• Guide, Sicurezza, Sistemi Operativi
• 4 Agosto 2026

Quando si gestiscono postazioni condivise, aule scolastiche, chioschi multimediali, dispositivi industriali o sistemi dedicati a uno specifico scopo, uno dei requisiti più importanti è garantire che il sistema operativo rimanga sempre nello stato previsto dall’amministratore. In questi scenari è fondamentale impedire che installazioni accidentali, modifiche alle impostazioni o malware possano compromettere il corretto funzionamento del dispositivo.

Per rispondere a questa esigenza, Microsoft mette a disposizione Unified Write Filter (UWF), una funzionalità introdotta con Windows 10 e disponibile nelle edizioni Enterprise, Education e IoT Enterprise, oltre che nelle corrispondenti versioni di Windows 11. Eh già, non è disponibile nelle edizioni Home e Pro

UWF protegge il contenuto del disco intercettando tutte le operazioni di scrittura e reindirizzandole verso un’area temporanea. In questo modo le modifiche effettuate durante la sessione non vengono salvate in modo permanente e, al successivo riavvio, il sistema torna automaticamente allo stato originale.

Grazie a questo meccanismo è possibile mantenere le postazioni sempre affidabili, ridurre gli interventi di manutenzione e limitare il rischio che errori degli utenti o software indesiderati alterino la configurazione del sistema. Non a caso, Unified Write Filter è una delle tecnologie più utilizzate nei dispositivi kiosk, nei thin client, nei terminali POS e, più in generale, in tutti gli scenari in cui è richiesta una piattaforma stabile, prevedibile e semplice da gestire.

Come funziona Unified Write Filter

Il principio di funzionamento di Unified Write Filter è piuttosto semplice: invece di consentire a Windows di scrivere direttamente sul disco protetto, tutte le operazioni di scrittura vengono intercettate e reindirizzate verso un’area temporanea denominata overlay.

Dal punto di vista dell’utente, il sistema si comporta normalmente. È possibile installare applicazioni, modificare il Registro di sistema, cambiare le impostazioni di Windows, creare o eliminare file. Tutte queste operazioni sembrano permanenti, ma in realtà vengono registrate esclusivamente nell’overlay, lasciando inalterato il contenuto del volume protetto.

Quando il computer viene riavviato, l’overlay viene eliminato e il sistema riparte utilizzando i dati originali presenti sul disco. In altre parole, tutte le modifiche apportate durante la sessione vengono scartate e il dispositivo torna esattamente allo stato in cui si trovava prima dell’avvio.

Questo comportamento rende Unified Write Filter particolarmente adatto ai dispositivi condivisi o dedicati a un’attività specifica, dove è importante che ogni utente trovi un ambiente sempre identico al precedente. Allo stesso tempo, gli amministratori possono decidere quali file, cartelle o chiavi del Registro debbano rimanere persistenti, definendo apposite esclusioni, oppure disattivare temporaneamente la protezione per installare aggiornamenti o apportare modifiche permanenti al sistema.

Installare Unified Write Filter

Prima di poter utilizzare Unified Write Filter è necessario installare la relativa Funzionalità facoltativa di Windows. L’operazione può essere eseguita dall’interfaccia grafica cercando Turn Windows features on or off dal menu Start. Nella finestra Windows Features espandete Device Lockdown, selezionate Unified Write Filter e confermate l’installazione facendo clic su OK.

L’installazione può essere eseguita anche tramite PowerShell o DISM, semplificando l’automazione del processo durante la distribuzione dei sistemi. Per installare la funzionalità con PowerShell, eseguite il seguente comando da una console avviata con privilegi amministrativi:

In alternativa, è possibile utilizzare DISM:

Al termine dell’installazione è richiesto un riavvio del sistema. Solo dopo il riavvio sarà possibile procedere con la configurazione e l’attivazione della protezione dei volumi.

Figura 1: Installazione della funzionalità Unified Write Filter dalla finestra Windows Features

Dopo il riavvio, per verificare che Unified Write Filter sia stato installato correttamente, aprite una console PowerShell con privilegi amministrativi ed eseguite il comando:

Se il comando visualizza la guida dell’utilità UWFMGR, come mostrato nella figura seguente, significa che Unified Write Filter è installato correttamente. In questa fase, tuttavia, la funzionalità è presente ma non è ancora attiva e non protegge alcun volume.

Figura 2: L’utilità UWFMGR è disponibile dopo l’installazione di Unified Write Filter e consente di gestire e configurare la funzionalità da riga di comando

Abilitare Unified Write Filter

Prima di procedere, vi consiglio di configurare completamente il sistema e installare tutto il software necessario. Sebbene queste operazioni possano essere eseguite anche in un secondo momento, è preferibile partire da una configurazione già definitiva, riducendo così la necessità di disattivare temporaneamente Unified Write Filter per apportare modifiche permanenti.

Per impostazione predefinita Unified Write Filter è installato ma disabilitato. Prima di attivarlo è necessario specificare quali volumi devono essere protetti.

Per proteggere l’unità di sistema C:, eseguite il seguente comando da una console PowerShell con privilegi amministrativi:

Successivamente abilitate il filtro:

Infine, riavviate il computer per rendere effettive le modifiche:

Dopo il riavvio, tutte le scritture effettuate sull’unità C: verranno reindirizzate nell’overlay e saranno eliminate al successivo riavvio del sistema.

Figura 3: Protezione del volume C: e abilitazione di Unified Write Filter

Attenzione: Se dimenticate di configurare un’esclusione o di utilizzare la Servicing Mode ( di cui vi parlerò più tardi), qualsiasi modifica effettuata al sistema verrà persa al riavvio, compresi file copiati sul Desktop, installazioni di programmi e modifiche alle impostazioni di Windows.

Verificare lo stato di Unified Write Filter

Dopo il riavvio è possibile verificare che Unified Write Filter sia stato attivato correttamente e controllare lo stato del filtro eseguendo il comando:

Se la configurazione è stata applicata correttamente, l’output mostrerà che il filtro è ON sia per la Current Session sia per la Next Session.

Figura 4: Verifica dello stato di Unified Write Filter dopo il riavvio del sistema

Per visualizzare la configurazione completa di Unified Write Filter, inclusi i volumi protetti, l’overlay e le eventuali esclusioni configurate, è possibile utilizzare il comando:

Si tratta del comando più utile per ottenere una panoramica completa della configurazione corrente della funzionalità.

Come si può notare nella figura sotto, Windows visualizza automaticamente una notifica quando l’overlay raggiunge la soglia di avviso (Warning Threshold). Questo meccanismo consente di monitorare il consumo dello spazio riservato e di intervenire prima che venga raggiunta la soglia critica.

Figura 5: Il comando uwfmgr get-config visualizza la configurazione completa di Unified Write Filter

Gestire l’Overlay

L’overlay è un’area di archiviazione temporanea utilizzata da Unified Write Filter per memorizzare tutte le modifiche apportate ai volumi protetti. Quando il filtro è attivo, infatti, nessuna scrittura viene eseguita direttamente sul disco: file creati, applicazioni installate, modifiche al Registro di sistema e impostazioni di Windows vengono salvati esclusivamente nell’overlay.

Per impostazione predefinita, l’overlay viene creato in RAM e ha una dimensione predefinita di 1 GB. Al riavvio del computer il suo contenuto viene eliminato e il sistema torna automaticamente allo stato originale.

Per visualizzare la configurazione dell’overlay è possibile utilizzare il comando:

L’output mostra il tipo di overlay utilizzato, la Maximum size e le soglie Warning Threshold e Critical Threshold. Quando lo spazio occupato raggiunge la soglia di avviso, Windows visualizza una notifica per segnalare che l’overlay sta per esaurirsi. Se viene raggiunta la soglia critica, potrebbero verificarsi malfunzionamenti delle applicazioni che tentano di eseguire ulteriori operazioni di scrittura.

Figura 6: Il comando uwfmgr overlay get-config consente di visualizzare la configurazione dell’overlay

La dimensione dell’overlay dipende dal carico di lavoro del sistema. Se l’utente salva frequentemente file, installa applicazioni o utilizza software che genera molti dati temporanei, è opportuno aumentarla per evitare l’esaurimento dello spazio disponibile.

Come già anticipato, per impostazione predefinita l’overlay utilizza la RAM, una scelta che garantisce le migliori prestazioni ma che può risultare limitante sui sistemi con poca memoria disponibile. Nei dispositivi utilizzati quotidianamente preferisco utilizzare un overlay su disco, così da non sottrarre memoria alle applicazioni.

Per configurare l’overlay su disco eseguite il comando:

Quando si utilizza un Disk Overlay è inoltre possibile abilitare la modalità Free Space Passthrough, che consente all’overlay di utilizzare dinamicamente lo spazio libero disponibile sul volume invece di essere limitato alla sola dimensione configurata:

Modificare la configurazione di Unified Write Filter

Dopo aver attivato Unified Write Filter, alcune modifiche alla configurazione, come la dimensione dell’overlay, le soglie di avviso o le esclusioni, possono essere apportate solo con il filtro temporaneamente disabilitato.

La procedura da seguire è sempre la stessa:

1. Disabilitate Unified Write Filter.
2. Riavviate il computer.
3. Apportate le modifiche desiderate.
4. Riabilitate Unified Write Filter.
5. Riavviate nuovamente il sistema.

Per disabilitare il filtro eseguite il comando:

Dopo il riavvio sarà possibile modificare liberamente la configurazione di Unified Write Filter. Al termine delle operazioni riabilitate il filtro:

e riavviate nuovamente il sistema per rendere effettive le modifiche.

Configurare l’Overlay

La dimensione massima dell’overlay può essere modificata con il comando:

Per modificare la soglia di avviso:

Per modificare la soglia critica:

Al termine della configurazione, riabilitate il filtro:

e riavviate il computer per rendere effettive le modifiche.

Figura 7: Configurazione della dimensione dell’overlay e delle soglie di avviso con Unified Write Filter temporaneamente disabilitato

Configurare le esclusioni

In alcuni scenari può essere necessario mantenere persistenti specifici dati anche quando Unified Write Filter è attivo. È il caso, ad esempio, dei file di configurazione di un’applicazione, dei log o di particolari chiavi del Registro di sistema.

Per questo motivo Unified Write Filter permette di definire delle esclusioni, che vengono sempre scritte sul disco e non vengono eliminate al riavvio.

Per aggiungere una cartella alle esclusioni utilizzate il comando:

Per aggiungere una chiave del Registro di sistema:

Le esclusioni configurate possono essere visualizzate con i comandi:

Per rimuovere un’esclusione:

Nota: Le esclusioni devono essere utilizzate con attenzione. Una cartella o una chiave di registro esclusa dalla protezione continuerà a conservare tutte le modifiche anche quando Unified Write Filter è attivo.

Figura 8: Aggiunta e verifica delle esclusioni per file e Registro di sistema

Utilizzare la Servicing Mode

Quando è necessario installare gli aggiornamenti di Windows, aggiornare Microsoft Defender o eseguire attività di manutenzione, è consigliabile utilizzare la Servicing Mode.

A differenza della semplice disattivazione del filtro, questa modalità automatizza l’intero processo. Dopo averla abilitata, il computer viene riavviato in una speciale sessione di manutenzione nella quale Unified Write Filter è temporaneamente sospeso. Durante questa fase il sistema installa gli aggiornamenti e completa le attività di manutenzione, per poi riattivare automaticamente il filtro al termine delle operazioni.

Per abilitare la Servicing Mode è sufficiente eseguire il comando:

Al successivo riavvio verrà visualizzata la schermata Updating Device, che indica l’avvio della sessione di manutenzione. Se viene visualizzata la schermata di accesso dell’account speciale UWF-Servicing, non è necessario effettuare il login né inserire alcuna password: è sufficiente attendere il completamento delle operazioni di manutenzione e il successivo riavvio automatico del sistema. Se il riavvio non dovesse avvenire automaticamente, è possibile eseguirlo manualmente.

Suggerimento: La Servicing Mode è particolarmente indicata per l’installazione degli aggiornamenti di Windows e delle firme di Microsoft Defender, magari da fare durante la notte o in orari di inattività, poiché l’intero processo può essere completato automaticamente senza l’intervento dell’utente. Per modifiche occasionali alla configurazione del sistema può risultare più pratico disabilitare temporaneamente Unified Write Filter seguendo la procedura illustrata nel capitolo precedente.

Figura 9: Durante la Servicing Mode, Windows esegue automaticamente le attività di manutenzione e gli aggiornamenti prima di riattivare Unified Write Filter

Figura 10: Completamento degli aggiornamenti e riavvio automatico del sistema operativo

Al successivo riavvio potrebbe essere visualizzata la schermata di accesso dell’account speciale UWF-Servicing. In questo caso non è necessario effettuare il login né inserire alcuna password: è sufficiente attendere che Windows completi automaticamente le operazioni di manutenzione, inclusa l’installazione degli aggiornamenti. Al termine il sistema verrà riavviato e Unified Write Filter verrà riattivato automaticamente.

Se gli aggiornamenti richiedono più riavvii, la Servicing Mode rimarrà attiva fino al completamento dell’intero processo.

Per verificare lo stato della modalità di manutenzione potete loggarvi con il vostro account e utilizzare il comando:

Se la modalità di manutenzione è attiva, il relativo stato verrà riportato nell’output del comando.

Figura 11: Verifica dello lo stato della modalità di manutenzione

Microsoft Defender e Unified Write Filter

Quando Unified Write Filter è attivo, anche gli aggiornamenti delle firme di Microsoft Defender vengono intercettati dal filtro e, in assenza di una configurazione specifica, vengono eliminati al riavvio del sistema.

Per consentire a Microsoft Defender di mantenere aggiornate le definizioni antivirus, Microsoft raccomanda di configurare alcune esclusioni per file e Registro di sistema dedicate al motore antivirus. L’elenco completo è disponibile nella documentazione ufficiale alla pagina Antimalware support on UWF-protected devices | Microsoft Learn e comprende le principali cartelle di Windows Defender e i relativi servizi del Registro di sistema.

Se il dispositivo viene aggiornato esclusivamente tramite Servicing Mode, nella maggior parte degli scenari non è necessario creare manualmente le esclusioni di Microsoft Defender, poiché gli aggiornamenti vengono installati durante la finestra di manutenzione.

Gestione remota tramite Criteri di gruppo e Intune

In ambienti aziendali non è sempre necessario configurare Unified Write Filter manualmente su ogni dispositivo. La funzionalità può infatti essere gestita anche centralmente.

Nelle infrastrutture Active Directory è possibile automatizzare la configurazione mediante script di avvio o di accesso distribuiti tramite Criteri di gruppo (GPO). In alternativa, le impostazioni di UWF possono essere gestite tramite WMI, consentendo l’integrazione con strumenti di gestione e automazione.

Per i dispositivi gestiti tramite Microsoft Intune, Unified Write Filter espone un Configuration Service Provider (UnifiedWriteFilter CSP) che consente di configurare e amministrare il filtro tramite profili di configurazione personalizzati (OMA-URI) o altre soluzioni MDM compatibili.

Maggiori informazioni sono disponibili alla pagina Unified Write Filter (UWF) feature (uwf-turnonuwf) | Microsoft Learn

Nota: Sebbene UWF sia configurabile tramite il relativo CSP, Microsoft Intune non supporta attualmente la gestione dei dispositivi con Unified Write Filter già abilitato. Nella pratica è quindi consigliabile completare il provisioning e l’applicazione delle policy Intune prima di attivare il filtro, oppure utilizzare script e procedure automatizzate per abilitarlo al termine della configurazione del dispositivo.

Conclusioni

Unified Write Filter è una funzionalità poco conosciuta ma estremamente potente. Se configurata correttamente permette di realizzare postazioni praticamente “immutabili”, riducendo gli interventi di assistenza e garantendo che ogni riavvio riporti il sistema in uno stato noto e funzionante.

È una soluzione che consiglio soprattutto per chioschi, laboratori, aule informatiche, postazioni condivise e dispositivi dedicati a uno specifico scopo, dove affidabilità e semplicità di gestione sono requisiti fondamentali.