำคัญอีกประการหนึ่งคือนโยบายของ “โดเมนทรัพยากรองค์กรที่โฮสต์บนคลาวด์”ซึ่งใช้รายการที่คั่นด้วยอักขระ | เพื่อระบุโดเมน SaaS และบริการคลาวด์ขององค์กรที่ควรได้รับการจัดการภายใน โดเมนและบริการเหล่านี้จะแสดงผลที่ Edge ภายนอกคอนเทนเนอร์ด้วย

สุดท้ายนี้ นโยบาย "โดเมนที่จัดประเภทเป็นส่วนตัวและงาน"ช่วยให้คุณสามารถประกาศโดเมนที่สามารถใช้ได้ทั้งเพื่อวัตถุประสงค์ส่วนตัวและธุรกิจ เว็บไซต์เหล่านี้จะสามารถเข้าถึงได้จากทั้งสภาพแวดล้อม Edge ปกติและ Application Guard ตามความเหมาะสม

การใช้สัญลักษณ์ตัวแทน (wildcards) ในการตั้งค่าการแยกเครือข่าย

เพื่อหลีกเลี่ยงการเขียนชื่อโดเมนย่อยแต่ละชื่อทีละรายการ รายการแยกเครือข่ายรองรับอักขระตัวแทน (wildcard) ในชื่อโดเมนซึ่งช่วยให้ควบคุมได้ดียิ่งขึ้นว่าสิ่งใดถือว่าน่าเชื่อถือ

หากนิยามอย่างง่ายๆ contoso.comเบราว์เซอร์จะเชื่อถือเฉพาะค่าที่ระบุไว้เท่านั้น และจะไม่เชื่อถือโดเมนอื่นที่มีค่าเดียวกันนั้น กล่าวอีกนัยหนึ่งคือ เบราว์เซอร์จะถือว่าเฉพาะค่าที่ระบุไว้อย่างชัดเจนนั้นเป็นของธุรกิจนั้นๆ รากที่แท้จริง และไม่ www.contoso.com หรือรูปแบบต่างๆ

หากระบุไว้ www.contoso.comดังนั้น เฉพาะโฮสต์นั้นเท่านั้น จะถือว่าน่าเชื่อถือ โดเมนย่อยอื่นๆ เช่น shop.contoso.com พวกมันจะถูกทิ้งไว้ข้างนอกและอาจลงเอยด้วยการถูกทิ้งในถังขยะ

ด้วยรูปแบบ .contoso.com (จุดนำหน้า) แสดงว่า โดเมนใดๆ ที่ลงท้ายด้วย “contoso.com” ถือว่าน่าเชื่อถือ- ซึ่งรวมถึงจาก contoso.com ขึ้น www.contoso.com หรือแม้แต่โซ่ตรวนเช่น spearphishingcontoso.comดังนั้นจึงต้องใช้ด้วยความระมัดระวัง

สุดท้าย หากมีการใช้งาน ..contoso.com (เครื่องหมายโคลอนตัวแรก) ทุกระดับของลำดับชั้นที่อยู่ทางด้านซ้ายของโดเมนนั้นถือว่าเชื่อถือได้ ตัวอย่างเช่น shop.contoso.com o us.shop.contoso.comแต่ โดเมน “contoso.com” ไม่ได้รับความไว้วางใจ ในตัวมันเองแล้ว นี่เป็นวิธีที่ละเอียดอ่อนกว่าในการควบคุมสิ่งที่ถือว่าเป็นทรัพยากรขององค์กร

คำสั่งเฉพาะของหน่วยรักษาความปลอดภัยแอปพลิเคชันหลัก

ชุดการตั้งค่าหลักชุดที่สองตั้งอยู่ใน Computer Configuration\Administrative Templates\Windows Components\Microsoft Defender Application Guardประเทศนี้ถูกปกครองจากที่นี่ พฤติกรรมคอนเทนเนอร์โดยละเอียด และสิ่งที่ผู้ใช้สามารถหรือไม่สามารถทำได้ภายในนั้น

หนึ่งในนโยบายที่สำคัญที่สุดคือ"การกำหนดค่าคลิปบอร์ด " ซึ่งควบคุมว่าการคัดลอกและวางข้อความหรือรูปภาพระหว่างโฮสต์และ Application Guard นั้นเป็นไปได้หรือไม่ ในโหมดจัดการ คุณสามารถอนุญาตให้คัดลอกได้เฉพาะจากคอนเทนเนอร์ออกไปภายนอก เฉพาะในทิศทางตรงกันข้าม หรือแม้แต่ปิดใช้งานคลิปบอร์ดโดยสมบูรณ์

ในทำนองเดียวกัน นโยบาย "การตั้งค่าการพิมพ์"จะกำหนดว่าสามารถพิมพ์เนื้อหาจากคอนเทนเนอร์ได้หรือไม่ และในรูปแบบใด คุณสามารถเปิดใช้งานการพิมพ์เป็น PDF, XPS, เครื่องพิมพ์ในพื้นที่ที่เชื่อมต่อ หรือเครื่องพิมพ์เครือข่ายที่กำหนดไว้ล่วงหน้า หรือบล็อกความสามารถในการพิมพ์ทั้งหมดภายใน MDAG ได้

ตัวเลือก"สนับสนุนการคงอยู่ของข้อมูล"จะกำหนดว่าข้อมูลผู้ใช้ (ไฟล์ที่ดาวน์โหลด คุกกี้ รายการโปรด ฯลฯ) จะถูกเก็บรักษาไว้ระหว่างเซสชันของ Application Guard หรือจะถูกล้างออกทุกครั้งที่ปิดระบบ การเปิดใช้งานตัวเลือกนี้ในโหมดจัดการจะทำให้คอนเทนเนอร์เก็บรักษาข้อมูลนี้ไว้สำหรับเซสชันในอนาคต การปิดใช้งานจะทำให้สภาพแวดล้อมสะอาดหมดจดทุกครั้งที่เริ่มต้น

หากคุณตัดสินใจที่จะหยุดการอนุญาตการบันทึกข้อมูลถาวรในภายหลัง คุณสามารถใช้เครื่องมือนี้ได้ wdagtool.exe ด้วยพารามิเตอร์ cleanup o cleanup RESET_PERSISTENCE_LAYER เพื่อรีเซ็ตคอนเทนเนอร์และลบข้อมูลที่พนักงานสร้างขึ้น

นโยบายสำคัญอีกประการหนึ่งคือ“เปิดใช้งาน Application Guard ในโหมดจัดการ ” ซึ่งระบุว่าคุณสมบัตินี้ใช้กับ Microsoft Edge, Microsoft Office หรือทั้งสองอย่าง นโยบายนี้จะไม่มีผลหากอุปกรณ์ไม่ตรงตามข้อกำหนดเบื้องต้นหรือมีการกำหนดค่าการแยกเครือข่าย (ยกเว้นใน Windows เวอร์ชันล่าสุดบางเวอร์ชันที่ไม่จำเป็นสำหรับ Edge อีกต่อไปหากมีการติดตั้งการอัปเดต KB เฉพาะแล้ว)

การแชร์ไฟล์ ใบรับรอง กล้อง และการตรวจสอบ

นอกเหนือจากนโยบายข้างต้นแล้ว ยังมีคำสั่งอื่นๆ ที่ส่งผลต่อความสัมพันธ์ระหว่างคอนเทนเนอร์กับระบบโฮสต์และอุปกรณ์ต่อพ่วงอีก ด้วย

นโยบาย"อนุญาตให้ดาวน์โหลดไฟล์ไปยังระบบปฏิบัติการโฮสต์"จะกำหนดว่าผู้ใช้สามารถบันทึกไฟล์ที่ดาวน์โหลดจากสภาพแวดล้อมที่แยกต่างหากไปยังโฮสต์ได้หรือไม่ เมื่อเปิดใช้งาน นโยบายนี้จะสร้างทรัพยากรที่ใช้ร่วมกันระหว่างสองสภาพแวดล้อม และยังอนุญาตให้มีการอัปโหลดบางอย่างจากโฮสต์ไปยังคอนเทนเนอร์ ซึ่งเป็นคุณสมบัติที่มีประโยชน์มาก แต่ควรได้รับการประเมินจากมุมมองด้านความปลอดภัยด้วย

การตั้งค่า"อนุญาตการเรนเดอร์แบบเร่งความเร็วด้วยฮาร์ดแวร์"จะเปิดใช้งานการใช้ GPU ผ่าน vGPU เพื่อปรับปรุงประสิทธิภาพกราฟิก โดยเฉพาะอย่างยิ่งเมื่อเล่นวิดีโอและเนื้อหาที่ต้องการประสิทธิภาพสูง หากไม่มีฮาร์ดแวร์ที่เข้ากันได้ Application Guard จะเปลี่ยนไปใช้การเรนเดอร์ด้วย CPU การเปิดใช้งานตัวเลือกนี้บนอุปกรณ์ที่มีไดรเวอร์ที่ไม่น่าเชื่อถืออาจเพิ่มความเสี่ยงให้กับเครื่องโฮสต์ได้

นอกจากนี้ยังมีคำสั่งอนุญาตให้เข้าถึงกล้องและไมโครโฟนภายในคอนเทนเนอร์ การเปิดใช้งานคำสั่งนี้จะช่วยให้แอปพลิเคชันที่ทำงานภายใต้ MDAG สามารถใช้อุปกรณ์เหล่านี้ได้ ซึ่งอำนวยความสะดวกในการโทรหรือประชุมทางวิดีโอจากสภาพแวดล้อมที่แยกต่างหาก อย่างไรก็ตาม มันก็เปิดช่องให้เกิดความเป็นไปได้ว่า หากคอนเทนเนอร์ถูกบุกรุก สิทธิ์การเข้าถึงตามปกติอาจถูกข้ามไปได้

นโยบายอีกประการหนึ่งอนุญาตให้ Application Guard ใช้หน่วยงานออกใบรับรองรากเฉพาะจากโฮสต์โดยส่งใบรับรองที่มีลายนิ้วมือที่ระบุไปยังคอนเทนเนอร์ หากปิดใช้งานนโยบายนี้ คอนเทนเนอร์จะไม่ได้รับใบรับรองเหล่านี้ ซึ่งอาจปิดกั้นการเชื่อมต่อกับบริการภายในบางอย่างที่ต้องพึ่งพาหน่วยงานออกใบรับรองส่วนตัว

สุดท้ายนี้ ตัวเลือก“อนุญาตเหตุการณ์ตรวจสอบ”จะทำให้เหตุการณ์ระบบที่เกิดขึ้นในคอนเทนเนอร์ถูกบันทึก และรับเอานโยบายการตรวจสอบของอุปกรณ์มาใช้ เพื่อให้ทีมรักษาความปลอดภัยสามารถติดตามสิ่งที่เกิดขึ้นภายใน Application Guard จากบันทึกของโฮสต์ได้

การบูรณาการกับเฟรมเวิร์กการสนับสนุนและการปรับแต่ง

เมื่อเกิดข้อผิดพลาดใน Application Guard ผู้ใช้จะเห็นกล่องโต้ตอบข้อผิดพลาดซึ่งโดยค่าเริ่มต้นจะมีเพียงคำอธิบายของปัญหาและปุ่มสำหรับรายงานไปยัง Microsoft ผ่าน Feedback Hub เท่านั้น อย่างไรก็ตาม สามารถปรับแต่งประสบการณ์การใช้งานนี้เพื่ออำนวยความสะดวกในการสนับสนุนภายในได้

บนเส้นทาง Administrative Templates\Windows Components\Windows Security\Enterprise Customization มีนโยบายที่ผู้ดูแลระบบสามารถนำไปใช้ได้ เพิ่มข้อมูลติดต่อฝ่ายบริการสนับสนุนลิงก์ภายในหรือคำแนะนำสั้นๆ วิธีนี้จะช่วยให้พนักงานทราบได้ทันทีว่าควรติดต่อใครหรือต้องดำเนินการอย่างไรเมื่อพบข้อผิดพลาด

คำถามที่พบบ่อยและปัญหาทั่วไปเกี่ยวกับการใช้งาน Application Guard

การใช้งาน Application Guard ก่อให้เกิด ข้อสงสัยซ้ำๆมากมายในการใช้งานจริง โดยเฉพาะอย่างยิ่งในเรื่องประสิทธิภาพ ความเข้ากันได้ และพฤติกรรมของเครือข่าย

คำถามแรกๆ คือ จะสามารถเปิดใช้งานบนเครื่องที่มี RAM เพียง 4 GB ได้หรือไม่แม้ว่าจะมีบางสถานการณ์ที่อาจใช้งานได้ แต่ในทางปฏิบัติ ประสิทธิภาพมักจะลดลงอย่างมาก เนื่องจากคอนเทนเนอร์นั้นโดยพื้นฐานแล้วเป็นระบบปฏิบัติการอีกระบบหนึ่งที่ทำงานควบคู่กันไป

อีกประเด็นสำคัญคือการผสานรวมกับพร็อกซีเครือข่ายและสคริปต์ PACข้อความเช่น “ไม่สามารถแก้ไข URL ภายนอกจาก MDAG Browser ได้: ERR_CONNECTION_REFUSED” หรือ “ERR_NAME_NOT_RESOLVED” เมื่อการเข้าถึงไฟล์ PAC ล้มเหลว มักบ่งชี้ถึงปัญหาการกำหนดค่าระหว่างคอนเทนเนอร์ พร็อกซี และกฎการแยก

นอกจากนี้ยังมีปัญหาที่เกี่ยวข้องกับIME (ตัวแก้ไขวิธีการป้อนข้อมูล) ที่ไม่ได้รับการสนับสนุนใน Windows บางเวอร์ชัน ความขัดแย้งกับไดรเวอร์การเข้ารหัสดิสก์ หรือโซลูชันการควบคุมอุปกรณ์ที่ป้องกันไม่ให้คอนเทนเนอร์โหลดเสร็จสมบูรณ์

ผู้ดูแลระบบบางรายอาจพบข้อผิดพลาด เช่น“ERROR_VIRTUAL_DISK_LIMITATION”หากมีข้อจำกัดที่เกี่ยวข้องกับดิสก์เสมือน หรือความล้มเหลวเมื่อปิดใช้งานเทคโนโลยีต่างๆ เช่น ไฮเปอร์เธรดดิ้ง ซึ่งส่งผลกระทบต่อ Hyper-V และ MDAG โดยอ้อม

นอกจากนี้ ยังมีคำถามเกิดขึ้นเกี่ยวกับการเชื่อถือเฉพาะโดเมนย่อยบางส่วนข้อจำกัดด้านขนาดของรายการโดเมน หรือวิธีการปิดใช้งานพฤติกรรมที่ทำให้แท็บโฮสต์ปิดโดยอัตโนมัติเมื่อไปยังเว็บไซต์ที่เปิดอยู่ในคอนเทนเนอร์

Application Guard, โหมด IE, Chrome และ Office

ในสภาพแวดล้อมที่ยังคงใช้โหมด IE ใน Microsoft Edgeนั้น Application Guard จะได้รับการสนับสนุน แต่ Microsoft คาดหวังว่าฟีเจอร์นี้จะไม่ถูกใช้งานอย่างแพร่หลายในโหมดนี้ ขอแนะนำให้สงวนโหมด IE ไว้สำหรับเว็บไซต์ภายในที่เชื่อถือได้และใช้ MDAG เฉพาะกับเว็บไซต์ภายนอกที่ไม่น่าเชื่อถือเท่านั้น

สิ่งสำคัญคือต้องตรวจสอบให้แน่ใจว่าเว็บไซต์ทั้งหมดที่กำหนดค่าในโหมด IEรวมถึงที่อยู่ IP ที่เกี่ยวข้องนั้น ได้ถูกรวมอยู่ในนโยบายการแยกเครือข่ายในฐานะทรัพยากรที่เชื่อถือได้ด้วย มิเช่นนั้น อาจเกิดพฤติกรรมที่ไม่คาดคิดเมื่อใช้งานทั้งสองฟังก์ชันร่วมกัน

สำหรับ Chrome ผู้ใช้หลายคนถามว่าจำเป็นต้องติดตั้งส่วนขยาย Application Guard หรือไม่ คำตอบคือไม่จำเป็น ฟังก์ชันนี้มีอยู่ใน Microsoft Edge อยู่แล้ว และส่วนขยาย Chrome แบบเก่าไม่ได้รับการสนับสนุนเมื่อใช้งานร่วมกับ Edge

สำหรับเอกสาร Office นั้น Application Guard ช่วยให้คุณเปิดไฟล์ Word, Excel และ PowerPoint ในคอนเทนเนอร์ที่แยกต่างหากเมื่อไฟล์เหล่านั้นถูกพิจารณาว่าไม่น่าเชื่อถือ ซึ่งจะป้องกันไม่ให้มาโครที่เป็นอันตรายหรือช่องทางการโจมตีอื่นๆ เข้าถึงเครื่องคอมพิวเตอร์ได้ การป้องกันนี้สามารถใช้ร่วมกับคุณสมบัติอื่นๆ ของ Defender และนโยบายความน่าเชื่อถือของไฟล์ได้

นอกจากนี้ยังมีตัวเลือกนโยบายกลุ่มที่อนุญาตให้ผู้ใช้ "เชื่อถือ" ไฟล์บางไฟล์ที่เปิดใน Application Guard เพื่อให้ไฟล์เหล่านั้นได้รับการปฏิบัติเหมือนปลอดภัยและออกจากคอนเทนเนอร์ ควรจัดการความสามารถนี้อย่างระมัดระวังเพื่อหลีกเลี่ยงการสูญเสียประโยชน์ของการแยกส่วน

การดาวน์โหลด, คลิปบอร์ด, รายการโปรด และส่วนขยาย: ประสบการณ์ผู้ใช้

จากมุมมองของผู้ใช้ คำถามที่สำคัญที่สุดบางส่วนเกี่ยวข้องกับสิ่งที่สามารถทำได้และทำไม่ได้ภายในคอนเทนเนอร์โดยเฉพาะอย่างยิ่งเกี่ยวกับการดาวน์โหลด การคัดลอก/วาง และส่วนขยาย

ใน Windows 10 Enterprise เวอร์ชัน 1803 และเวอร์ชันที่ใหม่กว่า (โดยอาจมีการเปลี่ยนแปลงบ้างขึ้นอยู่กับรุ่น) สามารถดาวน์โหลดเอกสารจากคอนเทนเนอร์ไปยังเครื่องโฮสต์ได้หากองค์กรกำหนดค่าไว้ผ่านนโยบาย ในเวอร์ชันก่อนหน้าหรือในรุ่นต่างๆ เช่น Pro ในบางบิลด์ ตัวเลือกนี้ไม่มีให้ใช้งาน แต่สามารถพิมพ์เป็นไฟล์ PDF หรือ XPS และบันทึกผลลัพธ์ลงในอุปกรณ์โฮสต์ได้

ในส่วนของคลิปบอร์ด นโยบายของบริษัทอาจอนุญาตให้คัดลอกภาพ BMP และข้อความเข้าและออกจากสภาพแวดล้อมแบบแซนด์บ็อกซ์ได้ หากพนักงานร้องเรียนว่าไม่สามารถคัดลอกเนื้อหาได้ โดยปกติแล้วจะต้องทบทวนนโยบายเหล่านี้ใหม่

ผู้ใช้หลายคนมักถามว่าทำไมพวกเขาจึงไม่เห็นบุ๊กมาร์กหรือส่วนขยายในเซสชัน Edge ภายใต้ Application Guard โดยปกติแล้วเป็นเพราะการซิงค์บุ๊กมาร์กถูกปิดใช้งาน หรือคำสั่งส่วนขยายใน MDAG ยังไม่ได้เปิดใช้งาน เมื่อปรับการตั้งค่าเหล่านี้แล้ว เบราว์เซอร์ในคอนเทนเนอร์จะสามารถสืบทอดบุ๊กมาร์กและส่วนขยายบางอย่างได้ โดยจะมีข้อจำกัดตามที่กล่าวไว้ข้างต้นเสมอ

ในบางกรณี ส่วนขยายอาจปรากฏขึ้นแต่ "ใช้งานไม่ได้" หากส่วนขยายนั้นอาศัยส่วนประกอบการจัดการข้อความดั้งเดิม ฟังก์ชันการทำงานนั้นจะไม่สามารถใช้งานได้ภายในคอนเทนเนอร์ และส่วนขยายจะแสดงพฤติกรรมที่จำกัดหรือไม่ทำงานเลย

ประสิทธิภาพกราฟิก, HDR และการเร่งความเร็วฮาร์ดแวร์

อีกประเด็นที่ถูกกล่าวถึงบ่อยคือการเล่นวิดีโอและคุณสมบัติขั้นสูง เช่น HDRภายใน Application Guard เนื่องจากทำงานบน Hyper-V คอนเทนเนอร์จึงไม่สามารถเข้าถึงความสามารถของ GPU ได้โดยตรงเสมอไป

เพื่อให้การเล่น HDR ทำงานได้อย่างถูกต้องในสภาพแวดล้อมแบบแซนด์บ็อกซ์ต้องเปิดใช้งานการเร่งความเร็วฮาร์ดแวร์ vGPUผ่านนโยบายการเรนเดอร์แบบเร่งความเร็ว มิเช่นนั้น ระบบจะใช้ CPU ในการทำงาน และตัวเลือกบางอย่าง เช่น HDR จะไม่ปรากฏในหน้าการตั้งค่าโปรแกรมเล่นหรือเว็บไซต์

แม้ว่าจะเปิดใช้งานการเร่งความเร็วแล้วก็ตาม หากฮาร์ดแวร์กราฟิกไม่ปลอดภัยหรือไม่เข้ากันได้เพียงพอ Application Guard อาจเปลี่ยนไปใช้การเรนเดอร์ด้วยซอฟต์แวร์โดยอัตโนมัติซึ่งจะส่งผลกระทบต่อประสิทธิภาพและอายุการใช้งานแบตเตอรี่ของแล็ปท็อป

การใช้งานบางครั้งพบปัญหาการแบ่งส่วนข้อมูล TCP และความขัดแย้งของ VPN ที่ไม่สามารถแก้ไขได้เมื่อทราฟฟิกไหลผ่านคอนเทนเนอร์ ในกรณีเหล่านี้ โดยปกติแล้วจำเป็นต้องตรวจสอบนโยบายเครือข่าย การตั้งค่า MTU การกำหนดค่าพร็อกซี และบางครั้งอาจต้องปรับวิธีการที่ MDAG ทำงานร่วมกับส่วนประกอบความปลอดภัยอื่นๆ ที่ติดตั้งไว้

การสนับสนุน การวินิจฉัย และการรายงานเหตุการณ์

หากแม้จะพยายามทุกวิถีทางแล้ว ปัญหายังไม่สามารถแก้ไขได้ภายในระบบ Microsoft แนะนำให้เปิดตั๋วขอความช่วยเหลือเฉพาะสำหรับ Microsoft Defender Application Guard สิ่งสำคัญคือต้องรวบรวมข้อมูลล่วงหน้าจากหน้าการวินิจฉัย บันทึกเหตุการณ์ที่เกี่ยวข้อง และรายละเอียดการกำหนดค่าของอุปกรณ์

การใช้งานหน้าเว็บ edge://application-guard-internalsเมื่อรวมกับ เปิดใช้งานเหตุการณ์ตรวจสอบ และการเปิดตัวเครื่องมือต่างๆ เช่น wdagtool.exeโดยปกติแล้ว ข้อมูลเหล่านี้จะช่วยให้ทีมสนับสนุนมีข้อมูลเพียงพอที่จะระบุต้นตอของปัญหา ไม่ว่าจะเป็นนโยบายที่กำหนดไว้ไม่ชัดเจน ความขัดแย้งกับผลิตภัณฑ์รักษาความปลอดภัยอื่น หรือข้อจำกัดของฮาร์ดแวร์

นอกเหนือจากทั้งหมดนี้แล้ว ยังมีฟังก์ชันในการปรับแต่งข้อความแสดงข้อผิดพลาดและข้อมูลติดต่อในกล่องโต้ตอบการสนับสนุนทางเทคนิคของ Windows Security ทำให้ผู้ใช้สามารถหลีกเลี่ยงปัญหาที่ไม่รู้ว่าจะติดต่อใครเมื่อคอนเทนเนอร์ไม่สามารถเริ่มต้นหรือเปิดไม่ขึ้นตามที่คาดไว้ได้ ง่ายขึ้น

โดยรวมแล้ว Microsoft Defender Application Guard นำเสนอการผสมผสานที่มีประสิทธิภาพระหว่างการแยกฮาร์ดแวร์ การควบคุมนโยบายอย่างละเอียด และเครื่องมือวินิจฉัย ซึ่งเมื่อใช้งานอย่างถูกต้อง จะช่วยลดความเสี่ยงที่เกี่ยวข้องกับการเข้าชมเว็บไซต์ที่ไม่น่าเชื่อถือหรือการเปิดเอกสารจากแหล่งที่น่าสงสัยได้อย่างมาก โดยไม่กระทบต่อประสิทธิภาพการทำงานประจำวัน