Политики ограниченного использования программ.

Политики ограниченного использования программ.

 В последние годы одной из наиболее серьезных угроз безопасности стал запуск пользователями неизвестных или недоверенных программ на компьютерах. Во многих случаях пользователи по невнимательности запускают потенциально опасное программное обеспечение. Практика показывает, что миллионы пользователей устанавливают на своих компьютерах вирусы и троянские кони, сами того не желая. Для предотвращения таких последствий предназначены политики ограниченного использования программ, запрещающие пользователям запускать опасное программное обеспечение. Они определяют приложения, которые разрешено или запрещено запускать на рабочих станциях.

При установке политик ограниченного использования программ можно определить политику, разрешающую запуск всего программного обеспечения за исключением блокированных приложений. Вы также можете определить политику, запрещающую запуск всего программного обеспечения кроме приложений с явно назначенным разрешением запуска. Хотя второй способ обеспечивает более высокий уровень безопасности, для определения всех приложений, которые разрешено запускать в среде предприятия, может потребоваться много времени.

Большинство компаний предпочитают менее защищенный способ, разрешая запускать все программное обеспечение и блокируя лишь некоторые приложения. Тем не менее если вы развертываете набор рабочих станций в среде, где требуется повышенная безопасность, имеет смысл применить второй, более защищенный способ.

В процессе создания политики ограниченного использования программ можно отконфигурировать пять типов правил для приложений, являющихся субъектами политики.
- Правило для хэша. Криптографический идентификатор, который уникальным образом идентифицирует файл приложения независимо от имени и размещения файла. Если в папке Security Levels выбрать уровень безопасности Unrestricted (Неограниченный), то для ограничения запуска отдельного приложения с помощью политики можно создать хэш-правило. При попытке пользователя запустить это приложение рабочая станция проверяет хэш и останавливает запуск приложения. Если политика ограниченного использования программ блокирует запуск всех приложений (выбран уровень безопасности Disallowed (Запрещено)), хэш-правило можно использовать для разрешения запуска отдельного приложения.
- Правила для сертификатов. В этих правилах критерий выбора приложений основан на сертификате поставщика программного обеспечения. Например, если вы разработали настраиваемое приложение, то можете назначить для него сертификат, а затем отконфигурировать правило ограниченного использования программ для доверия соответствующему сертификату.
- Правила для пути. Вы можете создавать правила на основе места расположения исполняемого файла приложения. Если выбрать папку, правило будет применяться ко всем приложениям в этой папке. Для указания путей также можно использовать переменные среды (например, %systemroot%). Кроме того, в правиле для пути можно использовать групповые символы (например, *.vbs).
- Правила для пути реестра. Вы также можете создавать правила на основе размещений в реестре, используемых приложением. Практически каждое приложение хранит свои данные в размещении реестра. Вы можете создать правило блокировки или разрешения запуска приложения на основе этих ключей реестра. В меню создания правил для ключей реестра нет специфических опций реестра, однако опция New Path Rule (Создание файла для пути) позволяет создать уникальный набор правил. Вместе с новой политикой ограниченного использования программ по умолчанию создаются четыре правила для путей реестра. Они конфигурируют применение политики неограниченного использования программ к приложениям в корневой системной папке и папке Program Files.
- Правила для зон сети. Последнее правило основано на зоне Интернета, из которой загружено программное обеспечение. Например, вы можете отконфигурировать правило, разрешающее запуск всех приложений, загруженных из зоны надежных узлов, или правило, запрещающее запуск программ, загруженных из зоны ограниченных узлов.

Если вы конфигурируете ограниченное использование программ по умолчанию, чтобы запускать все приложения за исключением указанных, эти правила определяют приложения, которые не запускаются. Если же вы решили ввести ограничивающее правило для отключения всех приложений, эти правила определяют приложения, запуск которых разрешен.

По умолчанию политики ограниченного использования программ не конфигурируются в Active Directory. Для определения политики щелкните правой кнопкой мыши папку Software Restrictions Policies и примените команду New Software Restrictions Policy (Создать политику ограниченного использования программ). Будет создана политика по умолчанию.