În mod implicit, dezactivați toate aplicațiile (partea 2)

• Nivelul implicit este "fără restricții", ceea ce înseamnă că software-ul poate fi pornit și că trebuie să specificați reguli suplimentare pentru interzicerea anumitor programe - această abordare este cunoscută sub numele de lista neagră a listei negre.
• Cel mai sigur nivel este "Neacceptat", ceea ce înseamnă că nu poate fi lansat niciun software și că trebuie să stabiliți reguli suplimentare pentru rezoluția software-ului - această abordare este cunoscută sub denumirea de whitelisting whitelisting.
• Implicit, sistemul creează mai multe reguli care permit sistemului de operare să funcționeze fără blocare incompletă NB! Dacă aceste reguli sunt eliminate sau modificate fără a se gândi, sistemul poate eșua.

• Puteți adăuga și elimina tipuri de fișiere, ceea ce este mai bine pentru a vă adapta la mediul dvs., dar lista implicită include principalele tipuri de executabile: BAT, CMD, COM, EXE, HTA, LNK, MSI, OCX, PIF, REG SCR, și în continuare astfel de extensii: ADE, ADP, BAS, CHM, CPL, CRT, HLP, INF, INS, ISP, MDB, MDE, MSC, MSP, MST, CPD, SHS, URL, VB WSC.
• Notă: După cum se menționează în fereastra Fișiere de tip Proprietăți desemnate (proprietăți specificate tipuri de fișiere), lista este în plus față de tipurile standard de fișiere, cum ar fi EXE, DLL și VBS - nu am putut obține o listă completă, dar a constatat că VBS, VBE, JS și JSE sunt blocate, deși nu sunt listate. Aș prefera să am o singură listă, pe care administratorii din întreaga lume ar putea să o corecteze dacă este necesar.

• "Toate fișierele software": De asemenea, avem o setare pentru verificarea DLL-urilor atunci când sunt executate. Aceasta nu este setarea prestabilită și afectează sarcinile de planificare și implementare a performanțelor și implementării.
• "Toți utilizatorii, cu excepția administratorilor locali" (toți utilizatorii, cu excepția administratorilor locali): Aici putem alege dacă SRP va afecta administratorii locali. Implicit, SRP se aplică tuturor utilizatorilor. Această setare se aplică numai politicii de computere.
• "Aplicarea regulilor de certificat": Setarea vă permite să specificați dacă vor fi utilizate regulile pentru certificate.
• Notă. Deoarece caseta de dialog din Figura 4 "Regulile pentru certificate afectează negativ performanța computerului dvs."

Reguli suplimentare

Când configurați reguli suplimentare (Reguli suplimentare), trebuie să determinați metoda sau cu câteva metode de identificare a software-ului. Avem 4 metode diferite de identificare a software-ului:

1. Regulile HASH HASH este o amprentă criptată care rămâne indiferent de schimbarea numelui fișierului și a locației sale. Acest lucru este deosebit de bun atunci când se utilizează WL, dar nu la fel de eficient atunci când se utilizează BL (motivul pentru care acest lucru este descris parțial, de exemplu, folosind un instrument numit ProduKey în primul meu articol despre SRP): MD5 sau SHA-1 HASH vă permite să identificați în mod clar un fișier «aplicație software ProduKey binar. exe ", deci dacă permiteți executarea numai a aplicațiilor cu o anumită valoare HASH, puteți asigura că puteți rula doar o versiune specifică a executabilului. Cu toate acestea, dacă dezactivați fișierul HASH specific, vom introduce doar o astfel de restricție la o versiune a acestei aplicații și utilizatorii inteligente pot schimba pur și simplu fișierul, și nu va mai potrivi limita. Cuvântul «necunoscut» (necunoscut) este foarte important în acest caz - este cheia atunci când aleg între liste albe BL sau WL -? Ne dorim pentru a permite utilizatorilor să ruleze software-ul necunoscut Dacă nu sunt în măsură să ruleze o versiune mai veche a unei anumite aplicații, ea lasa sistem non-operare și duce la o perturbare a activității, utilizarea regulilor «neagă această valoare HASH» (interzicerea această valoare HASH) - va fi o soluție bună. Rețineți că noua versiune a aceleiași aplicații va avea o valoare HASH nouă care va trebui să fie activată sau dezactivată.

2. Normele privind normele de certificare pentru utilizarea certificatelor semnate și să ofere o hash-uri de identitate foarte puternică, dar dacă avem încredere într-un anumit certificat, avem încredere tot software-ul care sunt semnate cu acest certificat. Poate fi atât bun cât și rău. Acest lucru poate fi bun dacă noi, de exemplu, de a primi o cerere din partea unui terț care a semnat toate dosarele de cerere necesare (probabil inclusiv DLL), astfel încât în ​​loc de a face noi reguli pentru HASH, vom crea pur și simplu o regulă care are încredere în certificatul , și vom continua să lucrăm. Dar dacă am încredere într-un certificat digital utilizat pentru a semna unele dintre instrumentele de la Microsoft (sau orice alt furnizor) - este acum utilizatorii mei pot rula toate aplicațiile care sunt semnate cu acest certificat ... Hmm, problema este de a afla ce a semnat acest certificat ? Fără asemenea cunoștințe, nu știm ce este permis. Mai degrabă decât să permită o aplicație necesară pentru utilizatorii noștri, trebuie să rezolvăm sute de aplicații care rulează pe producătorul regulile noastre sistemah.Testirovanie pentru evaluarea poate fi realizată cu aceste instrumente: Instrumentul de semnare de fișiere (Signcode.exe) Instrumentul de creare a certificatelor (Makecert.exe).

3. Reguli pentru căi Regulile pentru căi sunt cele mai comune și ușor de utilizat reguli. modalități de a permite regulile pentru a permite sau nu pentru a rula fișierul dintr-o anumită locație (de exemplu, «C: \ Scripts \ Script.VBS»), numele fișierului (de exemplu, «Script.VBS»), director (de exemplu, «C: \ Scripts »), calea UNC (de ex.» \\ server \ share \ File.VBS ») sau o cale de registru (adică.«% [registru Hive] \ [registru Nume cheie] \ [Valoare Nume] % "). Căi pot utiliza variabile de mediu (de exemplu, «% WINDIR%»), și modele "?" = Un caracter (de exemplu, «\\ server ?? \ share \ Script.VBS») și "*" = orice număr (de exemplu "* .VBS"). Dacă utilizați reguli pentru căi, luați în considerare următoarele:

• Dacă specificați o cale spre un folder, regula va afecta, de asemenea, toate fișierele executabile din folderele copilului
• Dacă utilizatorul are acces la scriere pentru un folder pentru care este specificat Fără restricții (fără restricții), atunci utilizatorul poate copia orice fișier în acest director și poate executa de acolo. Atunci când proiectați, trebuie să luați în considerare acest lucru, probabil prin utilizarea de ACL-uri (Liste de control al accesului sau liste de control al accesului) atunci când utilizați Politicile de grup
• Dacă un utilizator are acces la scriere pentru un director pentru care este specificat Fără restricții, utilizatorul poate rescrie acest executabil în altul pentru a șterge SRP-ul
• În cazul în care calea de dosar include variabile de mediu, de exemplu,% TEMP%, chiar și un utilizator limitat poate schimba variabila de mediu folosind comanda SET, pe celălalt traseu (SET TEMP = C: \ MyFolder) - și apoi utilizatorul poate controla această cerere.

După cum sa menționat mai sus, utilizatorii pot încerca pentru a redenumi sau muta fișiere nepermise - sau suprascrie fișierele nerestricționate, în scopul de a păcăli RSP - care este motivul pentru care normele de HASH sau de certificat, de obicei, considerate ca fiind cea mai bună alegere.

4. Zona de Internet Zonele de securitate Internet Explorer pot fi utilizate pentru a controla instalarea software-ului, dar acest lucru se aplică numai pachetelor de pachete Windows Installer (.MSI) care sunt lansate dintr-unul din zonele Internet implicite. Aceste reguli sunt rareori utilizate. Atunci când sunt utilizate mai multe reguli, acestea sunt procesate în ordinea menționată mai sus, regula implicită va fi ultima.

SRP Restricții

De asemenea, este necesar să se țină seama de unele dintre limitările SRP. Domeniul de aplicare a politicii de restricționare a software-ului (Politici de restricționare a software-ului) nu este întregul sistem de operare, așa cum vă puteți aștepta. SRP nu se aplică următorului cod:

• Drivere sau alt software instalat în modul kernel
• Orice program care rulează în contul SYSTEM
• Macrorele din documentele Microsoft Office (avem alte moduri de a le bloca folosind grupuri de politici)
• Programe scrise pentru runtime în limbaj comun (aceste programe utilizează Politica de securitate pentru accesul la cod)

concluzie

Politici software de restricție (politicile software Restricție) au nevoie de proces special și lung în punerea în aplicare a noului software și upgrade-uri în mediu, dar altele decât cele pe care, pe cheltuiala lor atins nivelul de securitate (nivel de securitate) este mult mai mare decât atunci când instalați «implicit permite toate» ( permiteți tuturor implicit). Unele medii nu pot fi potrivite pentru SRP, dar mi se pare, cele mai multe rețele au calculatoare și utilizatori pentru care tehnologia SRP este adecvată.

Numirea este necesar, înțelegerea și munca grea pentru punerea în aplicare a «Implicit Deny» Politica (dezactiva implicit) - acesta este motivul pentru care este rareori dat seama ... Dar un lucru este sigur, punerea în aplicare corectă a acestor politici va permite administratorului să doarmă noaptea în pace.

În următorii câțiva ani va fi foarte interesant să vedem dacă Microsoft va continua să dezvolte această parte a politicii de politică a grupului - sau va fi ceva mai bun care știe ...

Articole similare

• Cum să nu dormi prin întreaga lume cu ajutorul unui smartphone 5 aplicații excelente-alarme

• Securitate ie8 xss-filter