Unified write filter uwf в windows 10

UWF (Unified Write Filter — объединенный фильтр записи) – это специальный фильтр записи файловой системы в Windows 10, который позволяет защитить системные файлы Windows и данные на диске от любых изменений. При включенном UWF фильтре любые операции записи на защищаемый диск или в системный реестр перехватываются драйвером UWF фильтра и помещаются в отдельное виртуально пространство (оверлей). После перезагрузки Windows все изменения на защищаемых дисках не сохраняются, т.е. Windows всегда возвращается к исходному состоянию на момент включения фильтра UWF.

Как работает фильтр UWF? Он защищает файловую систему выбранных разделов локальных дисков от изменений, прозрачно перенаправляя все операции записи на файловую систему в виртуальный оверлей в памяти, который хранит все изменения.

Примечание. В предыдущих версиях Windows фильтры записи были доступны только в редакциях для встроенных систем (Embedded), которая использовалась в банкоматах, POS-системах, терминалах самообслуживания, промышленных системах и т.д. Теперь этот функционал доступен в редакциях Windows 10 Enterprise (в том числе LTSB/LTSC) и Windows 10 Education, открывая дополнительные сценарии использования Windows на предприятиях и в учебных заведениях (информационные киоски, классы обучения, демонстрационные стенды и т.д.).

Как включить и настроить Unified Write Filter в Windows 10

Фильтр записи UWF представляет собой отдельный компонент Windows и включается через панель управления: Control Panel -> Programs and Features -> Turn Windows Features On or Off -> Device Lockdown -> Unified Write Filter.

Также можно установить компонент UWF с помощью PowerShell:

Enable-WindowsOptionalFeature -Online -FeatureName "Client-UnifiedWriteFilter" –All

Или DISM:

DISM.exe /Online /enable-Feature /FeatureName:client-UnifiedWriteFilter

Для управления настройками UWF используется консольная утилита uwfmgr.exe.

Чтобы включить UWF фильтр в Windows 10, выполните следующую команду и перезагрузите компьютер:

uwfmgr.exe filter enable

При включении фильтра, Windows автоматически перенастраивается так, чтобы исключить лишние операций записи на диск (отключаются файл подкачки, точки восстановления, индексирование файлов, дефрагментация).

Чтобы включить защиту от записи для конкретного диска, выполните команду:

uwfmgr.exe volume protect c:

Теперь нужно перезагрузить компьютер. После его загрузки все, что пользователь запишет на диск за время сессии будет доступно только до момента следующей перезагрузки компьютера. Любые изменения будут сброшены.

Проверить состояние UWF фильтра можно командой:

uwfmgr.exe get-config

В нашем примере видной, что системный диск находится в защищенном состоянии, UWF фильтр включен (Volume state: Protected).

Текущие настройки оверлея, в котором UWF хранит временные данные можно вывести с помощью команды:

uwfmgr overlay get-config

Вы можете настроить следующие параметры:

• Type – тип оверлея. Вы можете хранить данные на диск (DISK) или в оперативной памяти (RAM);
• Maximum size – максимальный размер оверлея;
• Warning Threshold – размер оверлея, при превышении которого нужно вывести предупреждение;
• Critical Threshold – размер оверлея, при превышении которого появится ошибка UWF;
• Freespace Passthrough – используется только для дискового оверлея. Позволяет разрешать писать данные в любое свободное место на диске, а не в выделенный файл.

По умолчанию используется RAM оверлей с размером 1 Гб.

Можно изменить эти настройки (если у вас достаточно свободной RAM):

uwfmgr overlay set-size 8192
uwfmgr overlay set-criticalthreshold 8192
uwfmgr overlay set-warningthreshold 7168

Если нужно использовать оверлей на диске, выполните команду:

uwfmgr overlay set-type Disk

Текущий размер данных в оверлее можно вывести так:

uwfmgr overlay get-consumption

Оставшееся место:

uwfmgr overlay get-availablespace

Обслуживание Windows 10 с включенным фильтром UWF

При выполнении обслуживания системы (установка обновлений, обновление антивирусных сигнатур, копирование новых файлов), нужно перевести компьютер в специальный сервисный режим UWF:

uwfmgr servicing enable

После перезагрузки Windows загрузится под локальной учетной записью UWF-Servicing и автоматически установит доступные обновления Windows (через Windows Update или одобренные обновления WSUS), обновит сигнатуры антивируса. При желании, вы сможете войти на компьютер под учетной записью UWF-Servicing (пароль этого пользователя неизвестен, но можно сменить его).

При автовходе пользователя запускается
uwfservicingshell.exe
и запускает скрипты обслуживания Windows 10. Что-то другое выполнить в сервисном режиме нельзя.

После завершения установки обновлений, компьютер автоматически перезагрузится в нормальном режиме с включенным фильтром UWF.

Вы можете установить обновления Windows и из обычного режима, без перехода в режим Servicing. Воспользуйтесь командой:

uwfmgr servicing update-windows

Unified Write Filter updated Windows result: REBOOT REQUIRED.

Добавление исключений в фильтр записи UWF

Если вам нужно принудительно сохранить на диск некий изменённый файл при включенном фильтре UWF, нужно выполнить команду:

uwfmgr file commit C:DistrTestFile.txt

Теперь файл не исчезнет, даже если вы перезагрузите Windows.

Чтобы удалить файл при включенном UWF, используйте команду:

uwfmgr file commit-delete C:DistrTestFile.txt

Вы можете добавить определенные файлы, каталоги или ветки реестра в исключения фильтра UWF. Любые изменения по таким объектам будут записывать напрямую на диск, а не в оверлей.

Чтобы добавить в исключения конкретный файл или папку, выполните команду:

Uwfmgr.exe file add-exclusion  c:student

Или

Uwfmgr.exe file add-exclusion  c:studentreport.docx

Чтобы разрешить запись изменений в ключ реестра:

Uwfmgr.exe registry add-exclusion “HKLMSoftwareMyRegKey”

Для применения исключений нужно перезагрузить компьютер.

Чтобы вывести список исключений UWF фильтра, выполните команду:

uwfmgr file get-exclusions

Для удаления файла из исключений, выполните команду:

uwfmgr file remove-exclusion c:studentreport.docx

Некоторые системные каталоги и файлы нельзя добавить в исключения, например:

• Файлы реестра в каталоге WindowsSystem32config;
• Корень диска;
• Каталоги Windows, WindowsSystem32, WindowsSystem32Drivers;
• Файлы подкачки
• И т.д.

Примечание. Фильтр UWF нельзя использовать для защиты данных на флешках и внешних USB устройствах. Скорее всего на программном уровне запрещено включение защиты от записи для дисков типа Removable. Впрочем, это ограничение можно обойти с помощью такого трюка.

Для корректной работы некоторых служб необходимо добавить в список исключений фильтра записи пути к их каталогам, файлам и веткам реестра. В следующем списке я собрал типовые исключения для некоторых подсистем Windows:

Исключения для BITS:

• % ALLUSERSPROFILE%MicrosoftNetworkDownloader
• HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionBITSStateIndex

Исключения для корректной работы в беспроводных сетях (данные исключения позволят подключаться к Wi-Fi сетям и сохранять WLAN профили):

• HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWirelessGPTWirelessPolicy
• C:WindowswlansvcPolicies
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftwlansvc
• C:ProgramDataMicrosoftwlansvcProfilesInterfaces{<Interface GUID>}{<Profile GUID>}.xml
• HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesWlansvc
• HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesWwanSvc

Исключения для корректной работы в проводных сетях:

• HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWiredL2GP_Policy
• C:Windowsdot2svcPolicies
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftdot3svc
• C:ProgramDataMicrosoftdot3svcProfilesInterfaces{<Interface GUID>}{<Profile GUID>}.xml
• HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesdot3svc

Исключения для Windows Defender

• C:Program FilesWindows Defender
• C:ProgramDataMicrosoftWindows Defender
• C:WindowsWindowsUpdate.log
• C:WindowsTempMpCmdRun.log
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Defender

Отключение фильтра UWF, сброс настроек

Вы можете сбросить настройки UWF фильтра к начальным (на момент включения фильтра):

uwfmgr filter reset-settings

Чтобы полностью отключить UWF фильтр (после перезагрузки все изменения на диске будут сохраняться):

uwfmgr.exe filter disable

Либо можно отключить защиту фильтра конкретного раздела:

uwfmgr.exe volume unprotect C:

Режим Hibernate Once/Resume Many (HORM) в UWF

Начиная с Windows 10 1709 появился еще один режим работы фильтра UWF – Hibernate Once/Resume Many (HORM). Этот режим позволяет быстро получить состояние Windows с запущенными программами. При каждой загрузке компьютера Windows сразу возвращается к этому состоянию.

Ограничения режима HORM:

• Фильтр UWF должен быть включен для всех локальных дисков;
• Исключения фильтра UWF не поддерживаются
• Оверлей работает в режиме RAM (disk-overlay не поддерживается);
• Режим гибернации и быстрого запуска отключен.

Для включения HORM нужно выполнить команду:

uwfmgr filter enable-horm

Unified Write Filter enabled HORM. Please hibernate the system to use HORM functionality. The system must be hibernated at least once after run enable-horm command, or it may bring the system into corrupted state.

Настройте рабочее окружение пользователя (запустите необходимые приложения, откройте файлы и т.д.). Затем переведите компьютер в режим гибернации командой:

shutdown /h

Разбудите компьютер и перезагрузите его. При следующей перезагрузке Windows 10 сразу запустится в состоянии, хранящемся в файле гибернации.

Для отключения HORM выполните команду:

uwfmgr filter disable-horm

Из интересных сценариев, возможность реализации которых предоставляет фильтр UWF:

1. Ускорение работы Windows (на диск ничего не пишется, а все операции записи на диск производятся в оперативной памяти, а-ля RAM диск);
2. При запуске Windows на твердотельных накопителях (SSD/CompactFlash) можно уменьшить износ ячеек накопителя за счет уменьшения количества операций записи;
3. Проведение различных экспериментов, тестирование стороннего ПО и изучение зловредов (для этих целей также можно использовать режим песочницы Windows).

Защита данных является крайне важной задачей и сегодня речь пойдет о унифицированном фильтре записи (Unified Write Filter, UWF), который позволит защитить ваши данные практически от любых нежелательных изменений.

Принцип работы UWF заключается в том, в том, что он перехватывает все операции записи на файловую систему и в системный реестр и перенаправляет их в изолированное виртуальное пространство (оверлей), в котором они сохраняются до ближайшей перезагрузки. После перезагрузки содержимое оверлея очищается, все произведенные изменения исчезают и система возвращается к исходному состоянию, в котором находилась на момент включения фильтра.

В операционных системах Windows фильтр UWF (или EWF) используется достаточно давно, однако раньше он был доступен только в редакциях Embedded, предназначенных для встроенных систем (банкоматы, POS-терминалы и т.п.). На данный момент фильтр входит в состав операционных систем Windows 10 редакций Enterprise (включая LTSB) и Education.

Установка фильтра

Фильтр UWF устанавливается как дополнительный компонент операционной системы. Установить его можно как из Панели управления, так и с помощью PowerShell.

Для установки из графической оснастки нажимаем Win+R и выполняем команду appwiz.cpl.

В открывшемся окне выбираем «Turn Windows features on or off» и в разделе «Device Lockdown» отмечаем компонент «Unified Write Filter».

Для установки с помощью PowerShell открываем консоль от имени администратора и выполняем команду:

Enable-WindowsOptionalFeature -Online -FeatureName ″Client-UnifiedWriteFilter″ -All

Вне зависимости от выбранного способа после установки необходимо перезагрузить систему.

Включение и настройка фильтра

Для управления UWF предназначена специальная утилита командной строки uwfmgr.exe. Вывести справку по ней можно командой uwfmgr, запущенной без дополнительных параметров. Как видно из справки, все команды сгруппированы по разделам, каждый из которых отвечает за управление частью функционала. Например раздел filter отвечает за глобальные настройки UWF, раздел overlay — за настройки оверлея, и т.д. Впрочем обо всем по порядку.

После установки компонента фильтр не активен, и первым делом его необходимо включить. Делается это следующей командой:

uwfmgr filter enable

Затем необходимо перезагрузить компьютер и фильтр готов к работе.

Нужно знать, что при активации фильтра UWF в системе автоматически производятся определенные действия, направленные на оптимизацию его работы:

• Отключаются файлы подкачки;
• Отключается восстановление системы;
• Отключается служба SuperFetch;
• Отключается служба индексации файлов;
• Отключается режим быстрого запуска (Fast  start-up);
• Останавливается дефрагментация дисков;
• В BCD для настройки bootstatuspolicy устанавливается значение ignoreallfailures, что означает отключение режима автоматического восстановления при перезагрузке.

После включения некоторые настройки можно вернуть обратно, конечно с учетом особенностей UWF. Например можно включить файл подкачки, предварительно перенеся его на незащищенный раздел диска. А вот быстрый запуск UWF не поддерживает и включать его нельзя.

Следующее, что необходимо сделать после включения — это настроить виртуальный оверлей, в котором будет хранить данные фильтр. Вывести текущие настройки оверлея можно командой:

uwfmgr overlay get-config

Настройки следующие:

• Type — тип оверлея. Определяет, где будут храниться данные — в оперативной памяти (RAM) или на диске (DISK);
• Maximum size — максимальный размер оверлея;
• Warning Threshold — объем данных в оверлее, при достижении которого будет выдано предупреждение;
• Critical Threshold — объем данных в оверлее, при достижении которого будет выдано сообщение об ошибке;
• Freespace Passthrough — разрешает писать данные в любое свободное место на диске, не перенаправляя их в специально отведенный для этого файл. Этот параметр используется только при дисковом типе оверлея.

Что интересно, выводится два набора параметров, текущий и тот, который будет применен после перезагрузки.

Приступим к настройке. Тип оверлея по умолчанию RAM, его и оставим. Зададим максимальный размер оверлея в 4Гб:

uwfmgr overlay set-size 4096

Критический размер сделаем таким же:

uwfmgr overlay set-criticalthreshold 4096

а для предупреждения зададим размер в 3Гб:

uwfmgr overlay set-warningthreshold 3072

Теперь можно включать защиту. В качестве объекта защиты нельзя указывать отдельные файлыпапки, только весь диск целиком. Включим защиту для диска С командой:

uwfmgr volume protect C:

После включения защиты перезагружаем компьютер. Затем открываем командную консоль и проверяем состояние защиты выбранного диска:

uwfmgr volume get-config C:

Как видите, состояние диска Protected, т.е. диск C находится под защитой фильтра.

Проверка работы фильтра

Мы произвели базовую настройку UWF, теперь можно протестировать его работу. Для этого создадим самый обычный текстовый файл с именем TestUWF и сохраним его на диске С, в папке Documents.

Проверим, что файл успешно сохранен и перезагрузим компьютер.

После перезагрузки зайдем в папку Documents и убедимся, что файла там нет. Это и есть результат работы фильтра.

Сохранение изменений

Как видно из предыдущего примера, фильтр предотвращает любые изменения на защищаемом диске. Поэтому, если вам необходимо сохранить созданный файл, то изменения можно подтвердить (commit) командой, например:

uwfmgr file commit C:DocumentsTestUWF.txt

После этого систему можно смело перезагружать, файл никуда не денется. Более того, теперь его так просто не удалить, ведь после перезагрузки он опять появится на своем месте. Удаление файла возможно только через UWF, командой:

uwfmgr file commit-delete C:DocumentsTestUWF.txt

Эта команда окончательно удалит файл как с диска, так и из оверлея.

Подобным образом можно сохранить изменения только для одного конкретного файла. Если указать директорию или раздел диска, то  будет выдана ошибка.

То же самое можно сделать и с изменениями в реестре. Например так мы сохраним созданный параметр TestUWF:

uwfmgr registry commit HKLMSOFTWARETestUWF TestUWF

а так удалим его:

uwfmgr registry commit-delete HKLMSOFTWARETestUWF TestUWF

Исключения

Каждый раз подтверждать изменения довольно утомительно, кроме того можно забыть это сделать и потерять результаты своей работы. На этот случай фильтр предоставляет возможность вывести отдельные файлы и папки из под защиты, добавив их в исключения (exclusions). Однако здесь есть ограничения, так в исключения нельзя добавлять следующие системные объекты:

• Windows;
• WindowsSystem32;
• WindowsSystem32Drivers;
• WindowsSystem32configDEFAULT;
• WindowsSystem32configSAM;
• WindowsSystem32configSECURITY;
• WindowsSystem32configSOFTWARE;
• WindowsSystem32configSYSTEM;
• Users<UserName>NTUSER.DAT;
• Корень диска (напр. C: или D:);
• Файлы подкачки (pagefile.sys).

Все остальное можно добавить в исключения. Для примера добавим в исключения фильтра папку C:UWF_Exclusion командой:

uwfmgr file add-exclusion C:UWF_Exclusion

Проверить текущие исключения фильтра можно такой командой:

uwfmgr file get-exclusions

Удалить исключения можно такой командой:

uwfmgr file remove-exclusion C:UWF_Exclusion

Примечание. Обратите внимание, что для применения изменений в настройках фильтра практически всегда требуется рестарт.

В исключения можно добавлять и содержимое реестра, но не все, а только находящиеся в следующих разделах:

• HKEY_LOCAL_MACHINEBCD
• HKEY_LOCAL_MACHINESYSTEM
• HKEY_LOCAL_MACHINESOFTWARE
• HKEY_LOCAL_MACHINESAM
• HKEY_LOCAL_MACHINESECURITY
• HKEY_LOCAL_MACHINECOMPONENTS

Для примера попробуем добавить в исключения раздел реестра HKCUSystemCurrentControlSetPolicies:

uwfmgr registry add-exclusion HKCUSystemCurrentControlSetPolicies

И получим ошибку. А вот раздел HKLMSystemCurrentControlSetPolicies добавится без проблем, поскольку он находится в нужном месте.

Просмотр исключений реестра производится командой:

uwfmgr registry get-exclusions

Ну а для удаления исключений воспользуемся такой командой:

uwfmgr registry remove-exclusion HKLMSystemCurrentControlSetPolicies

Стандартные исключения

Существуют стандартные, рекомендуемые Microsoft наборы исключений фильтра, необходимые для работы важных (или не очень) компонентов системы.

Windows Defender

• C:Program FilesWindows Defender;
• C:ProgramDataMicrosoftWindows Defender;
• C:WindowsWindowsUpdate.log;
• C:WindowsTempMpCmdRun.log;
• HKLMSOFTWAREMicrosoftWindows Defender;

Background Intelligent Transfer Service (BITS)

• % ALLUSERSPROFILE%MicrosoftNetworkDownloader;
• HKLMSOFTWAREMicrosoftWindowsCurrentVersionBITSStateIndex;

Сеть

Для возможности корректного добавления компьютера в проводные и беспроводные сети также необходимо добавить исключения.

Для беспроводных сетей:

• HKLMSOFTWAREPoliciesMicrosoftWindowsWirelessGPTWirelessPolicy;
• C:WindowswlansvcPolicies;
• HKLMSOFTWAREMicrosoftwlansvc;
• C:ProgramDataMicrosoftwlansvcProfilesInterfaces{<Interface GUID>}{<Profile GUID>}.xml;
• HKLMSYSTEMCurrentControlSetservicesWlansvc;
• HKLMSYSTEMCurrentControlSetservicesWwanSvc.

Для проводных сетей:

• HKLMSOFTWAREPoliciesMicrosoftWindowsWiredL2GP_Policy;
• C:Windowsdot2svcPolicies;
• HKLMSOFTWAREMicrosoftdot3svc;
• C:ProgramDataMicrosoftdot3svcProfilesInterfaces{<Interface GUID>}{<Profile GUID>}.xml;
• HKLMSYSTEMCurrentControlSetservicesdot3svc.

Daylight saving time (DST)

DST — механизм автоматического переключения на летнеезимнее время. В России на данный момент неактуален, но на всякий случай.

• HKLMSOFTWAREMicrosoftWindows NTCurrentVersionTime Zones;
• HKLMSYSTEMCurrentControlSetControlTimeZoneInformation.

Customer Experience Improvement Program (CEIP)

CEIP — программа улучшения качества обслуживания. Если вы вдруг случайно 🙂 согласились на участие в ней при установке системы, то потребуется внести следующие исключения:

• HKLMSOFTWAREPoliciesMicrosoftSQMClientWindowsCEIPEnable;
• HKLMSOFTWAREMicrosoftSQMClientWindowsCEIPEnable;
• HKLMSOFTWAREMicrosoftSQMClientUploadDisableFlag.

Кроме того, необходимо найти все папки, содержащие файлы с расширением .sqm, и также добавить их в исключения.

Примечание. Все настройки UWF также хранятся в реестре. Настройки автоматически добавляются в исключения фильтра и не отображаются в текущих исключениях.

Сервисный режим и обновление

Поскольку фильтр предотвращает внесение любых изменений, то установка обновлений становится весьма затруднительной. Поэтому для обновления операционной системы у UWF имеется специальный сервисный режим, для включения которого надо выполнить команду:

uwfmgr servicing enable

и перезагрузить систему.

При загрузке в сервисном режиме запускаются специальные скрипты обслуживания и начинается установка обновлений. Никакого дополнительного вмешательства не требуется, надо только дождаться окончания установки.

Что интересно, для загрузки в сервисном режиме создается специальный пользователь UWF-Servicing, под которым и производится установка обновлений. Пароль этого пользователя неизвестен и зайти под ним просто так нельзя,

но можно зайти под другим пользователем с административными правами и сбросить его пароль.

Впрочем, делать это стоит разве что из любопытства, поскольку никаких действий в сервисном режиме производить нельзя. Единственное, что вы увидите, войдя под этим пользователем — это процесс выполнения сервисных скриптов.

По окончании установки обновлений система автоматически перезагрузится и выйдет из сервисного режима. Убедиться в этом можно командой:

uwfmgr servicing get-config

Обновления можно установить и без перехода в сервисный режим. Для этого надо выполнить команду:

uwfmgr servicing update-windows

В таком варианте надо только дождаться завершения команды и вручную перезагрузить компьютер.

Примечание. Честно говоря, большой разницы между сервисным режимом и установкой обновлений в текущей сессии я не нашел. Вроде как и там и там запускается один и тот же скрипт. Хотя в документации Microsoft рекомендуется для обновления по возможности использовать сервисный режим.

Отключение  фильтра

При необходимости фильтр можно отключить, частично или полностью. К примеру для остановки защиты диска C выполним команду:

uwfmgr volume unprotect C:

А полностью отключить фильтр можно такой командой:

uwfmgr filter disable

Также отключить UWF можно через реестр. Для этого надо:

•  В разделе  HKLMSYSTEMControlSet001Servicesuwfvol изменить значение параметра start на 4 ;
• В разделе HKLMSYSTEMControlSet001ControlClass{71a27cdd-812a-11d0-bec7-08002be2092f}Lower Filters удалить значение параметра uwfwol.

Такой способ может помочь в том случае, если система неработоспособна в результате работы фильтра.

Сброс настроек

Иногда может потребоваться вернуть настройки фильтра к первоначальным, которые были на момент включения. Произвести сброс настроек можно командой:

uwfmgr filter reset-settings

Мониторинг

При использовании фильтра крайне важно помнить, что оверлей имеет ограниченный размер и при его превышении вас ждут неприятности. К примеру, если попытаться скопировать на защищенный диск файл, объемом превышающий размер оверлея, то по мере его заполнения процесс копирования остановится а система просто наглухо зависнет и перестанет отвечать на любые действия.

Для проверки оставшегося в оверлее места служит такая команда:

uwfmgr overlay get-availablespace

А вывести текущий объем данных в оверлее можно так:

uwfmgr overlay get-consumption

Также при настройке оверлея мы указываем параметры Warning Threshold и Critical Threshold, которые определяют уровень заполнения оверлея. Соответственно при достижении этих значений в системный журнал записывается соответствующее событие.

Обратите внимание, что кроме записи в журнал никаких сообщений или оповещений не выдается, поэтому о переполнении оверлея можно догадаться только по зависанию системы. Если вы хотите этого избежать, то придется придумывать какой либо механизм для проверки заполнения оверлея и выдачи предупреждений, поскольку штатных средств не предусмотрено.

Режим HORM

Расшифровывается HORM как Hibernate Once/Resume Many и является достаточно новой фичей, которая появилась в Windows 10 версии 1709. Суть HORM заключается в том, что с его помощью можно сохранить определенное состояние системы, включая запущенные программы, открытые файлы и т.п., и затем при перезагрузке каждый раз возвращаться к этому состоянию.

HORM имеет достаточно много ограничений:

• При использовании HORM все фиксированные диски должны быть защищены фильтром;
• Не допускается использование исключений для файлов, папок или разделов реестра;
• Оверлей должен работать только в режиме RAM, поскольку HORM не поддерживает работу с дисковым оверлеем.

Также необходимо отключить все функции, способные изменить файл гибернации, такие как гибридный спящий режим и режим быстрого запуска. Это необходимо для того, чтобы сохраненное в файле гибернации состояние оставалось неизменным.

Перед включением HORM необходимо убедится в том, что режим гибернации включен, после чего активировать режим командой:

uwfmgr filter enable-horm

После включения HORM надо создать привычную рабочую среду, после чего отправить компьютер в гибернацию, для создания исходного файла. Затем надо вывести компьютер из гибернации и перезагрузить его, и после перезагрузки вы получите свою рабочую среду, сохраненную фильтром.

Еще одним важным моментом является то, что при включенном режиме HORM нельзя изменять настройки фильтра или отключать его. Если необходимо произвести какие либо действия с UWF, то сначала необходимо отключить HORM:

uwfmgr filter disable-horm

Примечание. Более подробно об использовании HORM можно узнать здесь.

Заключение

В заключение попробуем подвести итог, выделить плюсы и минусы использования UWF. К плюсам можно отнести:

+ Практически абсолютная защита системы от любого вида вредоносных воздействий. С системой можно производить любые эксперименты, ведь все изменения бесследно исчезнут после перезагрузки;
+ Ускорение работы системы при использовании RAM оверлея. Все дисковые операции производятся в оперативной памяти, что существенно ускорит работу.

Но есть и существенные минусы:

— Основной минус — это невозможность полноценной работы. Конечно, можно каждый раз подтверждать изменения или использовать исключения, но это достаточно неудобно. А установка какого либо ПО при работающем фильтре становится неразрешимой задачей;
— При использовании RAM оверлея необходимо иметь достаточное количество оперативной памяти. Также требуется самостоятельно отслеживать заполнение оверлея;
— Требуется тщательная настройка системы, отключение компонентов, использующих временные файлы.
— Функционал доступен только в старших редакциях Windows 10.

Вот как то так. Дополнительную информацию о UWF можно найти здесь: https://docs.microsoft.com/en-us/windows-hardware/customize/enterprise/unified-write-filte 

Опытные пользователи наверняка знакомы с программами, позволяющими как бы замораживать Windows, перенаправляя запись операций в оперативную память. Благодаря этим программам при следующей перезагрузке все изменения в файловой системе сбрасываются, и Windows возвращается в исходное состояние. Но мало кто знает, что операционная система Windows 8.1 и 10 обладает собственной функцией «заморозки», по умолчанию отключённой.

Называется она Unified Write Filter или Фильтр записей, сокращённо UWF. Если фильтр включён, все записи, производимые в ходе операций с файлами и папками, будут записываться не на физический диск, а в особую область оперативной памяти. То есть, если вы перезагрузите компьютер, все произведённые вами или программным обеспечением изменения в файловой системе будут отменены. Функция доступна не во всех редакциях Windows, а лишь в Education, Enterprise и LTSB, а также встроенных системах (Embedded), используемых в терминалах, банкоматах и других подобных устройствах.

Сразу нужно отметить, что UWF не идеален, поэтому мы бы не советовали использовать его на практике. Если вы всё же решите им воспользоваться, необходимо будет внести в его работу определённые изменения. В Windows фильтр записи представлен отдельным компонентом в Панели управления (апплет «Программы и компоненты»). Чтобы его активировать, откройте окошко включения и отключения компонентов Windows, найдите и разверните элемент «Блокировка устройства» и установите галочку в пункте «Объединённый фильтр записи».

Сохраните настройки, нажав «OK» и перезагрузите компьютер.

Включить фильтр можно также с помощью PowerShell или консольной утилиты Dism, выполнив в запущенной с повышенными привилегиями консоли CMD команду:

DISM.exe /Online /enable-Feature /FeatureName:client-UnifiedWriteFilter

Управление установленным компонентом производится с помощью командной строки, а именно встроенной утилиты uwfmgr.exe. Включается фильтр записей командой uwfmgr.exe filter enable, отключается командой uwfmgr.exe filter disable.

Защита вступает в силу после перезагрузки компьютера. В состоянии защиты будут отключены файл подкачки, автоматическая дефрагментация, индексирование и создание системных точек восстановления. Помимо включения самого фильтра, нужно указать защищаемый том, например, системный раздел C.

uwfmgr.exe volume protect C:

Исключение составляют внешние накопители (USB-диски), по всей видимости, защита для них отключена на программном уровне, хотя её можно и обойти. Как проверить, включена ли защита? Командой uwfmgr.exe get-config.

При этом в консоли будет выведен список параметров фильтра для каждого контролируемого компонента. После этого вы можете выполнять в системе различные действия: устанавливать и удалять программы, тестировать твики реестра и т.п. Как только вы перезагрузитесь, Windows будет возвращена в состояние, в котором она находилась в момент включения UWF.

А теперь внимание. При использовании фильтр записей некоторые службы могут начать работать некорректно. Чтобы этого избежать, их нужно будет добавить в список исключений. Список исключаемых подсистем вы можете скачать по ссылке yadi.sk/i/0-X7WdAh3NX5GL. Чтобы добавить в исключения папку/файл или ключ реестра, необходимо выполнить такие команды:

Uwfmgr.exe file add-exclusion C:Путь_к_папкефайлу
Uwfmgr.exe registry add-exclusion «ключ_реестра»

Изменения вступают в силу после перезагрузки. Для этого правила действуют свои исключения. Так, вы не можете отключить защиту UWF для системных каталогов Windows и важных ключей реестра (см. Скриншот «ошибка отказано в доступе»). При отключении UWF командой uwfmgr.exe filter disable все правила будут удалены. Защиту также можно отключить для конкретного раздела, например, фильтр записей для диска C отключается командой uwfmgr.exe volume unprotect C:.

При работе с Unified Write Filter у вас может возникнуть необходимость временно отключить защиту, например, для установки обновлений системы или антивируса. В этом случае полное отключения фильтра необязательно, вместо этого его можно перевести в сервисный режим, выполнив команду Uwfmgr.exe servicing enable.

После перезагрузки вы можете устанавливать обновления. Повторная автоматическая перезагрузка восстановит обычный режим UWF.

И последнее.

Использовать фильтр записей в Windows мы не советовали по той причине, что он может работать некорректно. Если вдруг после включения UWF у вас перестала загружаться система, необходимо будет загрузиться с установочного диска Windows и, получив доступ к реестру, отредактировать эти два ключа:

HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesuwfvol
HKEY_LOCAL_MACHINESYSTEMControlSet001ControlClass{71a27cdd-812a-11d0-bec7-08002be2092f}Lower Filters

В первом ключе нужно изменить значение параметра start на 4, во втором удалить строку uwfvol. Также можно попробовать прибегнуть к откату с помощью системных точек восстановления.

• Partition Wizard

• Partition Manager

• What Is Unified Write Filter & How to Use it on Windows 10

By Ariel | Follow |
Last Updated January 13, 2022

A great number of users are confused about the Unified Write Filter feature, but most of them don’t know how to use it on Windows 10. In this post, MiniTool explains its definition and provides an installation and use guide of the UWF feature.

What Is Unified Write Filter

Unified Write Filter (UWF) is a practical file system write filter that’s used to protect your system and user files on the local drive from any changes. It can protect your selected drive by redirecting and intercepting any writes to the drive (settings changes, saved data, and app installation) to a virtual overlay.

This UWF Windows feature brings many benefits for users:

• Protect most supported writable storage devices, including physical HDDs, SSDs, internal USB drives, and external SATA devices.
• Use the UWF Windows feature to make the read-only storage media show as a writable volume.
• Provide a clean experience for workplaces that have frequent accesses, like schools. This is because the virtual overlay created by UWF is usually cleared during a reboot or when a guest user logs off.
• Supports paging to increase virtual memory if the page file exists on the unprotected volume.
• Improve security and reliability for kiosks and loT-embedded devices in which new apps are not expected to be installed frequently.
• Reduce wear on some write-sensitive storage devices like Solid-State drives.

Of course, this feature also has some limitations. It is an optional Windows 10 feature that can only be used on Windows 10 Enterprise, Windows 10 IoT Enterprise, and Windows 10 IoT Core. In addition, it’s not fully supported except for the FAT and NTFS file systems. For example, you cannot create file exclusions on an exFAT volume. To know more features of the UWF Windows feature, you can click here.

What is UWF? Now, I believe that you have already known the answer. Let’s see how to install and use it on Windows 10.

How to Install Unified Write Filter

Since Unified Write Filter is an optional feature, you need to install it before you use it. The most common way is to install UWF on a customized Windows image. To do so, follow the steps below.

Step 1. Type cmd in the search box, and then right-click the Command Prompt from the top result and select Run as administrator. Click on Yes in the UAC window to grant the admin right for Command Prompt.

Step 2. Press Win + E keys to open the File Explorer, and then copy and paste the install.wim file to a temporary folder on your hard drive, and rename it to C:wim.

Step 3. Create a new directory: md c:wim.

Step 4. In the elevated Command Prompt window, type the following command and hit Enter to mount the image.

dism /mount-wim /wimfile:c:bootmediasourcesinstall.wim /index:1 /MountDir:c:wim

Step 5. Then you can continue to enable Unified Write Filter using CMD or using the following method we will explain. To do so, run the following commands in order.

• dism /image:c:wim /enable-feature /featureName:Client-UnifiedWriteFilter
• dism /unmount-wim /MountDir:c:wim /Commit

Step 6. To activate UWF, you can run the following commands. (Here we take the C drive for example)

• uwfmgr filter enable
• exe volume protect C:

How to Use Unified Write Filter

Before you enable and use the UWF feature on Windows, we want you to know some changes that UWF will make to your system. For that:

• Disable SuperFetch
• Disable system restore
• Disable Paging files
• Disable fast startup
• Turn off file indexing service
• Turn off the Defragmentation service

How to Turn on Unified Write Filter

How to turn on Unified Write Filter? Now, follow the steps below to enable it.

Step 1. Click Start, type Turn Windows features in the Search box and select Turn Windows features on or off from the top result.

Step 2. In the Windows Features window, expand the Device Lockdown category and tick the checkbox next to Unified Write Filter.

Tip: You can turn off the feature by unchecking the Unified Write Filter box in the same location, Alternatively, you can run uwfmgr filter disable in the elevated Command Prompt window and restart your computer to execute the change.

Step 3. Click on OK to save the change and close the window.

How to Use UWF for a Drive on Windows 10

Once you enable the feature on Windows, you can use it to protect your drive or do other something based on your needs.

Step 1. Open the elevated Command Prompt window just like Step 1 in the UWF installation part.

Step 2. Copy and paste the following command in the CMD window and hit Enter to enable write protection for the drive. Here you can replace the C: with the drive you want to protect.

uwfmgr.exe volume protect C:

Step 3. Restart your computer and everything you write to the disk during the session will be available only till the next startup.

Step 4. You can check if the UWF is enabled for your drive by running the command below:

uwfmgr.exe get-config

Further reading: If you want to see the current overlay settings where UWF stores temporary data, run this command: uwfmgr overlay get-config. If you want to use Disk overlay, run this command: uwfmgr overlay set-type Disk.

About The Author

Position: Columnist

Ariel is an enthusiastic IT columnist focusing on partition management, data recovery, and Windows issues. She has helped users fix various problems like PS4 corrupted disk, unexpected store exception error, the green screen of death error, etc. If you are searching for methods to optimize your storage device and restore lost data from different storage devices, then Ariel can provide reliable solutions for these issues. 

• Partition Wizard

• Partition Manager

• What Is Unified Write Filter & How to Use it on Windows 10

By Ariel | Follow |
Last Updated January 13, 2022

A great number of users are confused about the Unified Write Filter feature, but most of them don’t know how to use it on Windows 10. In this post, MiniTool explains its definition and provides an installation and use guide of the UWF feature.

What Is Unified Write Filter

Unified Write Filter (UWF) is a practical file system write filter that’s used to protect your system and user files on the local drive from any changes. It can protect your selected drive by redirecting and intercepting any writes to the drive (settings changes, saved data, and app installation) to a virtual overlay.

This UWF Windows feature brings many benefits for users:

• Protect most supported writable storage devices, including physical HDDs, SSDs, internal USB drives, and external SATA devices.
• Use the UWF Windows feature to make the read-only storage media show as a writable volume.
• Provide a clean experience for workplaces that have frequent accesses, like schools. This is because the virtual overlay created by UWF is usually cleared during a reboot or when a guest user logs off.
• Supports paging to increase virtual memory if the page file exists on the unprotected volume.
• Improve security and reliability for kiosks and loT-embedded devices in which new apps are not expected to be installed frequently.
• Reduce wear on some write-sensitive storage devices like Solid-State drives.

Of course, this feature also has some limitations. It is an optional Windows 10 feature that can only be used on Windows 10 Enterprise, Windows 10 IoT Enterprise, and Windows 10 IoT Core. In addition, it’s not fully supported except for the FAT and NTFS file systems. For example, you cannot create file exclusions on an exFAT volume. To know more features of the UWF Windows feature, you can click here.

What is UWF? Now, I believe that you have already known the answer. Let’s see how to install and use it on Windows 10.

How to Install Unified Write Filter

Since Unified Write Filter is an optional feature, you need to install it before you use it. The most common way is to install UWF on a customized Windows image. To do so, follow the steps below.

Step 1. Type cmd in the search box, and then right-click the Command Prompt from the top result and select Run as administrator. Click on Yes in the UAC window to grant the admin right for Command Prompt.

Step 2. Press Win + E keys to open the File Explorer, and then copy and paste the install.wim file to a temporary folder on your hard drive, and rename it to C:wim.

Step 3. Create a new directory: md c:wim.

Step 4. In the elevated Command Prompt window, type the following command and hit Enter to mount the image.

dism /mount-wim /wimfile:c:bootmediasourcesinstall.wim /index:1 /MountDir:c:wim

Step 5. Then you can continue to enable Unified Write Filter using CMD or using the following method we will explain. To do so, run the following commands in order.

• dism /image:c:wim /enable-feature /featureName:Client-UnifiedWriteFilter
• dism /unmount-wim /MountDir:c:wim /Commit

Step 6. To activate UWF, you can run the following commands. (Here we take the C drive for example)

• uwfmgr filter enable
• exe volume protect C:

How to Use Unified Write Filter

Before you enable and use the UWF feature on Windows, we want you to know some changes that UWF will make to your system. For that:

• Disable SuperFetch
• Disable system restore
• Disable Paging files
• Disable fast startup
• Turn off file indexing service
• Turn off the Defragmentation service

How to Turn on Unified Write Filter

How to turn on Unified Write Filter? Now, follow the steps below to enable it.

Step 1. Click Start, type Turn Windows features in the Search box and select Turn Windows features on or off from the top result.

Step 2. In the Windows Features window, expand the Device Lockdown category and tick the checkbox next to Unified Write Filter.

Tip: You can turn off the feature by unchecking the Unified Write Filter box in the same location, Alternatively, you can run uwfmgr filter disable in the elevated Command Prompt window and restart your computer to execute the change.

Step 3. Click on OK to save the change and close the window.

How to Use UWF for a Drive on Windows 10

Once you enable the feature on Windows, you can use it to protect your drive or do other something based on your needs.

Step 1. Open the elevated Command Prompt window just like Step 1 in the UWF installation part.

Step 2. Copy and paste the following command in the CMD window and hit Enter to enable write protection for the drive. Here you can replace the C: with the drive you want to protect.

uwfmgr.exe volume protect C:

Step 3. Restart your computer and everything you write to the disk during the session will be available only till the next startup.

Step 4. You can check if the UWF is enabled for your drive by running the command below:

uwfmgr.exe get-config

Further reading: If you want to see the current overlay settings where UWF stores temporary data, run this command: uwfmgr overlay get-config. If you want to use Disk overlay, run this command: uwfmgr overlay set-type Disk.

About The Author

Position: Columnist

Ariel is an enthusiastic IT columnist focusing on partition management, data recovery, and Windows issues. She has helped users fix various problems like PS4 corrupted disk, unexpected store exception error, the green screen of death error, etc. If you are searching for methods to optimize your storage device and restore lost data from different storage devices, then Ariel can provide reliable solutions for these issues. 

UWF (Unified Write Filter) is a special file system write filter in Windows 10 that allows you to protect Windows system and user files on the local drive from any changes. When the UWF filter is enabled, any write operations to a protected disk or to the system registry are intercepted by the UWF filter driver and placed in a separate virtual space (overlay). After restarting Windows, all changes on protected drives are not saved, i.e. Windows always reverts to its original state when the UWF filter was enabled.

How does a UWF filter work? It protects the file system of the selected partitions on the local disks from changes by transparently redirecting all file system write operations into virtual overlay where all changes are stored.

Note. In previous Windows versions, write filters were available only in the Embedded editions, that were used in ATMs, POS systems, kiosks, self-service terminals, industrial systems, etc. Now this feature is available in Windows 10 Enterprise (including LTSB/LTSC) and Windows 10 Education. This opens up additional scenarios for using Windows in enterprises and educational institutions (information kiosks, study rooms, demo stands, etc.). 

How to Enable and Configure Unified Write Filter on Windows 10?

The UWF filter is a separate Windows feature that is enabled through the Control Panel -> Programs and Features -> Turn Windows Features On or Off -> Device Lockdown -> Unified Write Filter.

The UWF feature can also be installed using PowerShell:

Enable-WindowsOptionalFeature -Online -FeatureName "Client-UnifiedWriteFilter" –All

Or DISM:

DISM.exe /Online /enable-Feature /FeatureName:client-UnifiedWriteFilter

The uwfmgr.exe console tool is used to manage UWF settings.

To enable UWF filter on Windows 10, run the following command and restart your computer:

uwfmgr.exe filter enable

After enabling the UWF filter, it automatically reconfigures the system to exclude unnecessary disk write operations (paging file, restore points, file indexing, defragmenting are disabled).

To enable write protection for a specific drive, run this command:

uwfmgr.exe volume protect c:

Now restart your computer. After the restart, everything that a user writes on the disk during the session will be available only till the next computer reboot. Any changes will be discarded.

You can check the UWF status using this command:

uwfmgr.exe get-config

In this example you can see that the system disk is protected, the UWF filter is enabled (Volume state: Protected).

The current overlay settings in which the UWF stores temporary data can be displayed using the command:

uwfmgr overlay get-config

You can configure the following UWF overlay parameters:

• Type – overlay type. You can store data on disk (DISK) or in RAM;
• Maximum size – the maximum overlay size;
• Warning Threshold – overlay size, if exceeded, a warning should be displayed;
• Critical Threshold – the size of the overlay, if exceeded, a UWF error will appear;
• Freespace Passthrough – used only for disk overlay mode. Allows you to write data to any free space on the disk, and not to a special file.

The default is a 1 GB RAM overlay.

You can change overlay settings (if you have enough free RAM):

uwfmgr overlay set-size 8192
uwfmgr overlay set-criticalthreshold 8192
uwfmgr overlay set-warningthreshold 7168

If you need to use DISK overlay, run the command:

uwfmgr overlay set-type Disk

The current size of the data in the overlay can be displayed as follows:

uwfmgr overlay get-consumption

Remaining free space:

uwfmgr overlay get-availablespace

Unified Write Filter Servicing on Windows 10

When performing system maintenance tasks (installing updates, updating antivirus signatures), you need to put your Windows device into a special UWF servicing mode:

uwfmgr servicing enable

After restarting, Windows will boot under the local UWF-Servicing account and automatically install available Windows updates (via Windows Update or approved WSUS updates), update antivirus signatures. If you wish, you can log on to the computer under the UWF-Servicing account (the password for this user is unknown, but you can reset it).

After the UWF-Servicing user is automatically logged on, the uwfservicingshell.exe tool starts, which runs the Windows 10 servicing scripts. You cannot do anything else in service mode.

After the updates are installed, the computer will automatically restart in normal mode with the UWF filter enabled.

You can also install Windows updates without going into Servicing mode. Use the command:

uwfmgr servicing update-windows

Unified Write Filter updated Windows result: REBOOT REQUIRED.

Adding Unified Write Filter Exclusions on Windows 10

If you need to force a modified file to be saved to disk while the UWF filter is enabled, you need to run the command:

uwfmgr file commit C:LabsMyApp.exe

Now the file won’t be deleted even if you restart Windows.

To completely remove a file with UWF enabled, use the command:

uwfmgr file commit-delete C:LabsMyApp.exe

You can add certain files, directories or registry keys to the list of UWF exclusions. The changes you make to these items will be written directly to the disk, and not to the overlay.

To add a specific file or folder to exclusions, run the following command:

Uwfmgr.exe file add-exclusion c:labs

Or:

Uwfmgr.exe file add-exclusion c:labsreport.docx

To add an exclusion for the registry key:

Uwfmgr.exe registry add-exclusion “HKLMSoftwareMy_RegKey”

You must restart your computer to apply new exclusion list.

To list the exclusions of a UWF filter, run the command:

uwfmgr file get-exclusions

To remove a file from exclusions:

uwfmgr file remove-exclusion c:studentreport.docx

You cannot add exclusions for some system files or folders, like:

• Registry files in WindowsSystem32config;
• Root of the volumes;
• Windows, WindowsSystem32, WindowsSystem32Drivers;
• Pagefile.sys, swapfile.sys;
• Etc.

Note. UWF cannot be used to protect data on flash drives and external USB devices. It seems enabling write filter for Removable disk types is not supported at the software level. However, you can bypass this restriction with the trick from article Removable USB drive as fixed disk in Windows.  

To make some services work correctly, you have to add paths to their directories, files and registry keys to the exclusion list. I’ve collected typical exclusions for some Windows subsystems below:

Exclusions for BITS:

• % ALLUSERSPROFILE%MicrosoftNetworkDownloader
• HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionBITSStateIndex

Exclusions for the correct work in wireless networks (these exceptions will allow you to connect to Wi-Fi networks and save WLAN profiles):

• HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWirelessGPTWirelessPolicy
• C:WindowswlansvcPolicies
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftwlansvc
• C:ProgramDataMicrosoftwlansvcProfilesInterfaces{<Interface GUID>}{<Profile GUID>}.xml
• HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesWlansvc
• HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesWwanSvc

Exclusions for the correct work in wired networks:

• HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWiredL2GP_Policy
• C:Windowsdot2svcPolicies
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftdot3svc
• C:ProgramDataMicrosoftdot3svcProfilesInterfaces{<Interface GUID>}{<Profile GUID>}.xml
• HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesdot3svc

Exclusions for Windows Defender

• C:Program FilesWindows Defender
• C:ProgramDataMicrosoftWindows Defender
• C:WindowsWindowsUpdate.log
• C:WindowsTempMpCmdRun.log
• HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Defender

How to Reset or Disable UWF Filter?

You can reset the UWF filter settings to the initial ones (at the moment the filter is turned on):

uwfmgr filter reset-settings

To completely disable UWF (after a reboot, all changes on the disk will be saved):

uwfmgr.exe filter disable

Or you can disable the filter for a specific volume:

uwfmgr.exe volume unprotect E:

UWF with HORM (Hibernate Once/Resume Many) on Windows 10

Starting with Windows 10 1709, another UWF filter mode appeared – Hibernate Once/Resume Many (HORM). This mode allows you to quickly get the state of Windows with running apps and open files. Every time the computer boots up, Windows immediately returns to this state.

Limitations of HORM Mode on Windows 10:

• UWF filter must be enabled for all local (fixed) drives;
• UWF filter exceptions are not supported;
• Overlay works in RAM mode (disk-overlay is not supported);
• Hibernation and Fast Startup are disabled.

To enable HORM, you need to run the command:

uwfmgr filter enable-horm

Unified Write Filter enabled HORM. Please hibernate the system to use HORM functionality. The system must be hibernated at least once after run enable-horm command, or it may bring the system into corrupted state.

Configure the user’s working environment (run the required applications, open files, etc.). Then put the computer into hibernation mode with the command:

shutdown /h

Wake up your computer and restart it. On the next reboot, Windows 10 will immediately start in the state stored in the hibernation file.

To disable HORM mode, run the command:

uwfmgr filter disable-horm

UWF offers some interesting scenarios:

1. Improving Windows performance  (nothing is written on the disk, all write operations are performed in the memory, like on a RAM disk);
2. You can reduce wear on solid-state drives (SSD/CompactFlash) due to less write operations;
3. Experimenting, testing of third-party software and studying malware (for these purposes, you can also use the Windows 10 Sandbox).

title	ms.date	ms.topic	ms.prod	ms.technology	description	keywords
Using the Unified Write Filter	08/28/2017	article	windows-iot	iot	Learn how to use the Unified Write Filter to protect physical storage media from data writes.	windows iot, Unified Write Filter, security, memory, storage media

Using the Unified Write Filter (UWF) on Windows 10 IoT Core

The Unified Write Filter (UWF) is a feature that protects physical storage media from data writes. UWF intercepts all write attempts to a protected volume and redirects those write attempts to a virtual overlay. This improves the reliability and stability of your device and reduces the wear on write-sensitive media, such as flash memory media like solid-state drives.

Read our documentation on the Unified Write Filter for more information.

How to Install UWF on a device running Windows 10 IoT Core

• If you do not have the current version of the Windows 10 IoT Core Kits yet, download and install the Windows 10 IoT Core Packages.

• Based on your device architecture, copy UWF packages ( Microsoft-IoTUAP-UnifiedWriteFilter-Package.cab and Microsoft-IoTUAP-UnifiedWriteFilter-Package_Lang_en-us.cab ) from your PC (C:Program Files (x86)Windows Kits10MSPackagesRetail<arch>fre) to the device (for example, with Windows file sharing).

• Launch SSH or PowerShell and access your device running Windows 10 IoT Core.

• From SSH or PowerShell, do the following:

  • change to the directory where you have copied your files
    • cd C:<dir>
  • Run these commands to install the packages to your IoT device system image:
    • applyupdate –stage .Microsoft-IoTUAP-UnifiedWriteFilter-Package.cab
    • applyupdate –stage .Microsoft-IoTUAP-UnifiedWriteFilter-Package_Lang_en-us.cab
    • applyupdate –commit

• The device will boot to the Update OS, install UWF features, and reboot to the MainOS.

• Once the device comes back to the MainOS, the UWF feature is ready and available to use. This can be verified by typing uwfmgr.exe into your PowerShell or SSH window.

  

How to include UWF in Your Custom FFU

• Add IOT_UNIFIED_WRITE_FILTER feature ID to the OEM Input file
• Create the imageFFU. Read Create a basic image for instructions.

How to Use UWF

UWF can be configured using the uwfmgr.exe tool via a PowerShell or SSH session.
Read uwfmgr.exe tool for the available options with an exception of some commands listed below that are not supported in IoT Core.
Review the default settings of the Overlay configurations and adapt them per your requirements.

UWF can also be configured via MDM channel using Unified Write Filter CSP.

• For example, the following combinations of commands enable uwfmgr and configure to protect the C drive

  uwfmgr.exe filter enable Enables the write filter
  
  uwfmgr.exe volume protect c: Protects the Volume C
  
  shutdown /r /t 0 Restarts the device to make the write filter settings effective

Reboot is required to make all the uwfmgr settings effective.

Protecting a Data Volume

Data volume in IoT Core can be protected using the GUID for the volume.
The GUID for the available volumes can be found through the following command

dir /AL

uwfmgr.exe volume protect \?Volume {GUID}

Recommended Exclusions

When protecting the data volume, we recommend that you add exceptions for the servicing and logging folders that are accessed by Windows OS Services.

C:DataUsersSystemAppDataLocalUpdateStagingRoot
C:DataSharedDataDuShared
C:DataSystemDatatemp
C:Datausersdefaultaccountappdatalocaltemp
C:DataProgramdatasoftwaredistribution
C:Datasystemdatanonetwlogs

To add the exclusions:
uwfmgr.exe file Add-Exclusion <file/folder name>

Servicing UWF protected devices

[!Note]
Starting Windows 10 IoT Core Release 1709, version 16299, the main OS volume (C:) can be protected with UWF and serviced automatically without any special steps.

The following steps are required to service UWF protected devices with protected data volumes.

• uwfmgr.exe filter disable Disable UWF
• shutdown /r /t 0 Reboot device to disable UWF
• Enable Servicing (using provisioning package or MDM to set Update policy)
  • Note that the device will automatically reboot to perform the servicing updates
• uwfmgr.exe filter enable Enable UWF
• shutdown /r /t 0 Reboot device to enable UWF

Unsupported uwfmgr.exe Commands

UWF Servicing Mode is not supported in IoT Core.

uwfmgr.exe on Windows 10 IoT Core does not support commands listed below.

Filter
    Shutdown
    Restart
Servicing
    Enable
    Disable
    Update-Windows