|
在Windows 2008 R2裏，新增了一個AppLocker的功能。
透過該功能可以限制軟體的執行(可執行檔規則)、軟體的安裝(Windows Installer規則)與指令碼的規則。
要執行AppLocker，必需啟用Application Identity的服務。
然後再到系統管理工具的本機安全性原則裏設定AppLocker。
↑擷圖中的各3條規則是透過“建立預設規則”所產生。
設定好規則後，可到設定規則強制的連結中，依據需要來啟用的項目來進行勾選。
未設定、強制執行規則與僅稽核各有其意義，擷錄如下 - 尚未設定 此為預設設定。
若連結的群組原則物件 (GPO) 包含不同的設定，則會使用這個設定。
若未設定強制，但是規則卻存在於相應的規則集合中，就會強制執行這些規則。
- 強制執行規則 會強制執行規則。
- 僅稽核 會稽核規則但不會強制執行。
僅稽核強制模式可以協助您在強制執行原則之前，先判斷哪些應用程式會受到影響。
當規則集合的 AppLocker 原則設定成 [僅稽核] 後，就不會強制執行該規則集合的規則。
當使用者執行的應用程式會受到 AppLocker 規則的影響時，該應用程式的相關資訊會新增至 AppLocker 事件記錄。
↑不一定要全勾，依據需要的內容來勾選。
由於建立規則項目後，對應類別的的條件限制即發生效果，
建議在規劃前，先透過“建立預設規則”來產生3條基本的預設規則，
讓基本的運作可以正常執行，然後再依實際需求進行調整。
“建立預設規則”的方式如下，
在右邊規則清單中按下滑鼠右鍵呼叫功能表，
然後點下“建立預設規則”即可。
↑可執行檔的預設規則。
↑Windows Installer的預設規則。
↑指令碼的預設規則。
而這三個AppLocker類別中的預設規則，除了Windows Installer規則外，
均是對系統管理員Administrators採完全開放，
並允許了所有使用者Everyone可以執行Windows與Program Files兩個資料夾的權限。
基本上等同於未啟用AppLocker，
允許所有使用者執行Windows與Program Files兩個資料夾的權限。
在預設規則導入後，再去依需求來新增/修改/刪除規則是比較理想的。
接下就進入重頭戲，如何設定特定人員/群組只能執行某些程式。
設定特定人員/群組只能執行某些程式其實沒什麼難度，
在類別規則中按滑鼠右鍵呼叫功能表，再點選“建立新規則”，一步一步跟著導覽來做即可。
麻煩的是群組與帳號、大群組與小群組間的規則衝突，AppLocker會如何處理？
這部分順子做了如下的測試。
測試結果是 拒絕 為第一優先！
不論一個使用者於AppLocker中對應了幾條規則，
只要軟體或指令碼對應到拒絕的規則，
那麼最終結果就是拒絕該軟體/指令碼的執行。
在規劃使用者與群組規則時，務必注意到這點！
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2014-04-06, 20:33
《分享》透過AppLocker來限制軟體的執行
