Applocker

Applocker

AppLocker即“應用程式控制策略”,是Windows 7系統中新增加的一項安全功能。

什麼是Applocker

AppLocker即“應用程式控制策略”,是Windows 7系統中新增加的一項安全功能。
Applocker界面Applocker界面

Applocker的關鍵特點

方便高效,例如您可以輕鬆配置一個程式高於其某個版本都能運行,對於IT人員來說,這可以節省大量的策略維護時間。利用AppLocker管理員可以非常方便地進行配置,以實現用戶可在計算機上可運行哪些程式、安裝哪些檔案、運行哪些腳本。由於AppLocker是基於組策略管理和配置的,因此我們可以非常方便地將其部署到整個網路環境中,可謂一勞永逸。Applocker使得企業IT管理員可以非常方便的配置用戶可以在計算機上運行哪些套用:包括程式,安裝檔案與腳本。還可以通過公司名來限制某個公司的產品運行,比如限制tencent公司的應用程式,那么qq,qqgame等等,都不能夠被運行。

如何運行Applocker

執行“開始”→ “運行”,輸入gpedit.msc打開組策略編輯器。在左側的窗格中依次定位到“計算機配置” →“Windows 設定”→“安全設定”→“應用程式控制”,可以看到AppLocker組策略配置項。
AppLocker包含三部份功能:
1、可執行程式控制;
2、安裝程式控制;
3、腳本控制。
在XP下使用過軟體限制策略的部份朋友,也許會對此望而生畏,不過其實AppLocker是很容易使用的。

Applocker使用方法

一、這第一步非常重要,它決定了你的AppLocker是否能生效,計算機上右鍵→管理→服務,找到Application Identity服務,設為自動啟動;
二、執行“開始”→ “運行”,輸入gpedit.msc打開組策略編輯器。在左側的窗格中依次定位到“計算機配置” →“Windows 設定”→“安全設定”→“應用程式控制”,可以看到AppLocker組策略配置項。
三、在“可執行程式規則”、“安裝程式規則”、“腳本規則”上分別右鍵,創建默認規則,即可。
四、大部份人的程式都不裝在C:\ProgramFiles\*下,怎么辦?在“可執行程式規則”、“腳本規則”(安裝程式規則保持默認即可)分別右鍵→新建規則,選擇允許或拒絕,用戶保持默認的Everyone(即任意用戶)→下一步,路徑處瀏覽到你的程式或目錄(最好是目錄,只需一條規則就搞定,比如d:\ProgramFiles\*)→創建。
五、第一次使用AppLocker,設定完以上後,必須重啟機器(註銷不行),才能使策略生效。
六、大功告成,現在用IE上任意掛馬網站,雙擊任意病毒吧,只要不要把病毒放在以上所允許過的路徑就可以。
七、疑問:網馬複製自已到系統目錄?沒有可能。在UAC開啟的狀態下,當前用戶及其所運行的程式,不能讀取HIPS中所謂的AD行為中的底層磁碟,不能除USER外的註冊表項,不可寫除USER目錄外的系統盤,可以說,UAC就是一個規則嚴密的HIPS。
八、疑問:我有一些不常用的綠色軟體比如註冊機,MD5驗證程式等,不是放在程式安裝目錄,我也沒有在AppLocker中創建過允許規則,那我想用它時會不會很麻煩?答案是:一點也不麻煩,右鍵以管理員運行就可以了。

Applocker默認規則的含義

1、任何用戶均可以運行c:\windows\*及C:\Program Files\*(如果是64位系統,則包含C:\Program Files(86)\*)下所有執行檔及腳本;
2、提權後的管理員可以運行任何位置的程式。
註:在此默認規則下,你在非c:\windows\*及C:\Program Files\*位置,雙擊任意程式,程式無法運行,只能右鍵以管理員身份運行。
3、大部份人的程式都不裝在C:\ProgramFiles\*下,怎么辦?在“可執行程式規則”、“腳本規則”(安裝程式規則保持默認即可)分別右鍵→新建規則,選擇允許或拒絕,用戶保持默認的Everyone(即任意用戶)→下一步,路徑處瀏覽到你的程式或目錄(最好是目錄,只需一條規則就搞定,比如d:\ProgramFiles\*)→創建。
4、第一次使用AppLocker,設定完以上後,必須重啟機器(註銷不行),才能使策略生效。
5、大功告成,現在用IE上任意掛馬網站,雙擊任意病毒吧,只要不要把病毒放在以上所允許過的路徑就可以。
6、疑問:網馬複製自已到系統目錄?沒有可能。在UAC開啟的狀態下,當前用戶及其所運行的程式,不能讀取HIPS中所謂的AD行為中的底層磁碟,不能除USER外的註冊表項,不可寫除USER目錄外的系統盤,可以說,UAC就是一個規則嚴密的HIPS。
7、疑問:我有一些不常用的綠色軟體比如註冊機,MD5驗證程式等,不是放在程式安裝目錄,我也沒有在AppLocker中創建過允許規則,那我想用它時會不會很麻煩?答案是:一點也不麻煩,右鍵以管理員運行就可以了。

Applocker常見問題

我可以實機運行一些病毒樣本嗎?
答:完全可以,只需像下面這樣設定,病毒就只能修改用戶臨時目錄USER了。
非系統盤,右鍵,屬性,安全,編輯,把Authenticated Users用戶組的修改、寫入、完全控制、特殊許可權等去掉勾,只保留讀取和執行。
這樣,你可以運行任意一個不需要提權(UAC沒有提示)的毒,但是毒無法破壞系統,也無法刪改你的重要資料。
注意,不要隨便對陌生程式提權,除非你完全確信這個軟體安全。
我用迅雷下載檔案到D糟,但無法保存,怎么辦?
答:沒關係,新建一個目錄專門用來下載東西,該目錄給予Authenticated Users修改、寫入、完全控制就可以了。
記得下載完轉移到安全目錄。
其他問題同理,比如有的人把電驢的配置檔案放到電驢安裝目錄下,電驢需要寫自身目錄,怎么辦?
請對電驢的配置目錄config及電驢安裝根目錄前幾個DAT及INI檔案允許Authenticated Users修改、寫入、完全控制就可以了。
我複製一個檔案到D糟是不是也無法複製?
答:可以複製。不過複製前UAC會有一個提示,允許,確定,即可。
也許有人問:火狐能夠進行升級嗎?它不是不能修改自身目錄?答案是可以升級,因為在升級前,UAC會提示,允許,確定,即可。
如果你不經常安裝軟體,一個月只裝一兩個軟體,你還可以:
先安裝好你的常用軟體。
開始選單,運行,輸入:gpedit.msc,回車。
展開:本地計算機策略——計算機配置——WINDOWS設定——安全設定——本地策略——安全選項,在右面找到:用戶帳戶控制(只提升簽名並驗證的執行檔),選中“已啟用”(默認是已禁用),套用,確定,重啟或註銷。
這樣:你能正常運行你的常用軟體,就算是運行了一個提權的病毒也沒有事了,因為它根本提不了權。

相關詞條

相關搜尋

熱門詞條