谈在windows server 中使用软件限制策略

安全指南Windows XP 客户端的软件限制策略更新日期： 2004年03月01日本页内容本模块内容目标适用范围如何使用本模块软件限制策略软件限制策略体系结构软件限制策略选项软件限制策略的设计和部署摘要本模块内容Microsoft® Windows® XP Professional 和 Microsoft Windows Server™ 2003 提供了“软件限制策略”功能，管理员可用来控制软件在本地计算机上运行的能力。

通过此功能，管理员可以防止用户运行未经授权的软件，并提供了其他保护措施以防病毒和特洛伊木马程序的攻击。

由于软件限制策略已集成到组策略中，因此可将其部署在 Microsoft Active Directory® 目录服务域中。

此外，还可将软件限制策略部署在独立计算机中。

返回页首目标使用本模块可以实现下列目标：•设计和部署软件限制策略•选择正确的规则类型并使用它来标识软件•控制软件限制策略使用的检查级别•将软件限制策略配置为始终允许管理员运行软件返回页首适用范围本模块适用于下列产品和技术：•Windows Server 2003 域中的 Windows XP Professional Service Pack (SP) 1 客户端•独立的 Windows XP Professional SP1 客户端返回页首如何使用本模块此模块详细描述了软件限制策略以及如何使用它们来控制软件在本地计算机上运行的能力。

为了充分理解本模块内容，请返回页首软件限制策略软件限制策略为管理员提供了一套策略驱动机制，用于标识软件并控制该软件在本地计算机上运行的能力。

这些策略可以确保环境中运行 Windows XP Professional 的计算机之间不存在已知冲突，并保护计算机免受恶意病毒和特洛伊木马程序的攻击。

软件限制策略与 Active Directory 和组策略完全集成。

用组策略彻底禁止客户端软件安装及使用我们企业网络中，经常会出现有用户使用未授权软件的情况。

比如，有些可以上网的用户使用QQ等聊天工具；而这往往是BOSS们所不想看到的东西。

所以限制用户使用非授权软件的重任就落到我们IT部头上了。

其实，限制用户安装和使用未授权软件，对于整个公司的网络安全也是有好处的，做了限制以后，有些病毒程序也不能运行了。

下面我们就来看看怎样通过组策略来限制用户安装和使用软件：一、限制用户使用未授权软件方法一：1. 在需要做限制的OU上右击，点“属性”，进入属性设置页面，新建一个策略，然后点编辑，如下图：2. 打开“组策略编辑器”，选择“用户配置”->“管理模板”->“系统”，然后双击右面板上的“不要运行指定的Windows应用程序”，如下图：3. 在“不要运行指定的Windows应用程序属性”对话框中，选择“已启用”，然后点击“显示”，如下图：4. 在“显示内容”对话框中，添加要限制的程序，比如，如果我们要限制QQ，那么就添加QQ.exe，如下图：5. 点击确定，确定…，完成组策略的设置。

然后到客户端做测试，双击QQ.exe，如下图所示，已经被限制了。

不过，由于这种方式是根据程序名的。

如果把程序名改一下就会不起作用了，比如我们把QQ.exe改为TT.exe，再登录，如下图，又可以了。

看来我们的工作还没有完成，还好Microsoft还给我们提供了其它的方式，接下来我们就用哈希规则来做限制。

6. 打开“组策略编辑器”，选择“用户配置”->“Windows设置”->“安全设置”->“软件限制策略”，右击“软件限制策略”，选择“创建软件限制策略”，如下图：7. 右击“软件限制策略”下的“其他规则”，选择“新建哈希规则”，如下图：8. 在“新建哈希规则”对话框中，点击“浏览”，找到要限制的软件，如下图：点击“确定”后，在右面板上就可以看到我们新建的哈希规则了。

《server组策略之软件限制策略教程》•软件限制策略概述•软件限制策略的核心概念•软件限制策略的配置步骤•软件限制策略的疑难解析•软件限制策略的应用案例目•总结与展望录01软件限制策略概述软件限制策略是一种安全设置，用于限制应用程序的安装和使用。

软件限制策略通过在组策略中设置相关的策略选项，对应用程序的安装、运行和卸载进行限制。

1 2 3通过限制不受信任的软件安装和运行，可以减少系统遭受恶意软件攻击的风险。

保护系统安全软件限制策略可以限制应用程序的安装、运行和卸载，从而有效控制应用程序的行为。

控制应用程序行为通过限制不必要的软件启动和运行，可以提高系统的启动速度和运行效率。

提高系统性能基于安全标识符（SID）进行限制软件限制策略通过在组策略中设置特定的安全标识符（SID），然后将这些SID与不受信任的软件相关联，从而实现限制。

基于哈希值进行限制软件限制策略还可以通过设置特定的哈希值，对应用程序进行限制。

当应用程序安装时，系统会将其与预先设置的哈希值进行比较，如果匹配则允许安装，否则会禁止安装。

02软件限制策略的核心概念VS通过软件限制策略，管理员可以定义不同的类型，例如：应用程序、协议、URL或通配符，以限制特定软件或协议的使用。

可以根据需要自定义软件限制策略，以适应特定的网络环境和安全要求。

管理员可以定义软件限制策略的规则，例如：只允许运行特定的软件、禁止使用某些协议或限制特定软件的运行时间。

可以基于时间、用户或计算机设置规则，以及根据不同的条件组合进行限制，实现精细化的软件控制。

软件限制策略的常见应用场景防止内部网络被外部恶意软件入侵，保护网络安全。

限制特定软件的使用，例如：禁止使用USB存储设备，以防止数据泄露。

控制员工使用聊天工具、在线游戏等非工作软件的场景，提高工作效率。

03软件限制策略的配置步骤VS点击“开始”菜单，在搜索框中输入“gpedit.msc”，打开“组策略”编辑器。

在“组策略”编辑器中，依次展开“计算机配置”和“Windows 设置”节点。

多用户环境下活用软件限制策略在多人共用一台计算机的环境下，我们可能需要对每个人可以使用的软件进行限制。

例如，系统中安装了一个游戏，可你不打算让其他使用这台计算机的人玩这个游戏。

或者公司的计算机上安装了很多软件，老板希望员工只能使用与工作相关的程序，其他非必需的程序都不准使用。

为了实现这一目标，我们可以配置Windows中的软件限制策略，Windows XP Pro、Windows Server 2003以及Windows V ista商业版、企业版和旗舰版这些带有组策略功能的操作系统都可以配置软件限制策略（Windows 2000虽然带有组策略，但没有软件限制策略功能）。

本文会介绍单机环境下软件限制策略的使用。

需要注意的一点是，和其他大部分策略一样，软件限制策略在域环境下才能发挥出最大作用，例如通过不同的OU（组织单元），域管理员可以为不同部门或者不同需求的员工创建出不同的策略。

在单机或工作组环境下，我们的策略只能对本地帐户生效。

软件限制策略可以让我们设置允许用户运行哪些程序，不允许运行哪些程序。

同时我们可以通过不同的规则来指定允许或者禁止运行的软件。

在Windows的软件限制策略中，我们可以通过下列条件来创建规则：证书规则通过证书规则，我们可以借助软件可执行程序自带的数字证书来创建策略。

例如，我们可以通过证书规则决定，所有带有来自微软的数字证书的软件都可以运行，或者所有带有某个不被信任的开发商的数字证书的软件都禁止运行。

这样每当我们试图运行一个程序的时候，系统都会查看该程序的数字签名，然后跟软件限制策略中的定义进行比较，并根据策略的设置决定是否允许运行。

哈希规则在使用哈希规则的时候，我们可以指定一个软件的可执行文件，然后由操作系统计算该文件的哈希值，并根据计算出来的哈希值决定是否允许运行该软件。

网络区域规则该规则主要用于使用Windows Installer技术安装的软件，因为通过该规则，我们可以对来自不同Internet区域的软件的安装程序采取不同的限制措施。

利用组策略部署软件和限制软件运行项目背景•我们可以通过AD DS组策略来为企业内部用户和计算机部署（deploy）软件，也就是自动为这些用户和计算机安装、维护和删除软件。

同时还可以为软件地运行制订限制策略。

项目目标•软件部署概述•将软件发布给用户•将软件分配给用户或计算机•启用软件限制策略5.1 软件部署概述可以通过组策略将软件部署给域用户和计算机也就是域用户登录或成员计算机启动时会自动安装或很容易安装被部署地软件，而软件部署分为分配（assign）和发布（publish）两种。

一般来说，这些软件必须是Windows Installer Package（也被称为MSI应用程序），也就是其内包含扩展名为.msi地安装文件。

5.1.1 将软件分配给用户将一个软件通过组策略分配给域用户后，用户在任何一台域成员计算机登录时，这个软件会被通告( advertised)给该用户，但此软件并没有被安装，而只是安装了和这个软件有关地部分信息而已，例如可能会在开始窗口或开始菜单中自动建立该软件地快捷方式（需视该软件是否支持此功能而定）。

用户通过单击该软件在开始窗口（或开始菜单）中地快捷方式后，就可以安装此软件。

用户也可以通过控制面板来安装此软件，以Windows 8.1客户端来说，其安装方法为【开始菜单→控制面板→单击程序处获得程序】。

5.1.2 将软件分配给计算机当您将一个软件通过组策略分配给域成员计算机后，这些计算机启动时就会自动安装这个软件（完整或部分安装，视软件而定），而且任何用户登录都可以使用此软件。

用户登录后，就可以通过桌面或开始窗口（或开始菜单）中地快捷方式来使用此软件。

利用组策略部署软件和限制软件运行•5.1.3 将软件发布给用户• 当将一个软件通过组策略发布给域用户后，此软件并不会自动被安装到用户地计算机内，不过用户可以通过控制面板来安装此软件，以Windows 8.1客户端来说，其安装方法为【开始菜单→控制面板→单击程序处获得程序】。

基于Windows Server 2012 R2域的安全管理Windows Server 2008 R2是微软最新的服务器操作系统，该操作系统秉承“按需定制”的原则，可以根据需要选择安装组件。

网络中常用的基础服务以“角色”的方式体现，更多的管理任务以“功能”的方式体现。

由于系统安装的服务少，因而能够减少网络攻击面，提升网络安全。

其中的AD DS域服务是Windows网络的基础网络服务，是Windows系列应用型产品的核心平台，是用户管理、计算机管理的基础。

一、项目简介本项目实现计算机系OU中若干计算机账号和用户账号（见表1-1）的统一的管理。

表1-1 网络环境描述图1-1 基于域的网络拓扑图图1-1是网络拓扑图。

二、实训环境1、软件环境Windows Server 2012 R2、Windows 7 等镜像文件光盘、VMware 7.1以上版本的虚拟机软件。

2、学院域，计算机系是域中的一个OU。

任务3 限制软件的运行通过软件限制策略所提供的多种规则，可以限制或允许用户运行相应的程序。

[安全管理需求]利用软件限制策略中的各种规则，拒绝用户运行指定的程序。

[任务描述]设置软件限制策略，完成：1、通过配置路径规则，使%windir%\system32\calc.exe（计算器）程序不能在计算机系中的机器上运行。

2、通过为用户设置哈希规则，使用户无法运行某软件。

比如QQ软件的安装。

3、通过为用户设置证书规则，使用户可以运行某个软件，比如QQ软件的安装。

[步骤提示]1、设置路径规则如图1-32所示，可以设置计算器程序的运行，当用户登录计算机后，将出现图1-33所示的效果。

图1-32 设置软件路径规则图1-33 软件路径规则效果图2、设置哈希规则哈希规则的设置如图1-34所示。

效果如图1-35所示。

图1-34 设置哈希规则示意图图1-35 哈希规则设置效果图3、设置证书规则（1）为客户端启用证书规则在DC上通过“计算机配置”-〉“策略”-〉“Windows设置”-“安全设置”-〉“本地策略”-〉“安全选项”，在右边启用“将Windows可执行文件中的证书规则用于软件限制策略”。

组策略之软件限制策略——完全教程与规则示例（规则已发布）翻了一下HIPS区之前已有的组策略教程，发现存在几个问题：1.对于路径规则的优先级、通配符问题没有说清，甚至存在误区2.规则的权限设置只有“不允许的”和“不受限的”两个级别，不够灵活3.没有涉及权限和继承的问题4.规则的保护范围有限，甚至不能防网马所以，就有了此文在总结前人经验的基础上，重新解释组策略的软件限制策略第一课，理论部分软件限制策略包括证书规则、散列规则、Internet 区域规则和路径规则。

我们主要用到的是散列规则和路径规则，其中灵活性最好的就是路径规则了，所以一般我们谈到的策略规则，若没有特别说明，则直接指路径规则。

组策略.jpg (32.37 KB)2008-3-2 03:53一.环境变量、通配符和优先级关于环境变量（假定系统盘为 C盘）%USERPROFILE% 表示 C:\Documents and Settings\当前用户名%HOMEPATH% 表示 C:\Documents and Settings\当前用户名%ALLUSERSPROFILE% 表示 C:\Documents and Settings\All Users%ComSpec% 表示 C:\WINDOWS\System32\cmd.exe %APPDATA% 表示 C:\Documents and Settings\当前用户名\Application Data%ALLAPPDATA% 表示 C:\Documents and Settings\All Users\Application Data%SYSTEMDRIVE% 表示 C:%HOMEDRIVE% 表示 C:%SYSTEMROOT% 表示 C:\WINDOWS%WINDIR% 表示 C:\WINDOWS%TEMP% 和 %TMP% 表示 C:\Documents and Settings\当前用户名\Local Settings\Temp%ProgramFiles% 表示 C:\Program Files%CommonProgramFiles% 表示 C:\Program Files\CommonFiles关于通配符：Windows里面默认* ：任意个字符（包括0个），但不包括斜杠? ：1个字符几个例子*\Windows 匹配 C:\Windows、D:\Windows、E:\Windows 以及每个目录下的所有子文件夹。

在企业络管理中，我们很重要的⼀块⼯作，就是对企业员⼯的络⾏为的管理。

如不允许他们使⽤QQ、MSN等聊天⼯具，或者不允许他们在上班时间看电影等等。

要实现这些⽅⾯的控制，现在已经有不少好的⼯具。

利⽤域控制器，来实现对某些软件的限制，也是其中⼀种⽐较流⾏的⽅式之⼀。

域环境中的软件限制策略，也就是说，当⽤户利⽤域帐户登陆到本机电脑的时候，系统会根据这个域帐户的访问权限，来判断其是否有某个应⽤软件的使⽤权限。

当其没有相关权限的时候，则操作系统就会拒绝⽤户访问某个应⽤软件，从⽽来管理企业员⼯的操作⾏为。

在这篇⽂章中，笔者将对软件限制策略的⼀些常识进⾏⼀些简短的介绍，然后在后续的⽂章中，笔者会结合⾃⼰公司的设置，来讲解⼀些具体的应⽤。

希望这⼀系列的⽂章能够对各位读者有所帮助。

⼀、应⽤软件与数据⽂件独⽴ 在应⽤软件限制策略的时候，需要明⽩的第⼀个原则就是“应⽤软件与数据⽂件独⽴”独⽴原则。

也就是说，你即使具有数据⽂件的访问权限，但是，若其没有其关联软件的访问权限的话，则仍然不能够打开这个⽂件。

如现在某个⽤户从上私⾃下载了⼀部电影，其作为所有者⼈，当然具有对这个数据⽂件进⾏访问的权限。

但是，我们在软件限制策略设置的时候，这个⽤户帐户⽆法访问任何的视频播放软件。

如此的话，这个⽤户仍然⽆法播放这部电影。

这就是应⽤软件与数据⽂件独⽴的原则。

这个原则在实际应⽤中⾮常有⽤。

因为我们很难控制⽤户从络上下载⽂件。

如⽤户若从络上下载歌曲，甚⾄通过U盘等⼯具从企业外部把⽂件拷贝到电脑上去。

这些⾏为我们很难控制。

但是，我们对于⽤户电脑上应⽤程序的控制来说，则相对简单许多。

我们只需要把这些应⽤程序控制好，则即使⽤户私⾃下载受限制的⽂件，则⽤户最终也没有软件可以打开它。

这也就可以控制他们的相关不正当⾏为。

⼆、软件限制策略的冲突处理原则 软件限制策略跟其他组策略⼀样，可以在多个级别上进⾏设置。

或者说，软件限制策略是组策略中的⼀个特殊分⽀也未尝不可。