EWF(EnhancedWriteFilter)提供了一种保护卷以防止写入的手段。这使操作系统(OS)可以从只读媒体(如CDROM、写保护硬盘或闪存)中启动。所有对受到EWF保护的卷进行的写入都被重定向到覆盖。这些写入被缓存在覆盖中并且作为卷的一部分提供。这会产生该卷可写的表象。覆盖可能存在于磁盘或随机访问内存(RAM)中。如果需要，可以将覆盖中存储的数据提交给受保护的卷。MicrosoftWindowsXPEmbeddedwithServicePack1(XPEw/SP1)中支持两个基本类型EWF覆盖。