Запрет запуска программ через групповые политики

Как запретить запуск программ | Компьютер для чайников

Если возникла ситуация, требующая запрета использования определенной программы, то у пользователя компьютера есть три способа наложения такого запрета. Каждый из них легко применим и что самое главное, действенен.

статьи

1. 1 Способ первый
2. 2 Второй способ
3. 3 Третий способ

Способ первый

Если необходимо заблокировать использование программы, которая запускается из одного файла, то лучше всего накладывать запрет посредством «Редактора групповой политики».

1. Запускаем службу «Редактор групповой политик». Для этого следует одновременно нажать на клавиатуре две клавиши «Win+R» и в появившемся окошке вводим «gpedit.msc». Жмем «Ок».
2. В новом окне переходим в подраздел «Конфигурация пользователя», затем «Административные шаблоны» и «Система». Далее, справа ищем иконку «Не запускать указанные приложения Windows». Кликаем по ней пару раз левой кнопкой мышки.
3. После в открывшемся окне нужно установить переключатель в режим «Включить».
4. Далее, следует указать какую программу необходимо заблокировать. Для этого кликаем по иконке «Показать».
5. Откроется окно «Вывод содержания». В нем будет небольшая таблица, где нужно ввести точное название файла, который запускает программу. Название нужно вводить вместе с расширением.
6. Если точное имя неизвестно, то его можно узнать, нажав правой кнопкой мышки на иконку или ярлык приложения и выбрать в меню пункт «Расположение файла».
7. Расширение можно узнать, нажав в проводнике по иконке «Вид», где в открывшемся меню будет возможность поставить галочку напротив функции «Расширение имен файла». Что означает – отображать или не отображать расширение в названии файла.
8. Составив список из нежелательных программ, сохраняем его, нажав «Ок».
9. Перезапускаем компьютер и проверяем, запускается ли программа из составленного «черного» списка. Если все сделано правильно, должна появиться иконка «Ограничение».

Важно! В некоторых базовых ОС Windows 8 и 8,1 «Редактора групповой политики» может отсутствовать. Или он не будет запускаться через команду «gpedit.msc», поскольку программа будет находиться в системной папке Windows\SysWOW64, а не в Syatem32. В таком случае приложение нужно запустить вручную.

Если необходимо узнать были ли попытки запуска программ из «черного» списка, то для этого нужно запустить приложение «Администрирование» в окне «Панель управления».
И посмотреть статистику в приложении «Просмотр событий».

Второй способ

Этот метод подразумевает блокировку программ посредством возможностей реестра Windows.

1. Вначале следует открыть реестр Window, запустив в приложении «Выполнить» команду «RegEdit.exe».
2. Далее, нужно перейти к командам, которые расположены по адресу.
3. Нажав на папку «Explorer» нужно переместить курсор мыши на пустое пространство справа, и нажать по нему правой кнопкой мышки.
4. Где необходимо сгенерировать новый параметр «DisallowRun» выбрав «New\ DWORD (32)».
5. Далее, нужно создать подраздел «DisallowRun». Для этого нажимаем на «Explorer» правой кнопкой мыши и выбрав «New\Key».
6. В подразделе создаем новую команду с названием «1», типом команды «String» и внутренней переменной содержащей точное название файла, который запускает ненужную программу. Например, для запрета запуска Firefox нужно создать команду «1» с введенной в нее переменной Firefox.exe.
7. Перезапускаем компьютер и проверяем результат. В случае успеха должно появиться окошко, где будет указано на невозможность запуска программы из-за ограниченного доступа.

Третий способ

Последний метод блокировки – это заранее подготовленный скрипт.

1. Вначале нужно создать новый текстовый файл посредством обычного Блокнота. Для этого нажимаем правой кнопкой мышки на свободном пространстве Рабочего стола или Проводника, выбираем «Создать/Текстовый документ». Название неважно.
2. Открываем созданный файл и вводим скрипт
   Windows Registry Editor Version 5.00[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]»DisallowRun»=dword:00000001[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun]»1″=»software.exe»

   «2»=»software2.exe»

3. Где два последних параметра – это название файлов, которые запускают ненужные программы (черный список).
4. Меняем расширение созданного текстового файла на «reg». Если включить отображение расширения (первый способ, пятый пункт инструкции), то это будет элементарно. Аналогично простому переименованию файла.
5. Запускаем созданный скрипт, нажав на него пару раз левой кнопкой мышки.

Этот способ очень удобный, поскольку он создает небольшое приложение (скрипт) которое можно брать с собой куда угодно и менять при желании. Добавляя или удаляя ненужные программы.

Загрузка… : 28.03.2016

Как запретить запуск программ

Источник: http://dontfear.ru/kak-zapretit-zapusk-programm/

Обход некоторых видов ограничений запуска приложения через механизмы Software Restriction Policies (в режиме Unrestricted) в групповых политиках Active Directory

Некоторые администраторы применяют в своей инфраструктуре Active Directory (AD) функционал Software Restriction Policies (SRP), имеющийся в составе Group Policy, для того, чтобы явным образом ограничивать запуск и исполнение каких-либо приложений. То есть используется сценарий ограничительных мер по типу «разрешено всё, кроме того, что явно запрещено». Например, в рамках мероприятий по противодействию новомодным комплексным шифровальщикам, у некоторых администраторов может возникнуть желание явно запретить запуск некоторых исполняемых файлов, используемых вредительским ПО, не запрещая при этом запуск всех прочих приложений и не используя механизмы проверки цифровых подписей.

В данной заметке мы поговорим о том, почему мероприятия подобного рода могут оказаться малоэффективны, наглядно продемонстрировав пример того, как любой непривилегированный пользователь может без особых сложностей обойти некоторые механизмы защиты. В качестве наглядного примера мы рассмотрим ситуацию с запретом исполнения небезызвестной утилиты PsExec из пакета PsTools Sute.

Итак, предположим, что администратор домена настроил общую для всех компьютеров политику, в которой в разделе Computer Configuration >Windows Settings >Security Settings >Software Restriction Policies >Additional Rules несколькими правилами запретил запуск утилиты PsExec по двум критериям – Path и Hash. То есть при запуске приложений проверяется, как путь так и хеш файла

При этом в Security Level администратор выбрал режим работы SRP — Unrestricted, то есть разрешено всё, кроме исключений, описанных в Additional Rules

Спустя некоторое время возникает ситуация, в которой на каком-то условном доменном компьютере, условный пользователь и отъявленный проказник Петя Резинкин, хочет во чтобы то ни стало воспользоваться выше обозначенным приложением. Но совершенно справедливо этот пользователь получает от системы «отлуп»:

Пользователь конечно может попытаться переименовать файл, чтобы выйти из под действия Path-правила SRP, но система всё равно не даст запустить приложение, так как хеш приложения будет совпадать с запрещающим Hash-правилом SRP.

Таким образом перед нашим пользователем встаёт задача изменения хеша исполняемого файла, чтобы SRP больше не считал его запрещённым приложением.

Но как изменить хеш файла, не повредив при этом сам файл? Если пользователь имеет доступ на изменение файла, то для решения поставленной задачи можно использовать механизм подмены цифровой подписи файла, при условии, что в системе не используется никаких механизмов форсированной проверки цифровых подписей запускаемых приложений и самому приложению «фиолетово» до подвешенной на него цифровой подписи.

Чтобы продемонстрировать простоту и доступность этого метода, в первую очередь нашему Пете потребуется цифровой сертификат с поддержкой Code Signing (1.3.6.1.5.5.7.3.3).

Получение Code Signing сертификата

Получить Code Signing сертификат можно разными путями.

Если администратор доменных служб сертификации AD любезно предоставил всем желающим использовать шаблон сертификата, в котором есть поддержка Code Signing, то Петя сможет получить сертификат, которому любая доменная система уже будет отчасти доверять. С другой стороны, если нет необходимости заморачиваться с доверием сертификату (если проверка подписания исполняемых файлов не обязательна), то нашему Пете вполне подойдёт самоподписанный сертификат, который он способен сделать и установить в своё хранилище личных сертификатов без чьей-либо помощи и без необходимости иметь какие-то административные привилегии.

Если Петя сидит на модной Windows 10, где администратором домена не запрещено использовать PowerShell, то создать само-подписанный сертификат нужного типа – вопрос вызова буквально одного командлета:

New-SelfSignedCertificate -CertStoreLocation cert:\currentuser\my `-Subject «CN=Petya Code Signing» `-KeyAlgorithm RSA `-KeyLength 2048 `-Provider «Microsoft Enhanced RSA and AES Cryptographic Provider» `-KeyExportPolicy Exportable `-KeyUsage DigitalSignature `-Type CodeSigningCert `-NotAfter $([datetime]::now.AddYears(25))

В результате такого запроса будет сгенерирован самоподписанный сертификат с правом подписывания кода сроком действия в 25 лет. Созданный сертификат автоматически будет помещён в хранилище личных сертификатов пользователя.

Если злобный администратор закрыл доступ к оснасткам MMC, то Петя, не прибегая лишний раз к инструментам командной строки, без особых трудностей может визуально убедиться в присутствии сгенерированного сертификата в хранилище личных сертификатов, например, через окно управления настройками браузера, которое может быть вызвано как из меню браузера Internet Explorer, так и из Панели управления.

А если система у нашего Пети более старая, чем Windows 10, или администратор настолько коварен, что ограничил доступ к оболочке PowerShell, то можно прибегнуть к помощи старой доброй «on-board» утилиты certreq.

Создаём конфигурационный файл запроса по типу:

[NewRequest]Subject = «CN=Petya Code Signing v2″KeyLength = 2048KeyAlgorithm = RSAProviderName = «Microsoft Enhanced RSA and AES Cryptographic Provider»MachineKeySet = falseExportable = trueKeySpec = 2KeyUsage = 0x80RequestType = CertNotAfter = «29.03.2043»[EnhancedKeyUsageExtension]OID=1.3.6.1.5.5.7.3.3 ; Code signing

Выполняем запрос, указав конфигурационный файл:

certreq -new C:\Temp\PetyaRequest.inf

Итак, нужный сертификат имеется. Далее нам потребуется любой инструмент, который умеет работать с цифровыми подписями исполняемых файлов Windows.

Подмена цифровой подписи

Для работы с цифровой подписью существуют разные утилиты, но мы по традиции выбираем ту, которая «родней» с точки зрения вендора – утилита SignTool.

Эту утилиту можно найти в составе Visual Studio или Windows SDK (например, для SDK Windows 8.1 x64 эту утилиту можно найти в каталоге C:\Program Files (x86)\Windows Kits\8.1\bin\x64).

Подробней о работе этой утилиты можно почитать здесь. 

Посмотреть текущие цифровые подписи интересующего нас приложения можно командой:

signtool verify /pa /v C:\Tools\PsExec.exe

либо,  просто заглянув в графической оболочке Windows Explorer в свойства интересующего нас исполняемого файла на вкладку Цифровые подписи:

Теперь Пете остаётся только заменить имеющуюся цифровую подпись собственной:

signtool sign /a /v C:\Tools\PsExec.exe

Разумеется, после подмены цифровой подписи, изменится размер файла и теперь его хеш будет отличаться от хеша оригинального файла, который был запрещён администратором SRP.

Теперь в качестве завершающего штриха пользователю остаётся только переименовать исполняемый файл таким образом, чтобы его имя не совпадало с именем оригинального заблокированного приложения.

В конечном результате Петя может запускать приложение.

В качестве вывода, хочется отметить, что SRP – механизм, безусловно, интересный и в своей степени заслуживающий внимания, но приступать к его продуктивной эксплуатации нужно только внимательно изучив все особенности его работы.

А ведь эти мощности можно использовать для просмотра котиков, ну или, на худой конец, для майнинга

Для тех, кто ещё только собирается внедрять SRP или хочет навести у себя в этом порядок, весьма полезными могут отказаться русскоязычные статьи Vadims Podans: Sysadmins LV — Software Restriction Policies.

Похожее

Источник: https://blog.it-kb.ru/2018/03/30/bypassing-hash-type-rule-of-restrictions-in-software-restriction-policies-rsp-in-unrestricted-mode-in-active-directory-group-policy-gpo-substitution-of-digital-signature/

Разрешить (запретить) запуск определенных программ в Windows

Если вам нужно ограничить запускаемые программы на компьютере — тогда данная статья для вас. В сегодняшней статье мы рассмотрим как с помощью групповых политик или в редакторе реестра разрешить (запретить) запуск определенных программ.

Данный способ не является категоричным, и если вы разрешите запуск только определенных программ — продвинутый пользователь сможет разрешить запуск всего, но все же ему придется поискать как это сделать.

Запретить (разрешить) запуск определенных программ с помощью групповых политик

Групповые политики есть только в Windows Pro, Enterprise или Education, если у вас домашняя версия Windows — переходите ко второму способу.

 Если вы хотите запретить (разрешить) запуск определенных программ другим пользователям этого компьютера — сначала выполните всё по инструкции «Как настроить групповые политики для конкретных пользователей».

1. В строке поиска или в меню «Выполнить» (выполнить вызывается клавишами Win+R) введите gpedit.msc и нажмите клавишу Enter.

2.

Зайдите в «Конфигурация пользователя» => Административные шаблоны => «Система» => Если вы хотите запретить запуск определенных программ — откройте параметр «Не запускать указанные приложения Windows», если вы хотите разрешить запуск определенных программ, а остальные чтобы были под запретом — откройте «Выполнять только указанные приложения Windows»

Поставьте точку в поле «Включено» и нажмите на «Показать».

 ВАЖНО: в некоторых версиях Windows данные действия запрещают сами групповые политики, также перестает открываться диспетчер задач и редактор реестра, что в свою очередь не дает вернуть все как было и приходится все исправлять в дополнительных параметрах загрузки системы.

Чтобы такого не произошло — добавляйте в список разрешенных gpedit.msc и regedit.exe. Или создайте пользователя, которому вы хотите ограничить открытие программ и делайте данные разрешения для него, оставив себе право все изменить.

В этом окошке нужно ввести приложения, которые разрешено (запрещено) запускать. Вводите название файла для запуска, если вы не знаете его — нажмите на ярлык нужной программы правой клавишей мыши, зайдите в свойства и посмотрите.

Нажмите два раза на «ОК»и перезагрузите компьютер. Теперь те приложения, которые вы ввели в списке -будут открываться без проблем, а при открытии программ отсутствующих в списке — появится окно «…

Обратитесь к системному администратору» (это если вы разрешили запуск только определенных программ, если вы запретили запуск определенных программ — то программы из списка не будут открываться, а все остальные будут работать).

В любой момент вы сможете зайти в групповые политики и отключить данный параметр, или добавить в список другие разрешенные программы.

Запретить (разрешить) запуск определенных программ в редакторе реестра

1. В строке поиска или в меню выполнить (выполнить вызывается клавишами Win+R) введите команду regedit и нажмите клавишу Enter.

2.

Перейдите по пути HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Policies\ => в разделе Policies откройте раздел Explorer, если его нет — нажмите на раздел Policies правой клавишей, выберите «Создать» => «Раздел» => назовите его Explorer => нажмите на раздел Explorer правой клавишей мыши, выберите «Создать» => «Параметр DWORD (32 Бита) => если вы хотите запретить определенные программы — назовите новый параметр DisallowRun , если вы хотите чтобы запускались только определенные программы, а остальные были под запретом — назовите новый параметр RestrictRun

3. Откройте параметр RestrictRun или DisallowRun => в поле «Значение» введите 1 и нажмите клавишу Enter.

4. Нажмите на раздел Explorer правой клавишей мыши, выберите «Создать» => «Раздел» => если вы хотите запретить определенные программы — назовите новый раздел DisallowRun , если вы хотите разрешить запуск определенных программ — назовите новый раздел RestrictRun

5. Нажмите на раздел RestrictRun или DisallowRun правой клавишей мыши, выберите «Создать» => «Строковый параметр» => назовите новый параметр 1

6.

 Важно: в некоторых версиях Windows данные действия запрещают сами групповые политики, также перестает открываться диспетчер задач и редактор реестра, что в свою очередь не дает вернуть все как было и приходится все исправлять в дополнительных параметрах загрузки системы. Чтобы такого не произошло — добавляйте в список разрешенных gpedit.msc и regedit.exe

Откройте созданный параметр => в поле «Значение» введите имя исполняемого файла программы, которую вы хотите запретить (разрешить). В нашем примере мы запрещаем (разрешаем) программу «Блокнот», имя исполняемого файла notepad.exe => в поле «Значение вводим notepad.exe и нажимаем на «ОК».

7. Повторите 5 и 6 пункт с инструкции столько раз, сколько нужно программ вам запретить или разрешить. Следующие создаваемые параметры называйте цифрами по порядку ( 2, 3, 4 …).

Источник: https://vynesimozg.com/razreshit-zapusk-tolko-opredelennyx-programm-v-windows/

Запрет запуска приложений и служб в Windows через групповые политики

В записи описывается как можно запретить запуск служб и приложений в windows при помощи групповых политик Active Directory. Рассматривается пример запрета TeamViewer.

Мне была поставлена задача заблокировать работу TeamViewer на компьютерах компании. Можно пойти двумя путями:

1. Блокировать работу TeamViewer на уровне сети — запретить обращаться к портам, серверам и анализировать содержимое пакетов
2. Блокировать запуск ПО TeamViewer на уровне политик ОС

Я выбрал второй вариант.

Блокирование запуска системной службы

Первое что я захотел заблокировать (и заодно протестировать работу политики) — это запуск службы TeamViewer:

• На доменном контролере запускаем оснастку Group Policy Managment
• Создаем или переходим к редактированию групповой политики
• В групповой политике переходим по адресу: Computer Configuration — Windows Settings — Security Settings — System Services
• В списке сервисов находим тот, что нужен и дважды кликаем по нему, у меня это сервис TeamViewer
• Ставим галочку возле «Define this policy setting»
• В блоке «Select service startup mode» выбираем «Disabled»

• Жмем на кнопку «Edit Security…» и выставляем права на чтение «Read» для Administrators и INTERACTIVE, все другие права снимаем. Для SYSTEM права не изменяем.
• Дважды жмем OK
• На локальном компьютере, где политику нужно применить именно сейчас, в командной консоли вводим команду «gpupdate /force» и после ее отработки перезагружаем компьютер.

Как добавить службу в групповую политику

Есть один нюанс: по умолчанию при редактировании групповой политики по адресу «Computer Configuration — Windows Settings — Security Settings — System Services» видны только те службы, который установлены на компьютере, где это редактирование происходит, в нашем случае это контроллер домена.

Чтобы в редакторе групповых политик в «System Services» добавить какую-либо службу, нужно сделать следующее:

• На компьютере, где есть нужная нам служба, запускаем «Консоль Управления (MMC)»: Пуск — Выполнить — MMC
• Выбираем меню «Консоль» — «Добавить или удалить оснастку»
• В появившемся окне жмем кнопку «Добавить»
• В списке доступных изолированных оснасток выбираем «Шаблоны безопасности» и жмем кнопку «Добавить», затем «ОК»
• Разворачиваем в MMC «Шаблоны безопасности» и кликаем по «C:\Windows\Security\Templates»

• В правой области окна кликаем правой кнопкой мышки, выбираем пункт «Создать шаблон» и прописываем имя для нового шаблона — «system services». Созданный шаблон должен появится в левой области окна.
• В MMC переходим по адресу «Шаблоны безопасности — C:\Windows\Security\Templates — system services — «Системные службы»
• Среди списка системных служб находим нужную службу, в моем случае это была TeamViewer и дважды кликаем по ней
• Ставим галочку возле «Определить следующий параметр политики в шаблоне»
• Откроется окно настройки безопасности:
  • для Администраторы и Интерактивные оставляем галочку только возле «Чтение», все остальные галочки снимаем.
  • для SYSTEM оставляем как есть.
  • жмем ОК
• В блоке «Выберите режим запуска службы:» выбираем пункт «Запрещен» и жмем «ОК»
• После этого среди списка шаблонов безопасности (в левой части окна) кликаем правой кнопкой мышки по «system services» и выбираем пункт «сохранить как…» — сохраняем файл и переносим его на доменный контроллер.
• На доменном контроллере при редактировании нужной политики кликаем правой кнопкой мышки по «Computer Configuration — Windows Settings — Security Settings» и выбираем пункт «Import Policy» — импортируем сохраненный файл.
• После этого нужная служба появится в списке «Computer Configuration — Windows Settings — Security Settings — System Services»: убеждаемся в этом и проверяем настройки.

После этих действий служба TeamViewer перестала запускаться, а у локального администратора права позволяющие ее запустить вручную.

Запрет запуска приложений

Также я решил запретить запуск самого приложения. При помощи групповых политик это можно сделать описывая одно из следующих правил:

• Правило зоны
• Правило пути
• Правило хеша
• Правило сертификата

Правило зоны

Запрет запуска приложений *.msi из определенной зоны (Интернет, Локальный компьютер, Надежные узлы) — считаю этот метод блокировки бесполезным, исходя из того, что он маловостребованный

Правило пути

Блокировка по имени/пути файла или по пути в реестре (если программа хранит пути к своим рабочим каталогам в реестре). Можно использовать переменные среды или подстановочные знаки «?»  и «*».

Минус этого метода в том, что эту политику легко обойти: достаточно переместить или переименовать файл.

В результате идеальная защита: исполняемые файлы вне этих папок не запустятся, свои же файлы пользователи не смогут записать в системные папки из которых разрешен запуск — нет прав.

К сожалению у себя в локальной сети мы не готовы так жестко ограничить пользователей.

Я решил проверить как работает правило пути: создал правило в котором указал запрет запуска если путь «*TeamViewer*». В результате TeamViewer не запускался до тех пор, пока я не нашел портативную версию и не переименовал ее файл.

Правило хеша

Для идентификации файла используется его хеш – это цифровой «отпечаток» файла. Хеш однозначно идентифицирует любой файл, независимо от того как он называется и где находится. То есть два файла с идентичным содержимым будут иметь один и тот же хеш. Это спасает от переименования и перемещения файлов.

Но если программа часто обновляется, то после каждого обновления придется прописывать новый хеш.

Правило сертификата

Именно на этом способе блокировки я и остановился. Большинство программ крупных компаний подписывают свои программы сертификатом издателя. Благодаря этому сертификату издателя можно убедится что эта программа действительно оригинальная, а не поддельная, которая ворует пароли. У каждой компании свой сертификат.

В правиле сертификата можно блокировать запуск программы по сертификату издателя.

Плюс в том, что все версии программы будут заблокированы, независимо от того, из какой папки они запускаются и как переименовываются.

Чтобы просмотреть и экспортировать сертификат издателя выполните следующие действия:

• Правый клик мышки на exe-файле
• Выберите пункт свойства — перейдите на вкладку цифровые подписи
• В поле «список подписей» дважды кликните по подписи
• Нажмите на кнопку «просмотр сертификата»
• Перейдите на вкладку «Состав» и нажмите на кнопку «Копировать в файл…»
• Выберите формат файла сертификата в DER или Base64-кодировке и жмите по кнопкам «далее» — дальше все должно быть понятно.

Также следует учесть один нюанс: для того чтобы правило сертификата работало нужно активировать их работу:

• переходим к редактированию нужной политики
• в политике переходим по адресу «Computer Configuration — Windows Settings — Security Settings — Local Policies — Security Options»
• в самом низу находим «System settings: Use Certificate Rules on Windows Executables for Software Restriction Policies» («Параметры системы:использовать правила сертификатов для исполняемых файлов Windows для политик ограниченного использования программ») и дважды кликаем по нему
• Ставим галочку возле «Define this policy setting» и выбираем «enabled»

Область действия политик ограниченного использования программ и приоритет правил

Действие политик ограниченного использования программ не распространяется на:

• Программы, запущенные от имени учетной записи SYSTEM
• Драйверы и другие приложения уровня ядра
• Макросы внутри документов Microsoft Office
• Программы, написанные для общей многоязыковой библиотеки времени выполнения (Common Language Runtime) – эти программы используют политику безопасности доступа кода (Code Access Security Policy)

Приоритет применения правил выглядит так (по мере убывания приоритета):

• Правило для хеша
• Правило для сертификата
• Правило для пути
• Правило для зоны Интернета
• Правило по умолчанию

Настраиваем политику запрета программного обеспечения

При редактировании политики переходим по адресу «Computer Configuration — Windows Settings — Security Settings — Software Restriction Policies»

Если политики для программного обеспечения  еще не определялись, то вы увидите предупреждение, что в случае их назначения новые правила перекроют параметры политик, унаследованных от других объектов GPO. Именно это мы и собираемся сделать, поэтому жмем правой кнопкой мышки по Software Restriction Policies и выбираем в меню «Create Software Restriction Policies». После этого увидим:

Общие настройки:

• Enforcement — можно указать к чему\кому эти политики применяются (или можно оставить настройки по умолчанию):
  • Ко всем файлам программного обеспечения или ко всем файлам программного обеспечения кроме библиотек (таких как dll)
  • Ко всем пользователям или ко всем пользователям кроме администраторов
• Designated File Types — указаны какие файлы считаются исполняемыми. Список уже сформирован, но при желании вы можете добавить или убавить типы файлов из этого списка.
• Trusted Publishers — эта группа параметров позволяет настраивать реагирование политики на элементы управления ActiveX® и другое подписанное содержимое. Здесь можно указать, кто будет принимать решение о доверии подписанному содержимому (лучше оставить это право администраторам предприятия), а также задать параметры проверки сертификатов – проверить, не отозван ли сертификат, и удостовериться, что он не просрочен.

В папке Security Levels, будут два уровня:

• Disallowed — когда все запрещено кроме того, что разрешено (разрешить можно в Additional Rules)
• Unrestricted — все разрешено кроме того, что запрещено (запретить можно в Additional Rules)

Если кликнуть по одному из этих уровней, то можно увидеть кнопку «Set as default». По умолчанию включен уровень Unrestricted

В папке Additional Rules собственно и создаются разрешающие или запрещающие политики. По умолчанию там уже будут созданы политики для путей в реестре, которые разрешают запускать приложения из служебных\системных папок.

Для создания разрешающего правила кликаем правой кнопкой мышки и выбираем один из типов правила (Сертификат, хеш, зона или путь).

Я ограничивал Teamviewer по сертификату издателя: выбрал New Certificate Rule, в нем указал файл с сертификатом издателя (чуть выше описано как его получить) и в Security level выбрал «Disallowed», то есть запретить.

Если после настройки политик не терпится увидеть их работу на локальном компьютере, то в командной строке введите «gpupdate /force» и после выполнения команды перезагрузите компьютер.

Полезные ссылки:

• windowsfaq.ru — Ограничение списка запускаемых программ при помощи групповых политик

=) Поделись с друзьями:

Источник: https://elims.org.ua/blog/zapret-zapuska-prilozhenij-i-sluzhb-v-windows-pri-pomoshhi-gruppovyx-politik/

Запрет запуска программ. Как запретить запуск программ в Windows?

Вопрос запуска программ в ОС Windows различными пользователями довольно актуальный. Именно его мы сегодня и рассмотрим. Тема будет полезной как для рядовых пользователей, так и для администрирования групп пользователей в домене.

Скажу сразу, что в ОС уже присутствуют соответствующие инструменты (и не один). Также есть специальные, сторонние приложения для упрощения работы пользователей. И те, и другие имеют свои преимущества и недостатки. Итак, начнем.

Еще по теме «История запуска программ на компьютере».

Как запретить запуск программы в Windows

ОС Windows имеет три инструмента для настройки запуска программ:

1. AppLocker
2. Редактор групповых политик (РГП)
3. Реестр

Если версия ОС Windows на Вашем компьютере Enterprise или Ultimate, то среди инструментов системы есть и AppLocker. А кроме него, Вам больше ничего и не надо. Конечно, ниже я рассмотрю и другие способы того, как запретить запуск программы, но начну именно с самого оптимального и функционального – AppLocker.

Запрет запуска программ с AppLocker

Данное средство является наиболее оптимальным инструментом для создания различных политик запуска приложений. Его возможности:

• Настройка как запретов, так и разрешений.
• Настройка хешей и путей.
• Аудит.
• Использование данных издателя (проверка по электронной подписи).
• Импорт и экспорт созданных политик.

Все это позволяет ограничить доступ примитивно выражаясь «с разных сторон».

К примеру, создав ограничение через Редактор групповых политик, вы не можете быть уверенны, что юзер просто не переименует исполняемый файл.

В AppLocker же это ничего не даст, ведь используется путь к файлу или папке, или производится хеширование.

Как открыть AppLocker

Интерфейс простой и понятный, а функционал огромный. Итак, первое, что нужно сделать – найти данное средство. Для этого зайдите в Редактор групповых политик. В окне быстрого перехода (Win+R), введите gpedit.msc.

Следуя, инструкции на скрине, найдите AppLocker.

Как работать с AppLocker

Для начала немного теории. AL работает с различными файлами: исполнительными, файлами установщика Windows и файлами сценариев.

Основные расширения примерно выглядят так:

Я буду создавать правила именно в первой группе, так как нам нужно запретить запуск или установку программы, а они (ну большая их часть) имеют расширение *.exe

1. Нажав на ветвь Исполняемые правила, мы увидим, что их собственно нет. Поэтому сначала, я рекомендую создать стандартные правила.

2. Для того чтобы запретить запуск определенной программы нужно:

• выбрать пользователя или группу пользователей, которым будет запрещено действие

• выбрать условия по запрету: тип запрета

Здесь хорошо видно и упомянутые мною возможности: хеширование файла и запрет по цифровой подписи.

• теперь выберите программу или папку, запуск которой хотите запретить. Я выберу ее папку

• нажмите Создать. Как видите появился запрет

3. Осталось запустить службу, чтобы AppLocker заработал:

• зайдите в диспетчер задач (CTRL+ALT+DEL)
• перейдите на вкладку службы
• найдите службу Удостоверение приложения (AppIDSvc)

• запустите службу (правой кнопкой мыши – Запустить).

Теперь, если пользователь, который не состоит в админгруппе попробует запустить приложение 888poker.exe, он увидит уведомление:

Запрет запуска программ с помощью AppLocker

AppLocker или SRP?

Технология AppLocker впервые появилась в Windows 7 (Enterprise, Ultimate) и Windows Server 2008 R2. И перед выходом заявлялось (я бы даже сказал рекламировалось), что это инновационный прорыв.

Частично это так, НО я бы сказал, что и AppLocker и ее предшественник – SRP (Технология политики ограниченного использования программ) имеют каждый свои преимущества и недостатки. Например, в SRP можно создавать правила для сертификатов и сетевых зон, чего нет в Applocker. Хотя последний работает с цифровыми подписями.

Технически обе технологии очень похожи. Поэтому я бы назвал AppLocker – SRPv2.0. Ведь в нем есть практически все с предшественника + дополнения (типа ЭП, экспорта/импорта политик и более понятного и удобного интерфейса).

Запрет запуска программ с РГП

По сути, ничего сложного здесь нет. Поэтому подробно описывать не буду, смотрите скрины. Нужно выполнить такие действия:

1. Запустить сам РГП. Для этого вызовите окно Выполнить (Win+R), введите gpedit.msc

2. Вы в Редакторе. Найдите вкладку Система (см. ниже). Кликните на выделенный пункт.

4. В поле Значение введите название программы с расширением. Все примените.

Когда любой другой пользователь попытается запустить данное приложение, появится окно:

Запрет запуска программ с помощью редактора групповых политик.

По тому же принципу можно разрешить запуск только определенных приложений. Это больше подходит для группы компьютеров (например, одного домена).

В РГП выберите пункт «Выполнять только указанные…». Дальше все также.

ВАЖНО! Тут будьте осторожными, так как будет выполняться только указанные Вами программы. Даже РГП работать не будет. Как минимум внесите его в список.

Запрет запуска программ в Реестре Windows

Тут все работает по тому же принципу: внесение имен программ под запрет. Но его стоит показать (опять же вкратце), так как не у всех есть РГП.

1.  Зайдите в реестр с помощью окна Выполнить (Win+R).

2. Перейдите в раздел Policies. Выберите Explorer. Вот полный путь:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

3. Теперь в соседнем окне создайте новый параметр под название DisallowRun указанного типа со значением 1.

4. Дальше в каталоге, в ветке Explorer, создайте ветку с названием того же параметра.

5. Осталось только указать программы, запуск которых мы хотим запретить. Это делается в созданном разделе (DisallowRun). Создаются строчные (типа string) нумерованные переменные. В их значение нужно записать имя исполняемого файла. Для каждой программы одна переменная.

После перезагрузки ПК, программа не будет запускаться.

Запрет запуска программ в Реестре Windows

Мое мнение или проблемы данного способа

Да, вроде бы ничего сложного и довольно удобно. Но все же есть одно НО: запрет то действует на имя исполняемого файла, а его можно с легкостью изменить! И тут ничего не поделаешь.

Можно предположить, что, разрешив запуск только определенных программ, вы решите проблему.  Но что мешает назвать программу именем той, которая имеет разрешение на запуск?

Поэтому вывод один: AppLocker очень полезный и незаменимый.

Выводы

Как видите, есть способы запретить запуск программы и в самой ОС Windows. Все они вроде бы разные, но принцип один: использование групповых политик безопасности.

По моему скромному мнению, использовать AppLocker куда удобнее и оптимальнее. К тому же при наличии технологии Active Directory, администрировать доменные группы очень удобно.

Лучше ли вернутся к старой доброй SRP? Это чисто Ваше субъективное мнение. Я скажу, что всегда придерживаюсь правила, которое обязывает идти вперед, изучать новое. И Вам того же советую.

Еще по теме «Запрет интернета для определенных программ».

Источник: http://www.spy-soft.net/zapret-zapuska-programm/