Política de restricción de software en la Política de grupo de Windows

Para la Política de grupo de Windows, quizás todos estén usando más funciones en las "Plantillas de administración". Para la "estrategia de restricción de software", creo que no hay muchos paquetes usados.

Si la estrategia de restricción de software es buena, creo que se puede comparar con algún software HIPS. Si combina los permisos NTFS y los permisos de registro, puede implementar completamente la configuración de seguridad completa del sistema. Al mismo tiempo, debido a que esta es una función integrada del sistema, se integra perfectamente con el sistema y no ocupa recursos adicionales de CPU y memoria. El fenómeno de la incompatibilidad, ya que se encuentra en la parte inferior del sistema, su capacidad de intercepción no es comparable con otro software. El inconveniente es que su configuración no es flexible e inteligente, y no se lo preguntará al usuario. Echemos un vistazo completo a la estrategia de restricción de software.

Esta serie de artículos se centrará en los siguientes aspectos:

· Descripción general

· Reglas adicionales y niveles de seguridad

· Política de restricción de software Prioridad

· Asignación de reglas y herencia

· Cómo escribir reglas

· Reglas de ejemplo

Hoy presentamos la Política de grupo de Windows Una visión general de las políticas de restricción de software, reglas adicionales y niveles de seguridad.

1. Descripción general

Use la Política de restricción de software para proteger su entorno informático del código no confiable identificando y especificando qué aplicaciones pueden ejecutarse. Con reglas hash, reglas de certificado, reglas de ruta y reglas de zona de Internet, los programas pueden identificarse en las políticas. De manera predeterminada, el software puede ejecutarse en dos niveles: "sin restricciones" y "no permitido". En este documento, usamos principalmente reglas de ruta y hash, mientras que las reglas de ruta son las más flexibles en estas reglas, por lo que si no hay una descripción especial en el siguiente texto, todas las reglas hacen referencia a las reglas de ruta.

2, Reglas adicionales y niveles de seguridad

Reglas adicionales

Al usar políticas de restricción de software, use las siguientes reglas para identificar el software:

· Reglas de certificado

Las políticas de restricción de software pueden identificar archivos por sus certificados firmados. Las reglas de certificado no pueden aplicarse a archivos con una extensión .exe o .dll. Se pueden aplicar a scripts y paquetes de Windows Installer. Puede crear un certificado que identifique el software y luego decidir si permite que el software se ejecute según la configuración del nivel de seguridad.

· Reglas de ruta

Las reglas de ruta se identifican por la ruta de archivo del programa. Como esta regla se especifica por ruta, la regla de ruta no será válida después de que el programa se mueva. Las variables de entorno como% programfiles% o% systemroot% se pueden usar en las reglas de ruta. Las reglas de ruta también admiten comodines. Los comodines admitidos son * y? .

· Hash Rules

Un hash es una serie de bytes de longitud fija que identifican de forma única un programa o archivo. El hash es calculado por el algoritmo de hash. Las políticas de restricción de software se pueden identificar por SHA-1 (algoritmo de hash seguro) y el algoritmo de hash MD5 según el hash del archivo. Los archivos renombrados o los archivos movidos a otras carpetas producirán el mismo hash.

Por ejemplo, puede crear una regla hash y configurar el nivel de seguridad en "no permitido" para evitar que los usuarios ejecuten ciertos archivos. Los archivos pueden ser renombrados o movidos a otras ubicaciones y aún así producir el mismo hash. Sin embargo, cualquier manipulación del archivo cambiará su valor hash y le permitirá evitar el límite. La política de restricción de software solo identificará aquellos hashes que se han calculado utilizando la política de restricción de software.

· Reglas de la zona de Internet

Las Reglas de la zona se aplican solo a los paquetes de Windows Installer. Las reglas regionales pueden identificar el software de un área designada de Internet Explorer. Estas áreas son Internet, computadoras locales, intranets locales, sitios restringidos y sitios de confianza.

Los tipos de archivos afectados por las reglas anteriores son solo los que se enumeran en "Tipos de archivos asignados". El sistema tiene una lista de tipos de archivos especificados que son compartidos por todas las reglas.

Predeterminado

Los tipos de archivo en la siguiente lista son: ADE ADP BAS BAT CHM CMD COM CPL CRT EXE HLP HTA INF INS ISP LNK MDB MSC MSI MSP MST OCX PCD PIF REG SCR SHS URL VB WSC, por lo que no se ven afectados los archivos normales no ejecutables, como TXT JPG GIF. Si cree que hay archivos extendidos que son amenazadores, también puede agregarlos aquí, o ¿qué extensiones cree? No hay amenaza, también puedes eliminarlo.