Uso del filtro de escritura unificado (UWF) en Windows 10

UWF (Filtro de escritura unificado) es un filtro de escritura especial del sistema de archivos en Windows 10 que le permite proteger los archivos del usuario y del sistema de Windows en la unidad local de cualquier cambio. Cuando el filtro UWF está habilitado, cualquier operación de escritura en un disco protegido o en el registro del sistema es interceptada por el controlador del filtro UWF y colocada en un espacio virtual separado (superposición). Después de reiniciar Windows, todos los cambios en las unidades protegidas no se guardan, es decir, Windows siempre vuelve a su estado original cuando se activó el filtro UWF.

¿Cómo funciona un filtro UWF? Protege el sistema de archivos de las particiones seleccionadas en los discos locales de los cambios mediante la redirección transparente de todas las operaciones de escritura del sistema de archivos a una superposición virtual donde se almacenan todos los cambios.

Nota. En versiones anteriores de Windows, los filtros de escritura solo estaban disponibles en las ediciones Embedded, que se usaban en cajeros automáticos, sistemas POS, quioscos, terminales de autoservicio, sistemas industriales, etc. Ahora esta característica está disponible en Windows 10 Enterprise (incluidos LTSB/LTSC) y Windows 10 Education. Esto abre escenarios adicionales para el uso de Windows en empresas e instituciones educativas (quioscos de información, salas de estudio, puestos de demostración, etc.).

¿Cómo habilitar y configurar el filtro de escritura unificado en Windows 10?

El filtro UWF es una función independiente de Windows que se habilita a través del Panel de control -> Programas y funciones -> Activar o desactivar funciones de Windows -> Bloqueo del dispositivo -> Filtro de escritura unificado.

La función UWF también se puede instalar mediante PowerShell:

Enable-WindowsOptionalFeature -Online -FeatureName "Client-UnifiedWriteFilter" -All

O DISM:

DISM.exe /Online /enable-Feature /FeatureName:client-UnifiedWriteFilter

La herramienta de consola uwfmgr.exe se utiliza para administrar la configuración de UWF.

Para habilitar el filtro UWF en Windows 10, ejecute el siguiente comando y reinicie su computadora:

uwfmgr.exe filter enable

Después de habilitar el filtro UWF, reconfigura automáticamente el sistema para excluir operaciones de escritura de disco innecesarias (archivo de paginación, puntos de restauración, indexación de archivos, desfragmentación están deshabilitados).

Para habilitar la protección contra escritura para una unidad específica, ejecute este comando:

uwfmgr.exe volume protect c:

Ahora reinicie su computadora. Después del reinicio, todo lo que un usuario escriba en el disco durante la sesión estará disponible solo hasta el próximo reinicio de la computadora. Cualquier cambio será descartado.

Puede verificar el estado de UWF usando este comando:

uwfmgr.exe get-config

En este ejemplo puede ver que el disco del sistema está protegido, el filtro UWF está habilitado (

Volume state: Protected

La configuración de superposición actual en la que UWF almacena datos temporales se puede mostrar con el comando:

uwfmgr overlay get-config

Puede configurar los siguientes parámetros de superposición de UWF:

Tipo: tipo de superposición. Puede almacenar datos en disco (DISK) o en RAM;
Tamaño máximo: el tamaño máximo de superposición;
Umbral de advertencia: tamaño de superposición; si se supera, se debe mostrar una advertencia;
Umbral crítico: el tamaño de la superposición; si se supera, aparecerá un error de UWF;
Freespace Passthrough: se usa solo para el modo de superposición de disco. Le permite escribir datos en cualquier espacio libre en el disco y no en un archivo especial.

El valor predeterminado es una superposición de RAM de 1 GB.

Puede cambiar la configuración de superposición (si tiene suficiente RAM libre):

uwfmgr overlay set-size 8192
uwfmgr overlay set-criticalthreshold 8192
uwfmgr overlay set-warningthreshold 7168

Si necesita usar la superposición de DISK, ejecute el comando:

uwfmgr overlay set-type Disk

El tamaño actual de los datos en la superposición se puede mostrar de la siguiente manera:

uwfmgr overlay get-consumption

Espacio libre restante:

uwfmgr overlay get-availablespace

Servicio de filtro de escritura unificado en Windows 10

Cuando realice tareas de mantenimiento del sistema (instalación de actualizaciones, actualización de firmas antivirus), debe poner su dispositivo Windows en un modo de servicio UWF especial:

uwfmgr servicing enable

Después de reiniciar, Windows se iniciará con la cuenta local de UWF-Servicing e instalará automáticamente las actualizaciones de Windows disponibles (a través de Windows Update o actualizaciones de WSUS aprobadas), actualizará las firmas antivirus. Si lo desea, puede iniciar sesión en la computadora con la cuenta de servicio de UWF (la contraseña de este usuario es desconocida, pero puede restablecerla).

Después de que el usuario de UWF-Servicing inicie sesión automáticamente, el

uwfservicingshell.exe

Se inicia la herramienta, que ejecuta los scripts de servicio de Windows 10. No puede hacer nada más en el modo de servicio.

Después de instalar las actualizaciones, la computadora se reiniciará automáticamente en modo normal con el filtro UWF habilitado.

También puede instalar actualizaciones de Windows sin pasar al modo de servicio. Usa el comando:

uwfmgr servicing update-windows

Unified Write Filter updated Windows result: REBOOT REQUIRED.

Adición de exclusiones de filtros de escritura unificados en Windows 10

Si necesita forzar que un archivo modificado se guarde en el disco mientras el filtro UWF está habilitado, debe ejecutar el comando:

uwfmgr file commit C:\Labs\MyApp.exe

Ahora el archivo no se eliminará incluso si reinicia Windows.

Para eliminar completamente un archivo con UWF habilitado, use el comando:

uwfmgr file commit-delete C:\Labs\MyApp.exe

Comandos UWF similares para el registro:

uwfmgr registry commit ...
uwfmgr registry commit-delete ...

Puede agregar determinados archivos, directorios o claves de registro a la lista de exclusiones de UWF. Los cambios que realice en estos elementos se escribirán directamente en el disco y no en la superposición.

Para agregar un archivo o carpeta específico a las exclusiones, ejecute el siguiente comando:

Uwfmgr.exe file add-exclusion c:\labs

O :

Uwfmgr.exe file add-exclusion c:\labs\report.docx

Para agregar una exclusión para la clave de registro:

Uwfmgr.exe registry add-exclusion “HKLM\Software\My_RegKey”

Debe reiniciar su computadora para aplicar una nueva lista de exclusión.

Para enumerar las exclusiones de un filtro UWF, ejecute el comando:

uwfmgr file get-exclusions

Para eliminar un archivo de las exclusiones:

uwfmgr file remove-exclusion c:\student\report.docx

No puede agregar exclusiones para algunos archivos o carpetas del sistema, como:

Archivos de registro en \Windows\System3
Raíz de los volúmenes;
\Windows, \Windows\System32, \Windows\System32\Drivers;
Pagefile.sys, swapfile.sys;
Etc.

Nota. UWF no se puede utilizar para proteger datos en unidades flash y dispositivos USB externos. Parece que habilitar el filtro de escritura para tipos de discos extraíbles no es compatible a nivel de software. Sin embargo, puede eludir esta restricción con el truco del artículo Unidad USB extraíble como disco fijo en Windows.

Para que algunos servicios funcionen correctamente, debe agregar rutas a sus directorios, archivos y claves de registro a la lista de exclusión. He recopilado exclusiones típicas para algunos subsistemas de Windows a continuación:

Exclusiones para BITS:

% PERFIL DE TODOS LOS USUARIOS%\Microsoft\Network\Downloader
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\BITS\StateIndex

Exclusiones para el correcto funcionamiento en redes inalámbricas (estas excepciones te permitirán conectarte a redes Wi-Fi y guardar perfiles WLAN):

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Wireless\GPTWirelessPolicy
C:\Windows\wlansvc\Políticas
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\wlansvc
C:\ProgramData\Microsoft\wlansvc\Profiles\Interfaces\{}\{}.xml
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\servicios\Wlansvc
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\servicios\WwanSvc

Exclusiones para el correcto trabajo en redes cableadas:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WiredL2\GP_Policy
C:\Windows\dot2svc\Políticas
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\dot3svc
C:\ProgramData\Microsoft\dot3svc\Profiles\Interfaces\{}\{}.xml
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\servicios\dot3svc

Exclusiones para Windows Defender

C:\Archivos de programa\Windows Defender
C:\ProgramData\Microsoft\Windows Defender
C:\Windows\WindowsUpdate.log
C:\Windows\Temp\MpCmdRun.log
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender

¿Cómo restablecer o deshabilitar el filtro UWF?

Puede restablecer la configuración del filtro UWF a las iniciales (en el momento en que se enciende el filtro):

uwfmgr filter reset-settings

Para deshabilitar completamente UWF (después de reiniciar, se guardarán todos los cambios en el disco):

uwfmgr.exe filter disable

O puede deshabilitar el filtro para un volumen específico:

uwfmgr.exe volume unprotect E:

Importante. Si Windows no arranca debido a una configuración incorrecta del filtro UWF, puede desactivar el filtro arrancando desde el medio de instalación/arranque y editando el registro sin conexión:

Deshabilite el inicio automático del controlador UWF cambiando el valor del parámetro Inicio a 4 en la clave de registro HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\uwfvol;
Elimine la cadena uwfvol en HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{71a27cdd-812a-11d0-bec7-08002be2092f}\Lower Filters

UWF con HORM (Hibernar una vez/Reanudar muchas) en Windows 10

A partir de Windows 10 1709, apareció otro modo de filtro UWF: Hibernate Once/Resume Many (HORM). Este modo le permite obtener rápidamente el estado de Windows con aplicaciones en ejecución y archivos abiertos. Cada vez que la computadora arranca, Windows regresa inmediatamente a este estado.

Limitaciones del modo HORM en Windows 10:

El filtro UWF debe estar habilitado para todas las unidades locales (fijas);
No se admiten las excepciones de filtro UWF;
La superposición funciona en modo RAM (la superposición de disco no es compatible);
La hibernación y el inicio rápido están deshabilitados.

Para habilitar HORM, debe ejecutar el comando:

uwfmgr filter enable-horm

Unified Write Filter enabled HORM. Please hibernate the system to use HORM functionality. The system must be hibernated at least once after run enable-horm command, or it may bring the system into corrupted state.

Configurar el entorno de trabajo del usuario (ejecutar las aplicaciones requeridas, abrir archivos, etc.). Luego ponga la computadora en modo de hibernación con el comando:

shutdown /h

Despierta tu computadora y reiníciala. En el próximo reinicio, Windows 10 se iniciará inmediatamente en el estado almacenado en el archivo de hibernación.

Para deshabilitar el modo HORM, ejecute el comando:

uwfmgr filter disable-horm

UWF ofrece algunos escenarios interesantes: