Запрет блокировки приложений WebView2 средствами безопасности

ИТ-администраторы предприятия и поставщики программного обеспечения безопасности должны следовать этим рекомендациям, чтобы средства защиты не блокировали функциональность приложений WebView2 и не приводили к сбоям приложений WebView2. Используйте эти методы и процедуры для настройки сред и средств безопасности, чтобы не нарушить многопроцессорную архитектуру WebView2.

Подробное содержание:

Средства безопасности для настройки

К средствам безопасности, требующим соответствующей настройки, относятся:

  • Антивирусные средства.
  • Средства защиты от потери данных (DLP).
  • Средства обнаружения и реагирования на конечные точки (EDR).

К инструментам корпоративной безопасности относятся следующие:

  • Инспекция Transport Layer Security (TLS).

Симптомы проблем с корпоративной конфигурацией

Корпоративные инструменты безопасности, если не следовать приведенным ниже рекомендациям, могут нарушить многопроцессорную архитектуру WebView2 следующим образом:

  • Блокировка дочерних процессов.
  • Сужение папки списков контроль доступа (ACL).
  • Внедрение библиотек динамической компоновки (DLL).

В случае такого сбоя интерфейсы, размещенные на WebView2, могут отображать пустой экран, зависать или не инициализироваться.

См. раздел:

При необходимости обновите корпоративные политики безопасности

WebView2 учитывает все политики корпоративной безопасности.

Если какие-либо инструменты или политики не позволяют загрузить некоторые библиотеки DLL WebView2, ИТ-Администратор необходимо обновить корпоративные политики безопасности.

WebView2 не реализует логику, специфичную для приложения.

Добавьте в список разрешенных исполняемые файлы среды выполнения WebView2 и узла приложения

Добавьте в список разрешенных среду выполнения WebView2 (msedgewebview2.exe) и исполняемые файлы узла приложения.

См. раздел:

Предпочитайте правила издателя.

См. раздел:

Инициализация среды выполнения заблокирована

Проблемы:

  • Возможно, произошла ошибка инициализации, например E_FAIL, . В этом случае элемент управления WebView2 не удается инициализировать, и содержимое приложения никогда не загружается.

  • Инициализация среды выполнения блокируется для любого из следующих средств:

    • Управление приложениями в Защитнике Windows (WDAC).

    • запрещающие правила AppLocker; Политики, которые явно блокируют выполнение.

    • Списки контроль доступа (ACL), которые были ужесточены сверх значений по умолчанию; разрешения, которые были установлены более строго, чем настройки ОС по умолчанию.

Симптомы

  • Ошибки протокола TLS, такие как ERR_CERT_*.

  • Ошибки перенаправления входа, возникающие при включенной проверке протокола TLS.

  • Ошибка немедленной инициализации.

  • Дочерних процессов нет.

  • Представление пустое.

Решения

Добавьте в список разрешенных приложений среду выполнения WebView2 (msedgewebview2.exe) и разместите исполняемые файлы.

См. раздел:

Используйте правила издателя.

См. раздел:

Восстановите списки контроль доступа по умолчанию (ACL).

См. раздел:

Сохранение списков контроля доступа по умолчанию для папок среды выполнения

Не изменяйте списки контроль доступа по умолчанию, которые Windows задает в папках среды выполнения WebView2.

Если средства обеспечения безопасности изменяют списки управления доступом для папок среды выполнения WebView2, эти изолированные процессы могут потерять разрешения, необходимые для чтения и выполнения двоичных файлов среды выполнения, что может привести к появлению пустых экранов, сбоям инициализации или сбоям.

См. раздел:

Сохранять низкий уровень целостности (LowIL) в папках среды выполнения

Не изменяйте параметры низкого уровня целостности (LowIL) в папках среды выполнения WebView2. WebView2 запускает процессы рендерера на низком уровне целостности, чтобы ограничить их доступ к системным ресурсам.

Процесс с низким уровнем целостности (LowIL) должен иметь возможность чтения и выполнения двоичных файлов среды выполнения WebView2.

Низкий уровень целостности (LowIL) — это механизм обеспечения безопасности Windows, который ограничивает возможность процесса записи в объекты с более высокой целостностью (например, большинство профилей пользователя и системных расположений). Процессы рендерера WebView2 выполняются с низким IL, чтобы уменьшить влияние скомпрометированного процесса.

См. раздел:

Сохранение списков контроля доступа (ACL) по умолчанию в папке пользовательских данных (UDF) приложения

Не изменяйте списки контроль доступа по умолчанию, которые Windows устанавливает для папки пользовательских данных (UDF) приложения. Изменение этих списков управления доступом может помешать правильной работе процессов LowIL и AppContainer.

AppContainer — это более строгая песочница Windows, ограничивающая доступ процесса только к явно предоставленным ресурсам. В поддерживаемых версиях ОС WebView2 может запускать процессы рендерера внутри AppContainer, для дополнительной изоляции.

Должны LowIL/AppContainer иметь разрешение на:

  • Чтение и запуск среды выполнения WebView2.

  • Выполните запись в папку пользовательских данных (UDF).

WebView2 запускает определенные дочерние процессы на низком уровне целостности (LowIL) или в песочнице, чтобы ограничить их доступ к системным AppContainer ресурсам.

Эти изолированные процессы по-прежнему должны иметь возможность:

  • Чтение и выполнение двоичных файлов среды выполнения WebView2.

  • Выполните запись в папку пользовательских данных (UDF) приложения.

Если средства обеспечения безопасности ужесточают списки контроль доступа (ACL) в папке пользовательских данных (UDF) приложения, изолированные процессы могут потерять необходимый доступ, что может привести к появлению пустых экранов, сбоям инициализации или сбоям.

Системные расположения, управляемые операционной системой (ОС), полностью обрабатываются Windows и не должны быть изменены.

См. раздел:

Предоставление разрешения на запись в папку пользовательских данных (UDF)

Предоставьте разрешение на запись, чтобы разрешить приложению WebView2 выполнять запись в папку данных пользователя (UDF).

Эти записи в пользовательские функции могут быть следующими:

  • Исключения для каждого приложения, контролируемого доступа к папкам (CFA).

  • Исключения для защиты от потери данных (DLP) для каждого приложения.

Состояние веб-содержимого находится в папке пользовательских данных (UDF) приложения. Состояние веб-контента включает следующее:

  • Файлы cookie.
  • Кэш.
  • Локальное хранилище.

См. раздел:

Цикл входа; состояние не сохранялось; параметры не сохраняются; Пустая начальная страница

В цикле входа состояние не сохраняется при блокировке записи в папку данных пользователя (UDF).

Решения

"Разрешить записи" в папку данных пользователя; используйте исключения для каждого приложения с контролируемым доступом к папкам (CFA) или исключения защиты от потери данных (DLP).

Не размещайте папку пользовательских данных (UDF) WebView2 в сетевой папке.

Убедитесь, что политики защиты от потери данных (DLP) не классифицируют обычные данные браузера (например, файлы cookie, кэш или локальное хранилище) как попытки кражи. Эксфильтрация — это несанкционированная передача данных из системы, сети или облачной среды во внешнее место назначения без разрешения.

См. раздел:

Разрешить доступ к папкам среды выполнения, дочерние процессы и создание дочерних процессов

Аудитория: поставщики программного обеспечения для обеспечения безопасности.

Неограниченный доступ к папкам среды выполнения WebView2.

Разрешать дочерние процессы и не завершать их. Дочерние процессы включают следующее:

  • Рендерер
  • Графический процессор (GPU)
  • Network
  • Crashpad

Не ограничивать создание дочерних процессов среды выполнения WebView2; разрешить Crashpad.

См. раздел:

Не внедряйте библиотеки DLL в процессы WebView2

Используйте соединители безопасности Microsoft Edge.

Избегайте внедрения библиотек динамической компоновки (DLL).

Не внедряйте библиотеки динамической компоновки (DLL) в процессы WebView2. Вместо этого используйте соединители безопасности Microsoft Edge.

Отдавайте предпочтение соединителям безопасности Microsoft Edge для защиты от потери данных, отчетности или доверия устройства.

Внедрение библиотеки динамической компоновки (DLL) в процессы рендерера или графического процессора (GPU) нарушает модель песочницы Chromium и часто вызывает сбои рендерера.

Поставщикам программного обеспечения безопасности следует использовать поддерживаемые соединители безопасности Edge вместо низкоуровневых перехватчиков.

См. раздел:

Сбой или зависание

Сбой или зависание связано с внедрением библиотеки динамической компоновки (DLL) или блокировкой обработчика, графического процессора (GPU) или Crashpad.

См. раздел:

Содержимое никогда не загружается

Проблема: основной процесс запускается, но содержимое никогда не загружается, и приложение зависает.

Порождение дочерних процессов блокируется или перехватывается.

Решения

Разрешить дочерние процессы WebView2:

  • Рендерер.
  • Графический процессор (GPU).
  • Сеть.
  • Crashpad.

Это дочерние процессы, экземпляры которых создает WebView2.

Избегайте внедрения библиотек динамической компоновки (DLL).

Предпочитайте соединители Edge.

См. раздел:

Избегайте широких, глобальных исключений

Медленный запуск

Проблемы:

  • Медленный запуск из-за глубокого сканирования среды выполнения WebView2 и папки пользовательских данных (UDF) в режиме реального времени.
  • Переходный белый экран при выполнении навигации.
  • Агрессивное сканирование в режиме реального времени.
Решения

Настройте исключения для двоичных файлов среды выполнения WebView2 и папки пользовательских данных (UDF). Избегайте широких исключений.

Настройте сканирование с помощью определенных исключений для каталога среды выполнения WebView2 и папки пользовательских данных (UDF).

Избегайте широких, глобальных исключений.

См. раздел:

Доверяйте внутренним прокси-центрам сертификации (ЦС) и разрешайте основные конечные точки входа или сети доставки содержимого (CDN)

Согласование политик TLS с помощью Chromium:

  • доверять внутренним прокси-центрам сертификации (ЦС); установите доверенные центры сертификации (ЦС).

  • Разрешить основные конечные точки входа или другие обязательные конечные точки.

  • Разрешить основные конечные точки сети доставки содержимого (CDN).

Сохранение параметров по умолчанию списков управления доступом (ACL) и низкого уровня целостности (LowIL) в папках среды выполнения WebView2.

  • Процесс с низким уровнем целостности (LowIL) должен иметь возможность чтения и выполнения двоичных файлов среды выполнения WebView2.

  • Не изменяйте списки ACL по умолчанию, которые операционная система устанавливает для папок среды выполнения. Изолированные процессы рендеринга WebView2 работают на низком уровне целостности и требуют этих разрешений для правильной работы.

Доверяйте среде выполнения WebView2 по подписи

Распознавание среды выполнения WebView2 () и доверие к ней поmsedgewebview2.exe сигнатуре; разрешить дочерние процессы.

Не изменяйте файлы среды выполнения WebView2, из которых загружаются компоненты Windows C:\Windows\System32

Не изменяйте, не помещайте в карантин и не заменяйте двоичные файлы среды выполнения WebView2, из которых компоненты Windows загружают непосредственно .C:\Windows\System32

Некоторые компоненты Windows могут загружать двоичные файлы среды выполнения WebView2 непосредственно из C:\Windows\System32файла . Владельцем этих двоичных файлов является операционная система.

Эти двоичные файлы среды выполнения WebView2, принадлежащие ОС:

  • Может не соответствовать актуальной версии среды выполнения WebView2, используемой классическими приложениями.

  • Обслуживаются исключительно через Центр обновления Windows, а не через установщики WebView2.

Согласование проверки TLS и настройки прокси-сервера

Симптомы:

  • Ошибки протокола TLS (например).ERR_CERT_*

  • Сбои перенаправления входа, возникающие при включенной проверке TLS.

Согласуйте проверку протокола TLS и настройку прокси-сервера с требованиями браузера на основе Chromium.

Если в вашей среде используется проверка TLS, убедитесь, что хранилище сертификатов операционной системы доверяет сертификатам проверки.

Расшифровка SSL брандмауэром или прокси-сервером

Примером использования проверки TLS является расшифровка SSL брандмауэром или прокси-сервером.

Если ваша среда направляет трафик через прокси-сервер, убедитесь, что процессы WebView2 могут достигать требуемых конечных точек через прокси-сервер.

ERR_CERT_* ошибка

Проблемы:

  • ERR_CERT_* ошибки.

  • Циклы входа (циклы входа).

  • Сбой служебных сценариев.

Проверка сети и проверка TLS не совпадают.

Решения

Установите корневой центр сертификации (ЦС) корпоративного прокси-сервера, чтобы WebView2 доверял перехваченному трафику HTTPS.

Убедитесь, что конечные точки проверки подлинности и конечные точки сети доставки содержимого (CDN), используемые приложением WebView2, явно разрешены.

Проверка конечных точек проверки подлинности и конечных точек сети доставки содержимого (CDN).

См. раздел:

Разрешить обновления актуальной среды выполнения WebView2

Не блокируйте обновления актуальной среды выполнения WebView2.

Разрешить обновления актуальной среды выполнения WebView2; Не блокируйте обслуживание.

Обслуживание Microsoft Edge обновляет следующие подпапки с версиями:

C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\

См. раздел:

Приложение работает только с более высоким уровнем прав

Имеется несоответствие списка управления доступом (ACL) с уровнем целостности.

Проблема: приложение работает только с более высоким уровнем привилегий. Сбой приложения возникает в следующих ситуациях:

  • Универсальная платформа Windows (UWP) — приложения, запускаемые в песочнице приложения для Windows с ограниченными разрешениями.

  • AppContainer — песочница безопасности Windows, ограничивающая доступ процесса только явно предоставленными ресурсами.

Решения

Сохранить разрешения по умолчанию ALL APPLICATION PACKAGES для каталогов среды выполнения WebView2; процесс с низким уровнем целостности (LowIL) должен быть прочитан и выполнен.

См. раздел:

Сюда относится путь к вечнозеленой среде выполнения WebView2 в , C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\которая должна сохранять ALL APPLICATION PACKAGES разрешения на чтение и выполнение.

Среда выполнения WebView2 на базе System32 принадлежит и обслуживается Windows.

Среда выполнения WebView2 на основе System32 не должна быть изменена, заменена, помещена в карантин или очищена средствами антивируса (AV), средства обнаружения и реагирования на конечные точки (EDR) или защиты от потери данных (DLP).

Списки управления доступом (ACL) по умолчанию среды выполнения WebView2 на основе System32 должны быть сохранены в том виде, в котором они были поставлены.

Не применять групповые политики Edge — только для браузера

Большинство групповых политик, применяемых к Microsoft Edge, не влияют на WebView2, а неподдерживаемые политики могут нарушить работу функций WebView2.

Не используйте групповые политики только для Microsoft Edge, чтобы повлиять на WebView2.

Средства проверки симптомов и причин

ИТ-администраторы могут использовать стандартные средства Windows, чтобы определить, вызваны ли перечисленные симптомы следующими причинами:

  • Сайт WebView2 заблокирован.
  • WebView2 не удается инициализировать.
  • Сбой WebView2.

Диспетчер задач

В главном приложении убедитесь, что среда выполнения WebView2 (msedgewebview2.exe) и ее дочерние процессы отображаются.

Дочерние процессы включают следующее:

  • Рендерер.
  • Графический процессор (GPU).
  • Сеть.
  • Crashpad.

Если дочерние процессы WebView2 не отображаются, появление среды выполнения WebView2 или дочерних процессов блокируется из-за того, что на компьютере включено одно из следующих условий:

  • Управление приложениями в Защитнике Windows (WDAC).

  • Обнаружение угроз в конечных точках и реагирование на них (EDR).

  • Внедрение библиотеки динамической компоновки (DLL).

Если процессы рендерера (или графического процессора (GPU)) появляются на короткое время, а затем исчезают, возможно, это приведет к завершению процессов рендерера (или графического процессора (GPU)) следующим образом:

  • Перехват обнаружения и реагирования на конечные точки (EDR).

  • Перехват антивирусной программы (AV).

  • Внедрение библиотеки динамической компоновки (DLL).

Пустое или белое встроенное окно

Если встроенное окно пустое или белое, убедитесь, что процессы WebView2 присутствуют в диспетчере задач.

См. раздел:

Просмотр событий

Средство просмотра событий (журналы Windows, > приложение или система).

Ищите:

  • Сбои инициализации приложения или WebView2.

  • События выполнения заблокированного управления приложениями в Защитнике Windows (WDAC) или AppLocker.

  • События отказа в записи файлов при контролируемом доступе к папкам (CFA) или предотвращении потери данных (DLP), влияющие на папку данных пользователя (UDF).

  • Сбои протокола TLS, сертификата или сетевой политики, влияющие на потоки входа.

Журналы безопасности

  • Блокировки контролируемого доступа к папкам (CFA).

  • Блокировки политики защиты от потери данных (DLP).

  • Отказы в использовании AppLocker или Application Control. Обычно они соответствуют таким симптомам, как циклы входа, пустые экраны или несохраняющиеся параметры.

Диагностика, отчеты о сбоях и события процессов

Отчеты о сбоях сохраняются в папке данных пользователя (UDF) приложения по адресу EBWebView\Crashpad\reports\.

Используйте диагностику сбоев сбоев вместе с событиями процесса для рассмотрения повторяющихся сбоев.

См. раздел:

Монитор надежности

Определение повторяющихся сбоев процессов рендерера, графического процессора (GPU) или аварийной панели.

Эти сбои процессов коррелируют с:

  • Проблемы с замерзанием.

  • Проблемы с пустым экраном.

  • Нестабильность среды выполнения WebView2.

Применимость к инструментам

Аудитория: ИТ-администраторы и поставщики программного обеспечения безопасности.

Различные типы приложений могут взаимодействовать с WebView2. Ниже описаны применимости различных форм WebView2.

Эта статья относится к следующим инструментам и программному обеспечению:

  • Среда выполнения Microsoft Edge WebView2 (актуальная и неизменяемая версия).

  • Классические приложения для Windows, встраивающие элемент управления WebView2.

  • Компоненты Windows, использующие WebView2 для веб-части пользовательского интерфейса.

  • Антивирусные программы сторонних производителей, продукты для обнаружения и реагирования на конечные точки (EDR), защиты от потери данных (DLP) и перехвата прокси-серверов или TLS, которые могут мешать процессам WebView2.

См. раздел:

Устранение проблем с производительностью

Аудитория: ИТ-администраторы и поставщики программного обеспечения безопасности.

Чтобы использовать этот раздел:

  1. ИТ-Администратор использует эти сведения, чтобы определить проблему, которую ИТ-Администратор наблюдает при запуске или использовании WebView2 в своем приложении, и выяснить, какое программное обеспечение безопасности вызывает проблему.

  2. ИТ-администратор связывается с поставщиком программного обеспечения безопасности.

  3. Поставщик программного обеспечения безопасности использует эти сведения, чтобы выяснить, что необходимо сделать, чтобы гарантировать, что WebView2 не заблокирован.

Обширное сканирование или подключение к процессам может замедлить запуск и загрузку страницы.

Вместо того, чтобы выбирать масштабные отключения с высоким риском, используйте исключения с заданной областью видимости для двоичных файлов среды выполнения WebView2 и папок с пользовательскими данными (UDF).

Относиться к дочерним процессам как к процессам браузера; избегать прерывания таких дочерних процессов.

К дочерним процессам относятся:

  • Рендерер.
  • Графический процессор (GPU).
  • Сеть.
  • Crashpad.

Не завершайте процессы Crashpad или графического процессора (GPU), потому что они имеют решающее значение для стабильности и рендеринга.

См. раздел:

Почему WebView2 используется в корпоративных рабочих нагрузках

Аудитория: ИТ-администраторы и поставщики программного обеспечения безопасности.

Многие функции приложений Microsoft 365 и Windows используют WebView2 для предоставления современного, согласованного пользовательского интерфейса.

Например, работа функций Outlook зависит от среды выполнения WebView2.

Windows Search использует WebView2 для некоторых частей своего пользовательского интерфейса.

См. раздел:

См. также

Документация для разработчиков Microsoft Edge:

Learn.microsoft.com

Внешний:

  • Последнее обновление: