Windows 10 Enterprise
The most advanced Windows edition – comprehensive security, zero‑trust protection, full device management, and long‑term servicing for large organisations and mission‑critical environments
Overview
How It Works
1. UEFI, Secure Boot & BitLocker
సురక్షిత బూట్తో UEFI ఫర్మ్వేర్ బూట్లోడర్ సంతకాన్ని ధృవీకరిస్తుంది. BitLocker ప్రారంభించబడితే, కొలిచిన బూట్ ఎటువంటి అవకతవకలను ధృవీకరించిన తర్వాత మాత్రమే TPM డిక్రిప్షన్ కీని విడుదల చేస్తుంది. DMA రక్షణ (కెర్నల్ DMA రక్షణ) ఉన్న పరికరాలలో, OS లోడ్ అయ్యే వరకు థండర్బోల్ట్ పోర్ట్లు బ్లాక్ చేయబడతాయి.
2. Virtualisation‑Based Security (VBS) Initialisation
హైపర్వైజర్ (మైక్రోసాఫ్ట్ హైపర్‑V) ముందుగానే లోడ్ అవుతుంది, వివిక్త వర్చువలైజేషన్ కంటైనర్లను సృష్టిస్తుంది. క్రెడెన్షియల్ గార్డ్ సురక్షితమైన VM లోపల LSAని నడుపుతుంది. Windows డిఫెండర్ అప్లికేషన్ గార్డ్ (WDAG) దాని స్వంత తేలికైన కంటైనర్ను సిద్ధం చేస్తుంది. ప్రధాన OS తగ్గించబడిన అధికారాలతో రూట్ విభజన వలె నడుస్తుంది.
3. Kernel & Device Guard / WDAC
కెర్నల్ హైపర్వైజర్-ప్రొటెక్టెడ్ కోడ్ ఇంటెగ్రిటీ (HVCI)తో లోడ్ అవుతుంది. ప్రతి డ్రైవర్ మరియు కెర్నల్ మాడ్యూల్ అమలు చేయడానికి ముందు పాలసీ (WDAC)కి వ్యతిరేకంగా ధృవీకరించబడుతుంది. అధీకృత ప్రచురణకర్తలు (మైక్రోసాఫ్ట్, మీ సంస్థ) సంతకం చేసిన బైనరీలు మాత్రమే అమలు చేయగలవు - రూట్కిట్లు మరియు సంతకం చేయని డ్రైవర్లను సమర్థవంతంగా నిరోధించడం.
4. DirectAccess & VPN Client
నెట్వర్క్ కనెక్టివిటీ అందుబాటులోకి వచ్చిన వెంటనే, డైరెక్ట్ యాక్సెస్ క్లయింట్ మెషిన్ సర్టిఫికేట్లను ఉపయోగించి కార్పొరేట్ నెట్వర్క్కు IPsec టన్నెల్ను ఏర్పాటు చేయడానికి ప్రయత్నిస్తుంది. వినియోగదారు సైన్ ఇన్ చేయనప్పటికీ రిమోట్ పరికర నిర్వహణను (ప్యాచ్ డిప్లాయ్మెంట్, పాలసీ అప్డేట్లు) ప్రారంభించడం ద్వారా వినియోగదారు లాగిన్ అవ్వడానికి ముందే ఇది జరుగుతుంది.
5. User Logon with Windows Hello for Business
లాగిన్ స్క్రీన్ వద్ద, Windows Hello for Business (బయోమెట్రిక్ లేదా PIN) వినియోగదారుని Azure AD లేదా ఆన్-ప్రాంగణ యాక్టివ్ డైరెక్టరీకి ప్రమాణీకరిస్తుంది. రిమోట్ క్రెడెన్షియల్ గార్డ్ వినియోగదారు తమ ఆధారాలను లక్ష్య యంత్రానికి పంపకుండా రిమోట్ వనరులను యాక్సెస్ చేయడానికి అనుమతిస్తుంది.
6. Group Policy / MDM Refresh & BranchCache
బ్యాక్గ్రౌండ్ సేవలు డొమైన్ కంట్రోలర్లు లేదా Intune MDM పాలసీల నుండి గ్రూప్ పాలసీ ఆబ్జెక్ట్లను (GPOలు) రిఫ్రెష్ చేస్తాయి. 'డిస్ట్రిబ్యూటెడ్ కాష్ మోడ్'లో బ్రాంచ్ కాష్ గతంలో డౌన్లోడ్ చేసిన ఫైల్ల కోసం స్థానిక పీర్ కాష్ని తనిఖీ చేస్తుంది, అనవసరమైన WAN బదిలీలను నివారిస్తుంది.
7. Windows Defender Application Guard (Optional)
అడ్మినిస్ట్రేటర్ ఎడ్జ్ని అప్లికేషన్ గార్డ్ మోడ్లో (లేదా పాలసీ ద్వారా) లాంచ్ చేస్తే, కొత్త హైపర్‑V కంటైనర్ కనీస విండోస్ ఇమేజ్తో ప్రారంభమవుతుంది. విధానం ద్వారా నియంత్రించబడే క్లిప్బోర్డ్ మరియు ఫైల్ దారి మళ్లింపుతో బ్రౌజర్ ఈ శాండ్బాక్స్ లోపల నడుస్తుంది. కంటైనర్ను మూసివేయడం అన్ని మార్పులను విస్మరిస్తుంది.
8. Microsoft Defender for Endpoint Sensors
డిఫెండర్ ఫర్ ఎండ్పాయింట్ సెన్సార్ (`MsSense.exe`) ప్రక్రియ సృష్టి, నెట్వర్క్ కనెక్షన్లు, ఫైల్ రైట్స్ మరియు రిజిస్ట్రీ మార్పులను పర్యవేక్షిస్తుంది. నిజ-సమయ ప్రమాద విశ్లేషణ కోసం ప్రవర్తనా సంకేతాలు క్లౌడ్కు పంపబడతాయి. ముప్పు గుర్తించబడితే, స్వయంచాలక ప్రతిస్పందన చర్యలు (ఐసోలేషన్, ఫైల్ క్వారంటైన్) ప్రారంభించబడతాయి.
9. Windows Update for Business & Desktop Analytics
Windows Update for Business వాయిదా విధానాలను (ఫీచర్ అప్డేట్ల కోసం 365 రోజుల వరకు) మరియు అప్డేట్ రింగ్లను ఉపయోగిస్తుంది. డెస్క్టాప్ అనలిటిక్స్ అప్గ్రేడ్ సంసిద్ధత అంతర్దృష్టులను అందించడానికి కాన్ఫిగరేషన్ మేనేజర్తో అనుసంధానించబడి ఉంది - విస్తరణకు ముందు అప్లికేషన్ అనుకూలత సమస్యలను గుర్తించడం.
Key Features
Credential Guard
వర్చువలైజేషన్-ఆధారిత భద్రత LSASSను వేరు చేస్తుంది - పాస్-ది-హాష్ మరియు పాస్-ది-టిక్కెట్ దాడులను నిరోధిస్తుంది. TPM 2.0 మరియు UEFI లాక్ అవసరం.
Application Guard for Edge
వెబ్ బ్రౌజింగ్ కోసం హార్డ్వేర్-వివిక్త కంటైనర్ - హానికరమైన వెబ్సైట్లు హోస్ట్ OSతో రాజీపడవు. క్లిప్బోర్డ్ నియంత్రణ మరియు ఫైల్ దారి మళ్లింపు విధానాలకు మద్దతు ఇస్తుంది.
DirectAccess
ఎల్లప్పుడూ ఆన్, IPsec ఉపయోగించి పారదర్శక VPN. వినియోగదారు లాగిన్కు ముందు కనెక్ట్ అవుతుంది, బహుళ-సైట్కు మద్దతు ఇస్తుంది మరియు సర్టిఫికేట్ ప్రమాణీకరణతో అనుసంధానిస్తుంది.
BranchCache
SMB/HTTP కంటెంట్ యొక్క పంపిణీ చేయబడిన లేదా హోస్ట్ చేయబడిన కాషింగ్ - బ్రాంచ్ ఆఫీస్ వినియోగదారుల కోసం WAN బ్యాండ్విడ్త్ మరియు జాప్యాన్ని తగ్గిస్తుంది.
Windows Defender Application Control (WDAC)
హైపర్వైజర్-రక్షిత కోడ్ సమగ్రత - విశ్వసనీయ ఎక్జిక్యూటబుల్లు, డ్రైవర్లు మరియు స్క్రిప్ట్లను మాత్రమే అనుమతించండి. కెర్నల్ స్థాయిలో ransomware మరియు ఫైల్లెస్ మాల్వేర్లను బ్లాక్ చేస్తుంది.
AppLocker
EXEలు, MSIలు, స్క్రిప్ట్లు మరియు స్టోర్ యాప్ల కోసం నియమాల సేకరణలతో వినియోగదారు-మోడ్ అప్లికేషన్ వైట్లిస్టింగ్. పరీక్ష కోసం ఆడిట్ మోడ్.
Microsoft Defender for Endpoint
పూర్తి ఎంటర్ప్రైజ్ EDR - బిహేవియరల్ సెన్సార్లు, క్లౌడ్ AI, ఆటోమేటెడ్ ఇన్వెస్టిగేషన్, థ్రెట్ & వల్నరబిలిటీ మేనేజ్మెంట్ మరియు ప్రతిస్పందన చర్యలు (ఐసోలేషన్, క్వారంటైన్).
BitLocker
TPM మరియు PINతో పూర్తి-డిస్క్ ఎన్క్రిప్షన్. ఎంటర్ప్రైజ్ బిట్లాకర్ నెట్వర్క్ అన్లాక్ (కార్పొరేట్ నెట్వర్క్కు కనెక్ట్ చేసినప్పుడు ఎన్క్రిప్టెడ్ డ్రైవ్ నుండి బూట్ చేయండి) మరియు మైక్రోసాఫ్ట్ బిట్లాకర్ అడ్మినిస్ట్రేషన్ అండ్ మానిటరింగ్ (MBAM) ఇంటిగ్రేషన్ను జోడిస్తుంది.
Windows Hello for Business
బయోమెట్రిక్స్ + TPM ఉపయోగించి రెండు-కారకాల ప్రమాణీకరణ. కీ-ఆధారిత లేదా సర్టిఫికేట్-ఆధారిత ప్రమాణీకరణతో పాస్వర్డ్లను భర్తీ చేస్తుంది. Azure AD మరియు ఆన్-ప్రాంగణ ADకి మద్దతు ఇస్తుంది.
Desktop Analytics
విండోస్ ఫీచర్ అప్డేట్లతో అప్లికేషన్ అనుకూలతను అంచనా వేయడానికి కాన్ఫిగరేషన్ మేనేజర్తో ఇంటిగ్రేషన్. పైలట్ సిఫార్సులు మరియు రోల్బ్యాక్ అంతర్దృష్టులను అందిస్తుంది.
Windows Update for Business (Advanced)
ఫీచర్ అప్డేట్లను 365 రోజుల వరకు, నాణ్యత అప్డేట్లను 30 రోజుల వరకు వాయిదా వేయండి. నవీకరణ రింగ్లతో పరికర సమూహాలను (పైలట్, విస్తృత, క్లిష్టమైన) సృష్టించండి. డెలివరీ ఆప్టిమైజేషన్ (పీర్-టు-పీర్)తో అనుసంధానం అవుతుంది.
Universal Print
క్లౌడ్-ఆధారిత ముద్రణ పరిష్కారం - ప్రింట్ సర్వర్లు అవసరం లేదు. ఎంటర్ప్రైజ్ ఎడిషన్లో యూనివర్సల్ ప్రింట్ కనెక్టర్ల నిర్వహణ మరియు ప్రతి వినియోగదారు ప్రింట్ జాబ్ కోటా ఉన్నాయి.
Microsoft Endpoint Manager (Intune + ConfigMgr) Co‑management
క్లౌడ్ MDM (Intune) మరియు ఆన్-ప్రాంగణ SCCM రెండింటితో పరికరాలను సజావుగా నిర్వహించండి. షరతులతో కూడిన యాక్సెస్, సమ్మతి విధానాలు మరియు రిమోట్ చర్యలు (వైప్, రిటైర్, సింక్) ప్రారంభిస్తుంది.
Long‑Term Servicing Channel (LTSC)
ఫీచర్ మార్పులు లేకుండా 10 సంవత్సరాల భద్రతా అప్డేట్లు – స్థిర ప్రయోజన పరికరాల కోసం (ATMలు, వైద్యం, పారిశ్రామిక). సాఫ్ట్వేర్ హామీతో మాత్రమే.
Credential Guard & Virtualisation‑Based Security
ఆపరేటింగ్ సిస్టమ్ నుండి రహస్యాలను వేరు చేయండి - కెర్నల్ మాల్వేర్ కూడా హ్యాష్లను దొంగిలించదు
How Credential Guard Works
హార్డ్వేర్-వివిక్త వర్చువల్ మెషీన్లో లోకల్ సెక్యూరిటీ అథారిటీ సబ్సిస్టమ్ సర్వీస్ (LSASS)ని అమలు చేయడానికి క్రెడెన్షియల్ గార్డ్ వర్చువలైజేషన్-బేస్డ్ సెక్యూరిటీ (VBS)ని ఉపయోగిస్తుంది. ఈ సురక్షిత VM వెలుపల ఉన్న Windows ప్రాసెస్లు లోపల నిల్వ చేయబడిన హాష్ క్రెడెన్షియల్లు, Kerberos టిక్కెట్లు లేదా NTLM హ్యాష్లను యాక్సెస్ చేయలేవు. పాస్-ది-హాష్ మరియు పాస్-ది-టికెట్ దాడులు అసాధ్యమవుతాయి ఎందుకంటే రహస్యాలు ఎప్పుడూ ఏకాంత వాతావరణాన్ని వదిలివేస్తాయి.
Requirements & Enablement
Intel VT‑x (విస్తరించిన పేజీ పట్టికలతో) లేదా AMD‑V (రాపిడ్ వర్చువలైజేషన్ ఇండెక్సింగ్తో), UEFI లాక్ మరియు TPM 2.0తో 64-బిట్ CPU అవసరం. గ్రూప్ పాలసీ ద్వారా ప్రారంభించండి: `కంప్యూటర్ కాన్ఫిగరేషన్ → అడ్మినిస్ట్రేటివ్ టెంప్లేట్లు → సిస్టమ్ → డివైస్ గార్డ్ → వర్చువలైజేషన్ బేస్డ్ సెక్యూరిటీని ఆన్ చేయండి`. 'క్రెడెన్షియల్ గార్డ్తో ప్రారంభించబడింది'కి సెట్ చేయండి.
Key Protection & Remote Credential Guard
క్రెడెన్షియల్ గార్డ్ కీ ట్రస్ట్ (TPM‑బౌండ్ కీలు) మరియు సర్టిఫికేట్ ట్రస్ట్ (స్మార్ట్కార్డ్ సర్టిఫికేట్లు) కూడా రక్షిస్తుంది. రిమోట్ క్రెడెన్షియల్ గార్డ్ దీన్ని RDP సెషన్లకు విస్తరిస్తుంది - వినియోగదారు రిమోట్ PCకి కనెక్ట్ చేసినప్పుడు, వారి ఆధారాలు క్లయింట్ మెషీన్ను ఎప్పటికీ వదిలివేయవు. టార్గెట్ PC Kerberos సర్వీస్ టిక్కెట్ను అందుకుంటుంది, వినియోగదారు పాస్వర్డ్ హాష్ కాదు.
Performance Impact
VBS సురక్షిత VM మరియు సాధారణ OS మధ్య కాంటెక్స్ట్ మారడం కోసం చిన్న ఓవర్హెడ్ (2‑5% CPU)ని విధిస్తుంది. ఆధునిక సర్వర్-క్లాస్ హార్డ్వేర్లో, చాలా పనిభారానికి ఇది చాలా తక్కువ. కొన్ని లెగసీ డ్రైవర్లు మరియు అప్లికేషన్లు (ముఖ్యంగా యాంటీ-చీట్ గేమ్ సాఫ్ట్వేర్) అననుకూలంగా ఉన్నాయి మరియు VBSని ఆన్ చేయకుండా బ్లాక్ చేస్తాయి.
Windows Defender Application Guard (WDAG)
హార్డ్వేర్-వివిక్త బ్రౌజింగ్ - అవిశ్వసనీయ వెబ్సైట్లను సర్ఫ్ చేయడానికి అత్యంత సురక్షితమైన మార్గం
Hyper‑V Container per Browser Session
WDAG మైక్రోసాఫ్ట్ ఎడ్జ్ను తేలికపాటి హైపర్-వి కంటైనర్లో ప్రారంభించింది. ఈ కంటైనర్ హోస్ట్ OS కాపీని ఉపయోగిస్తుంది కానీ హోస్ట్ మెమరీ, స్టోరేజ్ లేదా నెట్వర్క్ స్టాక్కు (వర్చువల్ స్విచ్ ద్వారా తప్ప) యాక్సెస్ లేకుండా ప్రత్యేక వర్చువల్ మెషీన్లో రన్ అవుతుంది. వెబ్సైట్ బ్రౌజర్ను దుర్వినియోగం చేస్తే, దాడి చేసే వ్యక్తి కంటైనర్కు మాత్రమే ప్రాప్యతను పొందుతాడు - హోస్ట్ పూర్తిగా తాకబడదు.
Configuration & Policies
గ్రూప్ పాలసీ లేదా ఇంట్యూన్ ద్వారా ప్రారంభించండి: `అడ్మినిస్ట్రేటివ్ టెంప్లేట్లు → విండోస్ కాంపోనెంట్స్ → విండోస్ డిఫెండర్ అప్లికేషన్ గార్డ్ → విండోస్ డిఫెండర్ అప్లికేషన్ గార్డ్ని ఆన్ చేయండి`. విధానాలు క్లిప్బోర్డ్ యాక్సెస్ (కాపీ/పేస్ట్ అనుమతించాలా?), ఫైల్ డౌన్లోడ్ దారి మళ్లింపు (హోస్ట్కు సేవ్ చేయాలా?) మరియు కంటైనర్ నుండి ప్రింటింగ్ను నియంత్రిస్తాయి. మీరు ఎంటర్ప్రైజ్ రిసోర్స్ ట్రస్ట్ని కూడా నిర్వచించవచ్చు (ఉదా., అంతర్గత షేర్పాయింట్ సైట్లు సాధారణ ఎడ్జ్లో తెరవబడతాయి).
Performance & User Experience
కంటైనర్ను రూపొందించడానికి మొదటి ప్రయోగానికి 5-10 సెకన్లు పడుతుంది; కాషింగ్ కారణంగా తదుపరి లాంచ్లు వేగంగా ఉంటాయి. ఒకసారి లోపలికి, బ్రౌజింగ్ సమీప-స్థానికమైనది. కంటైనర్ ఏ డేటాను కొనసాగించదు - కంటైనర్ మూసివేయబడినప్పుడు కుక్కీలు, డౌన్లోడ్లు మరియు బ్రౌజింగ్ చరిత్ర విస్మరించబడతాయి. వినియోగదారులు 'అప్లికేషన్ గార్డ్' మోడ్లో ఉన్నారని సూచించే ప్రత్యేక UIని చూస్తారు.
Integration with Defender for Endpoint
కంటైనర్ లోపల మాల్వేర్ నమూనా గుర్తించబడితే, ఎండ్పాయింట్ కోసం డిఫెండర్ ఆటోమేటిక్గా పేలోడ్ని సేకరించి విశ్లేషణ కోసం సమర్పించవచ్చు. అనుమానాస్పద ప్రవర్తన గుర్తించబడితే, కంటైనర్ స్వయంచాలకంగా తెలిసిన-మంచి స్థితికి రీసెట్ చేయబడుతుంది.
DirectAccess & BranchCache
పంపిణీ చేయబడిన సంస్థల కోసం అతుకులు లేని రిమోట్ యాక్సెస్ మరియు WAN ఆప్టిమైజేషన్
DirectAccess – Always On VPN
DirectAccess పరికరం ఇంటర్నెట్ యాక్సెస్ను కలిగి ఉన్న వెంటనే కార్పొరేట్ నెట్వర్క్కు ఆటోమేటిక్, పారదర్శక, ఎల్లప్పుడూ IPsec సొరంగంను అందిస్తుంది. వినియోగదారు ఇన్పుట్ లేదు (క్లిక్-టు-కనెక్ట్ లేదు) - ఇది ప్రామాణీకరణ కోసం మెషిన్ సర్టిఫికేట్లను ఉపయోగిస్తుంది. వినియోగదారులు NATలు మరియు ఫైర్వాల్ల వెనుక కూడా అంతర్గత వనరులను (ఫైల్ షేర్లు, ఇంట్రానెట్ సైట్లు) యాక్సెస్ చేస్తారు. DirectAccess కూడా మల్టీ-సైట్ విస్తరణకు మద్దతు ఇస్తుంది మరియు నెట్వర్క్ యాక్సెస్ ప్రొటెక్షన్ (NAP) (లెగసీ)తో అనుసంధానిస్తుంది.
DirectAccess vs Traditional VPN
సాంప్రదాయ VPNకి వినియోగదారుని మాన్యువల్గా కనెక్ట్ చేయడం అవసరం, నిష్క్రియ తర్వాత డిస్కనెక్ట్ చేయవచ్చు మరియు వినియోగదారు లాగిన్కి ముందు పని చేయదు. DirectAccess లాగిన్ చేయడానికి ముందు స్వయంచాలకంగా కనెక్ట్ అవుతుంది, నిరవధికంగా కనెక్ట్ చేయబడి ఉంటుంది మరియు ఫోర్స్ టన్నెలింగ్ (కార్పొరేట్ నెట్వర్క్ ద్వారా మొత్తం ఇంటర్నెట్ ట్రాఫిక్ మళ్లించబడుతుంది) లేదా స్ప్లిట్ టన్నెలింగ్కు మద్దతు ఇస్తుంది. ల్యాప్టాప్ల రిమోట్ మేనేజ్మెంట్ మరియు అంతర్గత వనరులకు స్థిరమైన యాక్సెస్ కోసం ఇది అనువైనది.
BranchCache – Reduce WAN Traffic
స్థానిక క్లయింట్ PCలు లేదా ఆన్-సైట్ హోస్ట్ చేయబడిన కాష్ సర్వర్లోని రిమోట్ ఫైల్ సర్వర్లు (SMB షేర్లు) మరియు HTTP (వెబ్) సర్వర్ల నుండి BranchCache కంటెంట్ను క్యాష్ చేస్తుంది. డిస్ట్రిబ్యూటెడ్ కాష్ మోడ్లో, ప్రతి క్లయింట్ కంటెంట్ను క్యాష్ చేస్తుంది మరియు స్థానిక LAN డిస్కవరీ (WS-డిస్కవరీ) ద్వారా పీర్ క్లయింట్లతో షేర్ చేస్తుంది. హోస్ట్ చేసిన కాష్ మోడ్లో, డెడికేటెడ్ విండోస్ సర్వర్ సెంట్రల్ కాష్గా పనిచేస్తుంది. అదే ఫైల్ కోసం తదుపరి అభ్యర్థనలు స్థానిక కాష్ నుండి అందించబడతాయి, జాప్యం మరియు WAN వినియోగాన్ని బాగా తగ్గిస్తాయి.
BranchCache Security
SHA‑256ని ఉపయోగించి డేటా గుప్తీకరించబడింది మరియు సమగ్రతను తనిఖీ చేస్తుంది. క్లయింట్లు వారు అభ్యర్థించే ఫైల్లోని భాగాలను మాత్రమే స్వీకరిస్తారు మరియు అనధికార పునర్నిర్మాణాన్ని నిరోధించడానికి కాష్ విభజించబడింది. బ్రాంచ్కాష్ HTTP మరియు SMB ప్రోటోకాల్ల ద్వారా పని చేస్తుంది, Windows ఫైల్ సర్వర్తో సజావుగా అనుసంధానించబడింది.
Windows Defender Application Control (WDAC) & AppLocker
జీరో-ట్రస్ట్ అప్లికేషన్ వైట్లిస్టింగ్ – ఆమోదించబడిన సాఫ్ట్వేర్ మాత్రమే నడుస్తుంది
WDAC – Hypervisor‑Protected Code Integrity
WDAC (గతంలో డివైస్ గార్డ్) నిర్వాహకులు ఏ ఎక్జిక్యూటబుల్ ఫైల్లు, డ్రైవర్లు, స్క్రిప్ట్లు మరియు MSIలు విశ్వసించబడతాయో ఖచ్చితంగా పేర్కొనడానికి అనుమతిస్తుంది. నియమాలు ఫైల్ పాత్, పబ్లిషర్ (డిజిటల్ సర్టిఫికేట్) లేదా ఫైల్ హాష్ ఆధారంగా ఉంటాయి. విధానం హైపర్వైజర్ (HVCI) ద్వారా అమలు చేయబడుతుంది మరియు కెర్నల్-మోడ్ మాల్వేర్ ద్వారా దాటవేయబడదు. WDAC తెలిసిన మాల్వేర్ను మాత్రమే కాకుండా దాడి చేసేవారు ఉపయోగించే 'లివింగ్ ఆఫ్ ది ల్యాండ్' బైనరీలను (ఉదా., PowerShell, wmic) కూడా బ్లాక్ చేయగలదు.
WDAC vs AppLocker
AppLocker అనేది ఎంటర్ప్రైజ్ (మరియు ప్రో)లో అందుబాటులో ఉన్న వినియోగదారు-మోడ్ విధాన పరిష్కారం - నిర్వహించడం సులభం కానీ కెర్నల్ డ్రైవర్ల ద్వారా దాటవేయబడుతుంది. WDAC అనేది కెర్నల్-మోడ్, హైపర్వైజర్-రక్షిత పరిష్కారం - చాలా బలమైనది కానీ జాగ్రత్తగా ప్రణాళిక మరియు పరీక్ష అవసరం. చాలా సంస్థలు రెండింటినీ ఉపయోగిస్తాయి: క్లిష్టమైన సిస్టమ్ రక్షణ కోసం WDAC, వినియోగదారు యాప్ పరిమితుల కోసం AppLocker.
Creating WDAC Policies
సూచన PCలో `ConfigCI` పవర్షెల్ మాడ్యూల్ని ఉపయోగించండి. `కొత్త-CIPolicy` సిస్టమ్ను స్కాన్ చేస్తుంది మరియు ప్రస్తుతం ఇన్స్టాల్ చేయబడిన అన్ని అప్లికేషన్లు మరియు డ్రైవర్ల అనుమతి జాబితాను రూపొందిస్తుంది. `ConvertFrom-CIPolicy` బైనరీ ఆకృతికి మారుస్తుంది. గ్రూప్ పాలసీ లేదా MDM ద్వారా అమలు చేయండి. వాస్తవానికి బ్లాక్ చేయకుండా బ్లాక్ చేయబడిన వాటిని లాగ్ చేయడానికి మీరు మొదట ఆడిట్ మోడ్లో అమలు చేయవచ్చు.
AppLocker Rulesets for Enterprises
AppLocker ఐదు నియమాల సేకరణలకు మద్దతు ఇస్తుంది: ఎక్జిక్యూటబుల్స్ (.exe, .com), విండోస్ ఇన్స్టాలర్లు (.msi, .msp), స్క్రిప్ట్లు (.ps1, .bat, .vbs, .js), DLLలు మరియు ప్యాక్ చేయబడిన యాప్లు (స్టోర్ యాప్లు). ఒక్కో వినియోగదారు సమూహానికి పాలసీలు వర్తించవచ్చు. ఉదాహరణకు: `C:\Program Files` మరియు `C:\Program Files (x86)` నుండి ప్రోగ్రామ్లను అమలు చేయడానికి వినియోగదారులందరినీ అనుమతించండి, కానీ `%USERPROFILE%\Downloads` లేదా `%TEMP%` నుండి అమలు చేయడాన్ని తిరస్కరించండి.
Microsoft Defender for Endpoint (formerly ATP)
స్వయంచాలక పరిశోధన మరియు ప్రతిస్పందనతో ఎంటర్ప్రైజ్ EDR
Next‑Generation Protection
బిహేవియరల్ సెన్సార్లు, క్లౌడ్ AI మరియు మెషిన్ లెర్నింగ్ మోడల్లు ప్రాసెస్ బిహేవియర్లు, నెట్వర్క్ కనెక్షన్లు మరియు రిజిస్ట్రీ మార్పులను విశ్లేషిస్తాయి. దాడి ఉపరితల తగ్గింపు నియమాలు (ఉదా., చైల్డ్ ప్రాసెస్లను సృష్టించకుండా ఆఫీస్ను బ్లాక్ చేయండి, ఇమెయిల్ క్లయింట్ నుండి ఎక్జిక్యూటబుల్ కంటెంట్ను బ్లాక్ చేయండి) సాధారణ ఇన్ఫెక్షన్ వెక్టర్లను నిరోధించండి.
Endpoint Detection & Response (EDR)
ఎండ్పాయింట్లలో లోతైన దృశ్యమానత: అనుమానాస్పద ప్రవర్తనలపై హెచ్చరికలు, యంత్రాల్లోని పరిశోధనలు మరియు ప్రాసెస్ ట్రీల టైమ్లైన్ వీక్షణలు. భద్రతా కార్యకలాపాల కేంద్రాలు (SOCలు) 6 నెలల వరకు (లైసెన్స్ ఆధారంగా) ముడి టెలిమెట్రీని ప్రశ్నించవచ్చు.
Automated Investigation & Remediation
హెచ్చరిక ప్రేరేపించబడినప్పుడు, ఎండ్పాయింట్ కోసం డిఫెండర్ స్వయంచాలకంగా సంఘటనను పరిశోధించగలదు: మూల కారణాన్ని గుర్తించడం, నెట్వర్క్ నుండి ప్రభావితమైన మెషీన్లను వేరుచేయడం (Microsoft Intune ఇంటిగ్రేషన్ ఉపయోగించి) మరియు హానికరమైన కళాఖండాలను (ఫైళ్లు, రిజిస్ట్రీ కీలు, షెడ్యూల్ చేసిన పనులు) తీసివేయడం.
Threat & Vulnerability Management (TVM)
TVM తప్పిపోయిన భద్రతా నవీకరణలు, తప్పు కాన్ఫిగరేషన్లు (ఉదా. బలహీనమైన ఫైర్వాల్ నియమాలు) మరియు హాని కలిగించే సాఫ్ట్వేర్ సంస్కరణలను నిరంతరం కనుగొంటుంది. ఇది ప్రమాద-ఆధారిత ప్రాధాన్యతను అందిస్తుంది - దోపిడీ సంభావ్యత మరియు ఆస్తి బహిర్గతం ఆధారంగా 'ప్యాచ్ ఫస్ట్' సిఫార్సులు.
Long‑Term Servicing Channel (LTSC)
ఫీచర్ మార్పులు లేకుండా 10 సంవత్సరాల భద్రతా అప్డేట్లు – స్థిర-ప్రయోజన పరికరాల కోసం
What is LTSC?
లాంగ్-టర్మ్ సర్వీసింగ్ ఛానెల్ (గతంలో LTSB) అనేది Windows 10 ఎంటర్ప్రైజ్ యొక్క ప్రత్యేక ఎడిషన్, ఇది ఫీచర్ అప్డేట్లను స్వీకరించదు కాదు. ఇది 10 సంవత్సరాల వరకు భద్రత మరియు నాణ్యత అప్డేట్లను మాత్రమే కలిగి ఉంటుంది (5 సంవత్సరాలు ప్రధాన స్రవంతి + 5 సంవత్సరాలు పొడిగించబడింది). కార్యాచరణను ఎప్పటికీ మార్చకూడని పరికరాలకు అనువైనది: ATMలు, వైద్య పరికరాలు (MRI, CT స్కానర్లు), పారిశ్రామిక నియంత్రణ వ్యవస్థలు (SCADA), కియోస్క్లు మరియు ఎంబెడెడ్ సిస్టమ్లు.
What’s Missing in LTSC
మైక్రోసాఫ్ట్ ఎడ్జ్ (లెగసీ వెర్షన్ మాత్రమే, క్రోమియం కాదు), Windows స్టోర్, కోర్టానా, ఇన్బాక్స్ యాప్లు (మెయిల్, క్యాలెండర్, కాలిక్యులేటర్), వన్డ్రైవ్ మరియు టైమ్లైన్ మరియు సెట్ల వంటి ఆధునిక ఫీచర్లు లేకుండా LTSC షిప్లు. ఇది Windows 10 యొక్క సెమీ-వార్షిక ఫీచర్ అప్డేట్లకు కూడా మద్దతు ఇవ్వదు (ఉదా., 21H2, 22H2). ఇది కొత్త హార్డ్వేర్తో LTSC అననుకూలంగా చేస్తుంది (డ్రైవర్లకు కొత్త Windows బిల్డ్లు అవసరం కావచ్చు).
Licensing & Availability
యాక్టివ్ సాఫ్ట్వేర్ అస్యూరెన్స్ (వాల్యూమ్ లైసెన్సింగ్) లేదా Microsoft 365 E3/E5 (అక్కడ LTSC లేదు - మీకు SA అవసరం) ద్వారా వినియోగదారులకు LTSC మాత్రమే అందుబాటులో ఉంది. ప్రతి కొత్త LTSC విడుదల దాని విడుదల తేదీ నుండి 10 సంవత్సరాల పాటు మద్దతు ఇస్తుంది (ఉదా., Windows 10 Enterprise LTSC 2019 2029 వరకు, LTSC 2021 2031 వరకు మద్దతు ఇస్తుంది). క్లీన్ ఇన్స్టాల్ లేకుండా మీరు ఒక LTSC విడుదల నుండి మరొకదానికి అప్గ్రేడ్ చేయలేరు.
LTSC vs Semi‑Annual Channel (SAC)
చాలా ఎంటర్ప్రైజ్ పరికరాలు సెమీ-వార్షిక ఛానెల్ (SAC)ని ఉపయోగించాలి - సంవత్సరానికి రెండుసార్లు కొత్త ఫీచర్లను పొందండి. LTSC అనేది UI మార్పులను తట్టుకోలేని లేదా ఫీచర్ అప్డేట్ల కోసం రీబూట్ చేయలేని క్లిష్టమైన మౌలిక సదుపాయాల కోసం ఒక ప్రత్యేక సాధనం. సాధారణ-ప్రయోజన డెస్క్టాప్లు, ఆఫీస్ లేదా డెవలప్మెంట్ మెషీన్ల కోసం LTSCని ఉపయోగించకుండా Microsoft సలహా ఇస్తుంది.
Pros
- ✓ అసమానమైన భద్రత - క్రెడెన్షియల్ గార్డ్, అప్లికేషన్ గార్డ్, WDAC మరియు ఎండ్పాయింట్ కోసం డిఫెండర్ లోతైన రక్షణను అందిస్తాయి
- ✓డైరెక్ట్ యాక్సెస్ వినియోగదారుని ఎదుర్కొనే VPN – అతుకులు లేని రిమోట్ యాక్సెస్ నిర్వహణను తొలగిస్తుంది
- ✓BranchCache ఫైల్ సర్వర్లు మరియు వెబ్ యాప్ల కోసం శాఖ కార్యాలయ అనుభవాన్ని నాటకీయంగా మెరుగుపరుస్తుంది
- ✓పూర్తి పరికర నిర్వహణ – Intune, ConfigMgr, గ్రూప్ పాలసీ మరియు సహ-నిర్వహణ
- ✓వ్యాపారం కోసం విండోస్ అప్డేట్ 1-సంవత్సరం వాయిదాతో – మీ షెడ్యూల్లో అప్డేట్లను ప్లాన్ చేయండి
- ✓దీర్ఘకాలిక సేవల ఛానెల్ (LTSC) నియంత్రణ లేదా స్థిరత్వం-క్లిష్ట వాతావరణాల కోసం
- ✓AppLocker + WDAC – కెర్నల్ నుండి వినియోగదారు మోడ్ వరకు జీరో-ట్రస్ట్ అప్లికేషన్ విధానాలను అమలు చేయండి
- ✓ఎండ్పాయింట్ కోసం మైక్రోసాఫ్ట్ డిఫెండర్ థర్డ్-పార్టీ ఏజెంట్లు లేకుండా ఎంటర్ప్రైజ్ EDRని అందిస్తుంది
- ✓డెస్క్టాప్ అనలిటిక్స్ వాస్తవ ప్రపంచ అనుకూల డేటాతో అప్గ్రేడ్ ప్రమాదాన్ని తగ్గిస్తుంది
- ✓రిమోట్ క్రెడెన్షియల్ గార్డ్ RDP సెషన్ల సమయంలో ఆధారాలను రక్షిస్తుంది
- ✓యూనివర్సల్ ప్రింట్ ప్రింట్ సర్వర్ సంక్లిష్టతను తగ్గిస్తుంది
- ✓S మోడ్లో Windows 10కి మద్దతిస్తుంది – మైక్రోసాఫ్ట్ స్టోర్ యాప్లకు మాత్రమే లాక్ డౌన్, అల్ట్రా-నిరోధిత పరిసరాల కోసం
Cons
- ✗రిటైల్ కోసం అందుబాటులో లేదు – వాల్యూమ్ లైసెన్సింగ్ ఒప్పందం అవసరం (Microsoft 365 E3/E5 లేదా సాఫ్ట్వేర్ అస్యూరెన్స్)
- ✗అధిక ధర ప్రో కంటే – ఒక్కో వినియోగదారు/పరికరానికి సబ్స్క్రిప్షన్ ఫీజులు (సాధారణంగా మైక్రోసాఫ్ట్ 365లో భాగంగా ఒక్కో వినియోగదారుకు/నెలకు $7–$14)
- ✗సంక్లిష్టత - అనేక ఫీచర్లు (WDAC, క్రెడెన్షియల్ గార్డ్, అప్లికేషన్ గార్డ్) జాగ్రత్తగా ప్రణాళిక మరియు పరీక్ష అవసరం
- ✗హార్డ్వేర్ అవసరాలు – VBS ఫీచర్లకు TPM 2.0, UEFI మరియు ఇటీవలి CPUలు అవసరం; పాత పరికరాలు వాటికి మద్దతు ఇవ్వకపోవచ్చు
- ✗అప్లికేషన్ అనుకూలత సమస్యలు – WDAC చట్టబద్ధమైన సాఫ్ట్వేర్ను నిరోధించగలదు; క్రెడెన్షియల్ గార్డ్ కొన్ని థర్డ్-పార్టీ ప్రామాణీకరణ మాడ్యూల్లను విచ్ఛిన్నం చేస్తుంది
- ✗పనితీరు ఓవర్హెడ్ – VBS (క్రెడెన్షియల్ గార్డ్, HVCI) పనితీరును 2‑8% తగ్గించగలదు, అధిక-I/O లేదా గేమింగ్ వర్క్లోడ్లలో గమనించవచ్చు
- ✗డైరెక్ట్ యాక్సెస్కి విండోస్ సర్వర్ ఇన్ఫ్రాస్ట్రక్చర్ అవసరం (డైరెక్ట్ యాక్సెస్ సర్వర్, PKI, DNS మరియు IPv6 ట్రాన్సిషన్ టెక్నాలజీలు)
- ✗BranchCacheకి Windows సర్వర్ ఫైల్ సర్వర్లు మరియు జాగ్రత్తగా కాష్ పరిమాణం అవసరం
- ✗మద్దతు అక్టోబర్ 14, 2025తో ముగుస్తుంది – అన్ని Windows 10 ఎడిషన్ల మాదిరిగానే (నిర్దిష్ట విడుదలల కోసం LTSC 2031కి వెళుతుంది)
- ✗ వినియోగదారు ఫీచర్లు లేవు – Cortana, Windows స్టోర్ (నిలిపివేయవచ్చు), వినియోగదారు క్లౌడ్ అనుభవాలు విధానం ద్వారా ఆఫ్ చేయబడతాయి (వినియోగదారులను ఆశించే వారిని గందరగోళానికి గురిచేయవచ్చు)
- ✗LTSCలో ఆధునిక బ్రౌజర్లు మరియు యాప్ స్టోర్ లేవు – మైక్రోసాఫ్ట్ టీమ్స్, కొత్త ఎడ్జ్ లేదా స్టోర్ యాప్లను ప్రత్యామ్నాయాలు లేకుండా ఇన్స్టాల్ చేయడం సాధ్యం కాదు
Use Cases
Hidden & Useful Shortcuts
Master Windows 10 with these time‑saving keyboard shortcuts
Open Start Menu (Cortana disabled by default on Enterprise)
Open Action Centre
Show desktop
Open File Explorer
Open Settings
Lock workstation – secure against physical access
Open Run – use `secpol.msc` (local security), `gpedit.msc` (group policy), `wdagtool.exe` (Application Guard CLI)
Open Quick Link menu – includes Windows Terminal (if installed), Disk Management, Event Viewer
Open Search (Cortana disabled but search works)
Task View – virtual desktops (useful for separating classified and unclassified work)
New virtual desktop
Close current virtual desktop
Switch between virtual desktops
Open Game Bar (if not removed by policy)
Open Snip & Sketch for custom screenshots
Open clipboard history (if enabled by policy)
Emoji panel
Open Task Manager – can view VBS status (Performance → Virtualisation)
Open System Properties (shows 'Windows 10 Enterprise')
Open Connect (wireless displays) – may be disabled via policy
Open dictation (if not disabled)
Check TPM status (required for Credential Guard)
System Information – see 'Virtualisation‑Based Security' status
Advanced user account management
Computer Management – Local Users, Disk Management, Services
Windows Firewall with Advanced Security
Technical Specifications
| Architecture | 64‑bit (x86‑64) – 32‑bit available but deprecated; LTSC includes 32‑bit |
| Processor | 1 GHz or faster with 2 or more cores; supports up to 2 physical sockets (like Pro, not Workstation) |
| RAM | 4 GB minimum; maximum 2 TB for 64‑bit (same as Pro); Hyper‑V and VBS require additional memory overhead (~500 MB-2 GB) |
| Storage | 64 GB or larger drive (SSD strongly recommended); BitLocker requires TPM and UEFI |
| Graphics | DirectX 12 compatible with WDDM 2.0 driver; Application Guard requires GPU with Hyper‑V integration (any modern GPU) |
| Display | Minimum 800x600; recommended 1920x1080 or higher |
| TPM | TPM 2.0 required for Credential Guard and Device Guard; TPM 1.2 for BitLocker only |
| Virtualisation | Intel VT-x with EPT / AMD-V with RVI required for VBS, Credential Guard, Application Guard, and Hyper‑V |
| Secure Boot | Required for VBS features; strongly recommended for all Enterprise deployments |
| Memory for VBS | At least 8 GB RAM recommended if enabling Credential Guard or Application Guard (4 GB minimum, but performance suffers) |
| Internet | Required for initial setup, updates, DirectAccess, and Defender for Endpoint cloud features |
| DirectAccess Infrastructure | Requires Active Directory, PKI (smart card or machine certificates), and DirectAccess server running Windows Server 2016 or later |
Windows 10 Enterprise vs Windows 10 Pro vs Windows 10 Education
| Feature | enterprise | pro | education |
|---|---|---|---|
| Availability | Volume licensing (M365 E3/E5, SA) | Retail / OEM | Academic VL / Azure for Education (free) |
| Credential Guard | Yes | No | Yes (same as Enterprise) |
| Application Guard for Edge | Yes | No (consumer version only) | Yes |
| DirectAccess | Yes | No | Yes |
| BranchCache | Yes | No | Yes |
| WDAC (Hypervisor Code Integrity) | Yes (fully configurable) | Yes (but limited policies) | Yes (full) |
| AppLocker | Yes (full) | Yes (via GPO) | Yes |
| Microsoft Defender for Endpoint (ATP) | Yes (requires separate licence) | No | Yes (through M365 A5) |
| Long‑Term Servicing Channel (LTSC) | Yes (with SA) | No | No (only via VL, not free) |
| Desktop Analytics | Yes (with ConfigMgr) | No | Yes (with ConfigMgr) |
| Universal Print | Yes (full management) | Basic (client only) | Yes (with A3/A5) |
| Remote Desktop Host | Yes | Yes | Yes |
| Hyper‑V | Yes | Yes | Yes |
| Group Policy / MDM | Full (Intune + ConfigMgr co‑management) | Local + domain | Full (with appropriate licences) |
| Cortana | Disabled by default (can enable) | Enabled | Disabled by default |
| Max RAM (64‑bit) | 2 TB | 2 TB | 2 TB |
Frequently Asked Questions
Related Resources
- Windows 10 ఎంటర్ప్రైజ్ అవలోకనం (మైక్రోసాఫ్ట్)
- Microsoft 365 E3/E5 పోలిక
- క్రెడెన్షియల్ గార్డ్ డాక్యుమెంటేషన్
- విండోస్ డిఫెండర్ అప్లికేషన్ గార్డ్
- డైరెక్ట్ యాక్సెస్ డిప్లాయ్మెంట్ గైడ్
- BranchCache అవలోకనం
- WDAC (డివైస్ గార్డ్) క్రియేషన్ గైడ్
- ఎండ్పాయింట్ కోసం మైక్రోసాఫ్ట్ డిఫెండర్
- Windows 10 LTSC డాక్యుమెంటేషన్