Защита Ассоциаций

Runbook для защиты от перехвата ассоциаций Windows и Edge: встроенные приложения Microsoft, блокировка переустановки через AppLocker, снимки ассоциаций и отслеживание их смены.

Полный список GUI-параметров смотри в USER_GUIDE_RU.md в блоке Справочник параметров -> Защита ассоциаций.

Что Это За Слой

Раздел GUI ПРИЛОЖЕНИЯ ПО УМОЛЧАНИЮ состоит из семи вкладок:

Вкладка	Роль
ПОЛИТИКА	Официальный DISM/HKLM policy path: эталонный AppAssociations.xml и DefaultAssociationsConfiguration
MICROSOFT	Встроенные приложения Microsoft: убрать, вернуть, держать удалёнными
EDGE	Edge перестаёт перетягивать ссылки и типы файлов; WebView2 защищён
ОТСЛЕЖИВАНИЕ	Предупреждение о смене ассоциаций и исключения Defender для папок Audion
СНИМОК	Полная карта ассоциаций текущего пользователя
ГРУППЫ	Та же карта, но по группам файлов
ОБЩИЙ ОТЧЁТ	Все проверки раздела подряд, без изменений в системе

ПОЛИТИКА отвечает за то, чтобы Windows возвращала нужный набор при входе. Остальные вкладки закрывают другие проблемы:

• встроенные приложения Microsoft, которые снова забирают типы файлов;
• запрещающие правила AppLocker и задача повторного применения — против возврата после крупных обновлений;
• снимки ассоциаций текущего пользователя: общий и по группам файлов;
• усмирение Edge, исключения Defender и отслеживание смены.

Это не «debloat ради debloat». Цель — не дать Windows вернуть приложения, которые снова забирают file associations.

Быстрый Ритуал

1. Открой ПРИЛОЖЕНИЯ ПО УМОЛЧАНИЮ.
2. Запусти ОБЩИЙ ОТЧЁТ — сводка по всем вкладкам без изменений в системе.
3. На вкладке MICROSOFT начни с Проверить — что стоит в системе.
4. Отметь нужные приложения и оставь Пробный запуск.
5. Посмотри план, затем выполни Удалить и держать удалёнными — это удаление плюс защита от возврата.
6. На вкладке ПОЛИТИКА закрепи набор за Windows, чтобы он возвращался при входе.
7. На вкладке СНИМОК сохрани эталон, на ОТСЛЕЖИВАНИЕ включи предупреждения.

MICROSOFT: Встроенные Приложения

Каталог из 31 приложения разложен по группам: медиа и фото, игры, связь, новости и промо, заметки и утилиты. Чаще всего ассоциации забирают:

• Microsoft.Windows.Photos — Фотографии;
• Microsoft.ZuneVideo — Кино и ТВ;
• Microsoft.ZuneMusic — Медиаплеер;
• Clipchamp.Clipchamp — Clipchamp;
• Microsoft.WindowsCamera — Камера (нужна сканерам и QR).

Действия:

• Проверить — что стоит в системе — installed/provisioned по каждому приложению, состояние задачи удержания и правил AppLocker, без изменений.
• Удалить отмеченные приложения — снимает установленный пакет (для всех пользователей) и provisioned-копию.
• Удалить и держать удалёнными — то же плюс задача планировщика, повторяющая удаление после feature-апдейтов; на Pro/Enterprise дополнительно ставятся запрещающие правила AppLocker.
• Вернуть приложения — staged manifest -> RegisterByFamilyName -> Store. Результат зависит от образа Windows и доступности пакетов.
• Починить для новых пользователей — только перепровижининг, чтобы приложение получали новые профили.
• Перестать держать удалёнными — снимает задачу и правила Audion; приложения обратно не ставит, для этого есть Вернуть приложения.
• Проверить удержание сейчас — один прогон повторного применения вручную.
• Открыть папку удержания — журналы и сохранённый список в %ProgramData%\Audion\AppxGuard.

Пробный запуск работает для удаления, удержания и перепровижининга. Возврат приложений и снятие удержания всегда выполняют реальные изменения.

Непортативность PowerShell 5.1

AppX/AppLocker-команды намеренно запускаются через встроенный Windows PowerShell 5.1:

копироватьC:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

Это системный компонент Windows, а не portable runtime проекта. Нормальной официальной portable-сборки Windows PowerShell 5.1 для этих задач нет: модулю нужны системные AppX/AppLocker/CIM компоненты текущей Windows.

Portable PowerShell 7 остаётся полезным для других задач проекта, но для AppX/AppLocker он вреден как дефолтный рантайм: Windows PowerShell-модули в PS 7 могут работать через совместимость и возвращать Deserialized.* объекты вместо живых AppxPackage. Из-за этого Get-AppLockerFileInformation -Packages не может построить publisher rule.

EDGE

Edge никогда не удаляется. Вкладка снимает у него привычку клянчить роль браузера по умолчанию, работать в фоне и забирать типы файлов — через документированные политики HKLM. WebView2 явно защищён: на нём рисует интерфейс множество программ.

• Спокойно — без навязывания, first-run, фонового режима и промо-вкладок.
• Тихо — плюс боковая панель, Shopping, Collections, отзывы и лишние каналы Edge.
• Починить WebView2 — ставит официальный Evergreen Runtime.

Значки над формой показывают, какие типы Edge держит прямо сейчас; обнови список после смены браузера в Windows.

ОТСЛЕЖИВАНИЕ

Вкладка не выключает Defender целиком. Она управляет двумя точечными слоями:

• отслеживание смены ассоциаций: задача при входе сравнивает текущую карту с эталоном и показывает toast;
• исключения Defender для папок Audion.

Если нужна проверка «почему снова Edge/Фотографии», начинай со статуса и журнала отслеживания, а не с повторного удаления.

Снимок

Снимок - полная карта ассоциаций текущего пользователя, прочитанная прямо из реестра (HKCU ... FileExts\<.ext>\UserChoice\ProgId и то же самое для протоколов в UrlAssociations).

Типовой порядок:

1. Настрой defaults вручную в Windows.
2. СНИМОК -> Сравнить снимок с текущим состоянием.
3. Сохранить текущие ассоциации.
4. Проверь созданный файл в snapshots.

Восстановления здесь нет и не будет: Windows защищает личный выбор пользователя проверочной суммой, привязанной к пользователю и машине, а подделывать её проект отказывается. Вернуть программы на место - работа вкладки ПОЛИТИКА (DISM XML + HKLM DefaultAssociationsConfiguration).

Группы

Группы - тот же снимок, но по семействам файлов, когда defaults выставляются постепенно:

• photo;
• audio;
• video;
• pdf;
• documents;
• archives;
• browser;
• custom.

Состав групп совпадает с классификацией файлов в Audion Disk Tools, чтобы оба инструмента понимали под "фото" и "аудио" одно и то же. Обычный сценарий: поставить приложение, вручную назначить нужные ассоциации, зафиксировать группу, затем перейти к следующему типу файлов. Собрать общий снимок из групп склеивает группы в один файл для вкладки СНИМОК.

Типы без ассоциации в отчёте помечаются отдельно и это норма: в группе "фото" 67 типов, а реально назначено обычно два десятка.

Smoke

Минимальная проверка:

копироватьОбщий отчёт                        -> сводка по всем вкладкам, без изменений
Microsoft: проверить               -> installed/provisioned, задача удержания, правила AppLocker
Microsoft: удалить, пробный запуск  -> план удаления, система не меняется
Microsoft: перестать держать        -> снимает только задачу и правила Audion
Edge: проверить                     -> значения политик, состояние WebView2 и задач Edge
Отслеживание: проверить             -> состояние задачи и строка последней проверки
Снимок: сравнить                    -> дрейф относительно эталона или "снимка ещё нет"
Группы: проверить                   -> файлы групп и дрейф по каждой
Группы: сохранить photo, пробный    -> план записи группы, без изменений на диске