2014年9月23日 星期二

WES8 LAB: Lockdown Feature Unified Write Filter

目的:
學習使用module designer來客製化一個UWF Module
了解如何使用Unified Write Filter來保護您的系統。

時間: 100分鐘

環境:
1、安裝好ws8開發工具,準備build image的開發機器(development device)
2、準備安裝ws8的機器(target device)

工具:

l   Image Configuration Editor(ICE)
l   Module Designer

實作:

Step1、擷取硬體描敘檔

You need to install drivers to run your OS image on your device. You use Target Analyzer Probe (TAP) to detect which drivers your device needs and create a driver description file. You then add the driver description file to your configuration file.
1、先在要安裝wes8的機器(target device)上先安裝win8
2、從安裝好ws8開發工具的機器上找到tap.exe,複製到上一步驟的機器(target device)上,並且執行。
   Note
l   TAP.EXE32bit(x86)64bit(AMD64)
如果工具安裝在win7可以從路徑C:\Program Files\Windows Embedded 8 Standard\Toolset\Embedded Tools\IBW\<x86AMD64>\sources找到tap.exe



l   如果工具安裝在Win8上,可以從路徑C:\Program Files (x86)\Windows Embedded 8 Standard\Toolset\ Embedded Tools\IBW\<x86AMD64>\sources找到tap.exe
l   或是您可以使用檔案總管的尋找功能找到該檔案的路徑。
 
3、得到.pmq
Notetap.exe要在安裝wes8的機器(target device;已先安裝win8)上執行。


Step2建立 EWF Module

1、執行 Module Designer
Module Designer頁面, 選擇Create new module, 然後 click Next.

3、在Module Details頁面,填入以下的資訊


a.找到Standard 8 catalog的路徑, 如 C:\Windows Embedded Catalog。然後按Select Catalog,來將其填入 Catalog 欄位。
Catalog should be the path to the location of the Windows Embedded Catalog on your system
b.The module should be architecture agnostic, so select both AMD64 and x86
c.Choose the appropriate minimum OS version
d.Place all UWF Application Support Modules under: \Feature\UWF Application Support


4、在Additional Module Information頁面,輸入一些關於您module的基本資訊,然後按Next


5、 在Add/Edit Files頁面直接按Next


6、 輸入Install Commands
clicking the "Add Custom Command" button,然後輸入以下指令。
 a: uwfmgr volume protect %SystemDrive%
 b: uwfmgr file add-exclusion "%SystemDrive%\Program Files\Windows Defender"
 c: uwfmgr file add-exclusion "%SystemDrive%\Windows\WindowsUpdate.log"
 d: uwfmgr file add-exclusion "%SystemDrive%\Windows\Temp\MpCmdRun.log"
e: uwfmgr file add-exclusion "%SystemDrive%\ProgramData\Microsoft\Windows Defender"
f: uwfmgr registry add-exclusion "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender"


7、設定Dependencies
加入該module dependency module。如dependency for Unified Write Filters( 因為需要使用uwfmgr.exe commands)
加入Unified Write Filters(UWF)Embedded Lockdown ManagerAntiMalware

8、設定Uninstall Commands
上面我們有加入Install Commands 來做UWFexclusions。當移除該MODULE時必須加入以下的commands來移除exclusions的設定。
 a: uwfmgr file remove-exclusion "%SystemDrive%\Program Files\Windows Defender"
 b: uwfmgr file remove-exclusion "%SystemDrive%\Windows\WindowsUpdate.log"
 c: uwfmgr file remove-exclusion "%SystemDrive%\Windows\Temp\MpCmdRun.log"
 d: uwfmgr file remove-exclusion "%SystemDrive%\ProgramData\Microsoft\Windows Defender"
 e: uwfmgr registry remove-exclusion "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender"


9、自己隨意指定一個儲存路徑,將Module儲存(Create)

10、按finish鍵。


Step3Create a New Configuration File from ICE

一個configuration file將記錄哪一些module將包含到 OS image
1、安裝好ws8的開發工具的機器上,執行 ICE(Image Configuration Editor)
Note如果工具安裝在win7上,則如以下的地方執行。


Note如果工具安裝在win8上,按下【Ctrl+  】開啟 Windows 8 搜尋工具,於空格內鍵入"ICE"後會看到 Image Configuration Editor於螢幕左方並請開啟工具.


2、在ICE(Image Configuration Editor)File menu, click New Configuration File

3、輸入name
4、選擇device OS architecture
5、選擇OSversion
6Click Create.一個新的configuration file將產生在Configuration File pane
Click Create. A new configuration file that contains the Embedded Core package becomes visible in the Configuration File pane.

Step4匯入硬體描敘檔(devices.pmq) ICEconfiguration

1development computer ICE main menuclick Fileclick Import,然後click Import PMQ
2找到devices.pmq的儲存路徑 選擇 devices.pmq file,然後click Open來將devices.pmq import configuration file
(devices.pmq為執行tap.exe所得到的硬體描述檔)

Note. A Driver node will appear in the Configuration File pane that contains the information about the devices that will be supported on the device.

Step 5新增FeaturesOS Image

l   新增custom moduleConfiguration File
1、在ICECatalog pane,展開Features,然後展開Custom Modules,將看到你客製化的module
2Right-click 你客製化的module,然後選擇 Add to Configuration File


l   新增Additional FeaturesOS Image
1ICECatalog pane,展開Features,然後展開Branding node
2Right-click Branded Screens 並且選擇Add to Configuration file
3 Features底下, 展開 Language Modules,然後展開 Languages node.
4Right-click English Language pack 並且選擇Add to Configuration file
4Right-click English Natural Language Support 並且選擇Add to Configuration file


Step 6features做細部的設定

l   新增 Product Key Configuration File
1、在Configuration File pane,選擇Products node
2Click the Settings tab( Configuration File pane的右邊)
3、在 Filter view by drop-down list,選擇1 WindowsPE
4、在 Settings pane 展開UserData,然後展開ProductKey.
5Double-click the Key node 輸入product key.。例如: MPVW4-JNF4W-MGM8P-G2WYY-CWDFY
6Double-click WillShowUI
7Click the WillShowUI drop-down list並且選擇OnError

Step7、新增 Dependencies 並且儲存 Configuration File

configuration file module有相依的modules,這步驟將自動將其帶入configuration file
1ICE main menuclick Validate,然後click Add Required Modules。將新增需求的packages enable step 4加入的features 的基本功能。
訊息視窗顯示沒有任何錯誤。
Note. In the Messages pane, click the Validation tab and check for validation errors. If there is an error message, double-click on the message and add any other required modules.
2、儲存configuration file,在File menuclick Save Configuration File。當 Save dialog box出現,選,擇要儲存的路徑方式(USB flash drive or a network share or other location on disk)。輸入隨意的檔名 (test_uwf)然後click Save

Step8、使用ICE工具將設定好的Answer file建立一個安裝光碟(.iso)

l   建置Windows Embedded Media
1ICE工具上選擇Tool->Create Media -> Create IBW Image from configuration …


2、出現Windows Embedded Media Creator視窗,然後click Next

3、選擇要儲存media的路徑,然後click Create Media


l   製作安裝光碟(.iso)
找到cmd.exe,並且執行cmd.exe

2、用OScdimg.exe工具將WE8S 作成ISO Files,將路徑切換至OScdimg.exe工具所在的路徑。
Note
如果工具安裝在Win7上,OScdimg.exe工具所在的路徑為:
C:\Program Files\Windows Embedded 8 Standard\Toolset\Windows Deployment Tools\Deployment Tools\x86\Oscdimg\oscdimg.exe
如果工具安裝在Win8上,OScdimg.exe工具所在的路徑為:
C:\Program Files (x86)\Windows Embedded 8 Standard\Toolset\Windows Deployment
Tools\Deployment Tools\x86\Oscdimg

3、在視窗中輸入下列指令後按下Enter
oscdimg.exe -n -h -m –b.\etfsboot.com < media的儲存路徑>  <iso的儲存路徑>
Note-b .\etfsboot.comb後面是沒有空格。
例如:
oscdimg.exe -n -h -m –b.\etfsboot.com "C:\training\Lab\test_uwf\image" C:\training\Lab\test_uwf\test_uwf.iso

Step9、使用安裝光碟(.iso)安裝

Note:本Lab因為教學的因素,使用Hyper-V或其他的虛擬機器來模擬PC讀取ISO檔;或者你可以直接將ISO檔燒錄到光碟再放置到實體的PC安裝。


Step10、查看和管理UWF的設定

l   使用Embedded Lockdown manager
1安裝完成,按一下滑鼠右鍵,右下角出現All apps選項,點選All apps選項。

2、點選Embedded Lockdown manager

2、開啟Embedded Lockdown manager視窗,查看目前的設定資訊。


3、在Embedded Lockdown manager視窗做相關的設定,如Enable UWF

4Enable UWF後需要重新開機。


l   使用uwfmgr.exe
1、找到cmd.exe,以administrator執行。

2、使用uwfmgr get-config查看目前的設定資訊。

3、使用uwfmgr做相關設定,如下uwfmgr filter enable 指令來enable UWF

4、使用uwfmgr get-config查看目前的設定資訊。

5Enable UWF後需要重新開機。


Step11、確認 UWF 正常工作

l   To verify that your device works correctly
1、使用uwfmgr get-config查看目前的設定資訊。


2、在桌面隨意新增一個目錄。

3重新開機後(Power鍵後選擇Restart)

4、因為UWF防寫機制已經啟動,新增的目錄資料消失了。

沒有留言:

張貼留言