Uso del filtro de escritura unificado (UWF) en Windows 10

UWF (filtro de escritura unificado) es un filtro de escritura especial del sistema de archivos en Windows 10 que le permite proteger el sistema de Windows y los archivos de usuario en la unidad local de cualquier cambio. Cuando el filtro UWF está habilitado, el controlador del filtro UWF intercepta todas las operaciones de escritura en un disco protegido o en el registro del sistema y las coloca en un espacio virtual independiente (superposición). Después de reiniciar Windows, no se guardan todos los cambios en las unidades protegidas, es decir, Windows siempre vuelve a su estado original cuando se habilitó el filtro UWF.

¿Cómo funciona un filtro UWF? Protege el sistema de archivos de las particiones seleccionadas en los discos locales de los cambios al redirigir de forma transparente todas las operaciones de escritura del sistema de archivos a una superposición virtual donde se almacenan todos los cambios.

Nota. En versiones anteriores de Windows, los filtros de escritura solo estaban disponibles en Incorporado ediciones, que se utilizaron en cajeros automáticos, sistemas POS, quioscos, terminales de autoservicio, sistemas industriales, etc. Ahora esta función está disponible en Windows 10 Enterprise (incluido LTSB / LTSC) y Educación de Windows 10. Esto abre escenarios adicionales para el uso de Windows en empresas e instituciones educativas (quioscos de información, salas de estudio, stands de demostración, etc.).

¿Cómo habilitar y configurar el filtro de escritura unificado en Windows 10?

El filtro UWF es una función de Windows separada que se habilita a través del Panel de control -> Programas y características -> Activar o desactivar las funciones de Windows -> Bloqueo del dispositivo -> Filtro de escritura unificado.

La función UWF también se puede instalar mediante PowerShell:

Enable-WindowsOptionalFeature -Online -FeatureName "Client-UnifiedWriteFilter" –All

O DISM:

DISM.exe /Online /enable-Feature /FeatureName:client-UnifiedWriteFilter

La uwfmgr.exe La herramienta de consola se utiliza para administrar la configuración de UWF.

Para habilitar el filtro UWF en Windows 10, ejecute el siguiente comando y reinicie su computadora:

uwfmgr.exe filter enable

Después de habilitar el filtro UWF, reconfigura automáticamente el sistema para excluir operaciones de escritura de disco innecesarias (el archivo de paginación, los puntos de restauración, la indexación de archivos y la desfragmentación están deshabilitados).

Para habilitar la protección contra escritura para una unidad específica, ejecute este comando:

uwfmgr.exe volume protect c:

Ahora reinicia tu computadora. Después del reinicio, todo lo que un usuario escriba en el disco durante la sesión estará disponible solo hasta el próximo reinicio de la computadora. Se descartarán los cambios.

Puede verificar el estado de UWF con este comando:

uwfmgr.exe get-config

En este ejemplo, puede ver que el disco del sistema está protegido, el filtro UWF está habilitado (Volume state: Protected).

La configuración de superposición actual en la que UWF almacena datos temporales se puede mostrar mediante el comando:

uwfmgr overlay get-config

Puede configurar los siguientes parámetros de superposición de UWF:

Tipo – tipo de superposición. Puede almacenar datos en disco (DISK) o en RAM;
Talla máxima – el tamaño máximo de superposición;
Umbral de advertencia – tamaño de la superposición, si se excede, se debe mostrar una advertencia;
Umbral crítico – el tamaño de la superposición, si se excede, aparecerá un error de UWF;
Passthrough de espacio libre – utilizado solo para el modo de superposición de disco. Le permite escribir datos en cualquier espacio libre del disco y no en un archivo especial.

El valor predeterminado es una superposición de RAM de 1 GB.

Puede cambiar la configuración de superposición (si tiene suficiente RAM libre):

uwfmgr overlay set-size 8192 uwfmgr overlay set-criticalthreshold 8192 uwfmgr overlay set-warningthreshold 7168

Si necesita utilizar la superposición de DISK, ejecute el comando:

uwfmgr overlay set-type Disk

El tamaño actual de los datos en la superposición se puede mostrar de la siguiente manera:

uwfmgr overlay get-consumption

Espacio libre restante:

uwfmgr overlay get-availablespace

Servicio de filtro de escritura unificado en Windows 10

Al realizar tareas de mantenimiento del sistema (instalar actualizaciones, actualizar firmas de antivirus), debe poner su dispositivo Windows en un modo de servicio UWF especial:

uwfmgr servicing enable

Después de reiniciar, Windows se iniciará en el local Servicio de UWF cuenta e instale automáticamente las actualizaciones de Windows disponibles (a través de Windows Update o actualizaciones de WSUS aprobadas), actualice las firmas de antivirus. Si lo desea, puede iniciar sesión en la computadora con la cuenta de servicio UWF (la contraseña de este usuario es desconocida, pero puede restablecerla).

Una vez que el usuario de UWF-Servicing inicia sesión automáticamente, el uwfservicingshell.exe se inicia la herramienta, que ejecuta los scripts de servicio de Windows 10. No puede hacer nada más en el modo de servicio.

Una vez instaladas las actualizaciones, la computadora se reiniciará automáticamente en modo normal con el filtro UWF habilitado.

También puede instalar actualizaciones de Windows sin entrar en el modo de mantenimiento. Usa el comando:

uwfmgr servicing update-windows

Unified Write Filter updated Windows result: REBOOT REQUIRED.

Agregar exclusiones de filtros de escritura unificados en Windows 10

Si necesita forzar que un archivo modificado se guarde en el disco mientras el filtro UWF está habilitado, debe ejecutar el comando:

uwfmgr file commit C:LabsMyApp.exe

Ahora el archivo no se eliminará incluso si reinicia Windows.

Para eliminar completamente un archivo con UWF habilitado, use el comando:

uwfmgr file commit-delete C:LabsMyApp.exe

Comandos UWF similares para el registro:

uwfmgr registry commit ... uwfmgr registry commit-delete ...

Puede agregar ciertos archivos, directorios o claves de registro a la lista de exclusiones de UWF. Los cambios que realice en estos elementos se escribirán directamente en el disco y no en la superposición.

Para agregar un archivo o carpeta específicos a las exclusiones, ejecute el siguiente comando:

Uwfmgr.exe file add-exclusion c:labs

Uwfmgr.exe file add-exclusion c:labsreport.docx

Para agregar una exclusión para la clave de registro:

Uwfmgr.exe registry add-exclusion “HKLMSoftwareMy_RegKey”

Debe reiniciar su computadora para aplicar la nueva lista de exclusión.

Para enumerar las exclusiones de un filtro UWF, ejecute el comando:

uwfmgr file get-exclusions

Para eliminar un archivo de las exclusiones:

uwfmgr file remove-exclusion c:studentreport.docx

No puede agregar exclusiones para algunos archivos o carpetas del sistema, como:

Archivos de registro en Windows System32 config ;
Raíz de los volúmenes;
Windows, Windows System32, Windows System32 Drivers;
Pagefile.sys, swapfile.sys;
Etc.

Nota. UWF no se puede utilizar para proteger datos en unidades flash y dispositivos USB externos. Parece que la habilitación del filtro de escritura para los tipos de discos extraíbles no es compatible a nivel de software. Sin embargo, puede evitar esta restricción con el truco del artículo Unidad USB extraíble como disco fijo en Windows.

Para que algunos servicios funcionen correctamente, debe agregar rutas a sus directorios, archivos y claves de registro a la lista de exclusión. He recopilado las exclusiones típicas para algunos subsistemas de Windows a continuación:

Exclusiones para BITS:

% ALLUSERSPROFILE% Microsoft Network Downloader
HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion BITS StateIndex

Exclusiones para el correcto funcionamiento en redes inalámbricas (estas excepciones le permitirán conectarse a redes Wi-Fi y guardar perfiles WLAN):

HKEY_LOCAL_MACHINE SOFTWARE Policies Microsoft Windows Wireless GPTWirelessPolicy
C: Windows wlansvc Políticas
HKEY_LOCAL_MACHINE SOFTWARE Microsoft wlansvc
C: ProgramData Microsoft wlansvc Profiles Interfaces {} {}. Xml
HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet services Wlansvc
HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet services WwanSvc

Exclusiones para el correcto funcionamiento en redes cableadas:

HKEY_LOCAL_MACHINE SOFTWARE Políticas Microsoft Windows WiredL2 GP_Policy
C: Windows dot2svc Políticas
HKEY_LOCAL_MACHINE SOFTWARE Microsoft dot3svc
C: ProgramData Microsoft dot3svc Profiles Interfaces {} {}. Xml
HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet services dot3svc

Exclusiones para Windows Defender

C: Archivos de programa Windows Defender
C: ProgramData Microsoft Windows Defender
C: Windows WindowsUpdate.log
C: Windows Temp MpCmdRun.log
HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows Defender

¿Cómo restablecer o deshabilitar el filtro UWF?

Puede restablecer la configuración del filtro UWF a la inicial (en el momento en que el filtro está activado):

uwfmgr filter reset-settings

Para deshabilitar completamente UWF (después de reiniciar, se guardarán todos los cambios en el disco):

uwfmgr.exe filter disable

O puede deshabilitar el filtro para un volumen específico:

uwfmgr.exe volume unprotect E:

Importante. Si Windows no arranca debido a una configuración incorrecta del filtro UWF, puede deshabilitar el filtro arrancando desde el medio de instalación / arranque y editando el registro sin conexión:

Deshabilite el inicio automático del controlador UWF cambiando el valor de Comienzo parámetro a 4 en la clave de registro HKEY_LOCAL_MACHINE SYSTEM ControlSet001 Services uwfvol;
Borrar el uwfvol cadena en HKEY_LOCAL_MACHINE SYSTEM ControlSet001 Control Class {71a27cdd-812a-11d0-bec7-08002be2092f} Filtros inferiores

UWF con HORM (hibernar una vez / reanudar muchas) en Windows 10

A partir de Windows 10 1709, apareció otro modo de filtro UWF: Hibernar una vez / reanudar muchas (HORM). Este modo le permite obtener rápidamente el estado de Windows con aplicaciones en ejecución y archivos abiertos. Cada vez que se inicia la computadora, Windows vuelve inmediatamente a este estado.

Limitaciones del modo HORM en Windows 10:

El filtro UWF debe estar habilitado para todas las unidades locales (fijas);
No se admiten las excepciones de filtros UWF;
La superposición funciona en modo RAM (no se admite la superposición de disco);
La hibernación y el inicio rápido están deshabilitados.

Para habilitar HORM, debe ejecutar el comando:

uwfmgr filter enable-horm

Unified Write Filter enabled HORM. Please hibernate the system to use HORM functionality. The system must be hibernated at least once after run enable-horm command, or it may bring the system into corrupted state.

Configure el entorno de trabajo del usuario (ejecute las aplicaciones requeridas, abra archivos, etc.). Luego ponga la computadora en modo de hibernación con el comando:

shutdown /h

Despierta tu computadora y reiníciala. En el próximo reinicio, Windows 10 se iniciará inmediatamente en el estado almacenado en el archivo de hibernación.

Para deshabilitar el modo HORM, ejecute el comando:

uwfmgr filter disable-horm

UWF ofrece algunos escenarios interesantes:

Mejora del rendimiento de Windows (no se escribe nada en el disco, todas las operaciones de escritura se realizan en la memoria, como en un disco RAM);
Puede reducir el desgaste de las unidades de estado sólido (SSD / CompactFlash) debido a menos operaciones de escritura;
Experimentar, probar software de terceros y estudiar malware (para estos fines, también puede usar Windows 10 Sandbox).