组策略编写软件限制策略规则
- 格式:doc
- 大小:92.00 KB
- 文档页数:10
软件限制策略如果用的好的话,相信可以和某些HIPS类软件相类比了。
如果再结合NTFS权限和注册表权限,完全可以实现系统的全方位的安全配置,同时由于这是系统内置的功能,与系统无缝结合,不会占用额外的CPU及内存资源,更不会有不兼容的现象,由于其位于系统的最底层,其拦截能力也是其它软件所无法比拟的,不足之处则是其设置不够灵活和智能,不会询问用户。
下面我们就来全面的了解一下软件限制策略。
本系列文章将从以下几方面为重点来进行讲解:·概述·附加规则和安全级别·软件限制策略的优先权·规则的权限分配及继承·如何编写规则·示例规则今天我们介绍Windows的组策略中的如何编写规则。
关于规则编写,我们要遵循以下几个原则:要方便,不能对自己有过多的限制,这样,即使出现问题也好排队要安全,要考虑到你的系统中毒的来源有哪些,针对其做好防护。
基于文件名的病毒规则尽量少用,因为容易出现误阴,而且病毒的文件名随便可以改,我们做的又不是特征库。
下面介绍规则的具体编写方式开始-> 运行-> gpedit.msc在左边的窗口中依次展开计算机配置-> Windows设置-> 安全设置-> 软件限制策略。
如果你之前没有进行过设置,那么在软件限制策略上点右键,选择创建新的策略。
然后在其它规则上右键点击,选择新路径规则既可以进行规则的创建了。
规则的设置很简单,就五个安全级别,根据你自己的需要设置即可。
难点主要是规则的正确性和有效性,这个得靠多多实践来提升了。
另外提醒一下,大家在设置规则时,注意不要更改以下4条系统默认规则同时还要考虑它们的影响:·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% 路径不受限的·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%*.exe 路径不受限的·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%System32\*.exe 路径不受限的·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\ProgramFilesDir% 路径不受限的相当于规则:·%SystemRoot% 不受限的整个Windows目录不受限·%SystemRoot%\*.exe 不受限的Windows下的exe文件不受限·%SystemRoot%\System32\*.exe 不受限的System32下的exe文件不受限·%ProgramFiles% 不受限的整个ProgramFiles目录不受限这里要注意的一点是规则在新添加或者进行修改以后根据不同的机器,会在一至两分钟内生效,不会立即生效,如果长时间不生效,我们可以通过注销,重新登陆来生效,也可以使用命令gpupdate /force 来强制刷新。
server组策略之软件限制策略教程xx年xx月xx日•软件限制策略的基础•软件限制策略的配置•软件限制策略的常见问题及解决方案•软件限制策略的实例应用目录01软件限制策略的基础软件限制策略是一种Server组策略,用于限制用户在服务器上使用和安装软件的权限。
根据限制范围,软件限制策略可分为基本策略和详细策略两种类型,其中基本策略限制用户使用某个软件类别,而详细策略则限制用户使用特定的软件应用程序。
定义与分类策略位置及配置软件限制策略在组策略中的位置计算机配置>管理模板>系统>软件限制策略。
在软件限制策略中,可以配置三种类型的策略灰名单、黑名单和白名单。
其中灰名单是介于黑名单和白名单之间的软件,黑名单是禁止使用的软件,白名单是可以使用的软件。
软件限制策略的规则包括:所有用户、所有软件、所有位置、所有版本、所有应用程序。
在例外中,可以添加允许使用某个软件应用程序的规则,以覆盖软件限制策略中的限制。
策略规则和例外02软件限制策略的配置软件限制策略可以通过配置文件和路径限制,控制特定软件或文件夹的访问权限,保障系统安全性。
总结词文件和路径限制是软件限制策略最常用的手段之一。
管理员可以通过在组策略中设置“软件限制策略”-“不允许指定的软件访问”或“只允许指定的软件访问”两个选项,来实现对特定软件或文件夹的访问控制。
详细描述文件和路径限制总结词哈希值限制是通过配置文件或文件夹的哈希值,实现对特定文件的访问控制,进一步增强系统安全性。
详细描述哈希值限制是一种更为高级的软件限制策略方法。
管理员可以通过在组策略中设置“软件限制策略”-“基于哈希值的软件限制策略”选项,并添加相应的哈希值来实现对特定文件的访问控制。
哈希值限制总结词证书限制是通过配置数字证书,实现对软件的签名和身份认证,提高软件的安全性和可信度。
详细描述证书限制通常用于对软件发布者的身份进行验证和确认。
管理员可以通过在组策略中设置“软件限制策略”-“证书限制”选项,并添加相应的证书来验证软件的签名和身份,从而实现对软件的访问控制。
打开组策略,gpedit.msc 计算机配置--windows设置---软件限制策略---其他规则---右键可新建规则
D:\Program Files\Tencent\QQGAME
C:\Program Files\Tencent\QQGAME
E:\Program Files\Tencent\QQGAME
等等
就像下面这样:
然后再右键新建散列规则:
关闭开始菜单中的运行命令:
关闭完之后就没有运行命令了!!
如果要使用运行命令的话:打开开始菜单---所有程序---附件---命令提示符--输入gpedit.msc
然后在用户配置---管理模板---任务和开始菜单---将
设置成未被配置就行了。
注意:::
如何恢复组策略默认设置:(当组策略不能打开,被限制的时候)
你重新启动电脑然后按F8 选择带命令行提示的安全模式~~然后在命令提示符那边输入
mmc.exe
然后依次单击文件---添加/删除管理单元--添加---组策略--添加--完成--关闭--确定
然后进到那个新建的组策略把你刚设置的全取消就行了!。
《server组策略之软件限制策略教程》•软件限制策略概述•软件限制策略的核心概念•软件限制策略的配置步骤•软件限制策略的疑难解析•软件限制策略的应用案例目•总结与展望录01软件限制策略概述软件限制策略是一种安全设置,用于限制应用程序的安装和使用。
软件限制策略通过在组策略中设置相关的策略选项,对应用程序的安装、运行和卸载进行限制。
1 2 3通过限制不受信任的软件安装和运行,可以减少系统遭受恶意软件攻击的风险。
保护系统安全软件限制策略可以限制应用程序的安装、运行和卸载,从而有效控制应用程序的行为。
控制应用程序行为通过限制不必要的软件启动和运行,可以提高系统的启动速度和运行效率。
提高系统性能基于安全标识符(SID)进行限制软件限制策略通过在组策略中设置特定的安全标识符(SID),然后将这些SID与不受信任的软件相关联,从而实现限制。
基于哈希值进行限制软件限制策略还可以通过设置特定的哈希值,对应用程序进行限制。
当应用程序安装时,系统会将其与预先设置的哈希值进行比较,如果匹配则允许安装,否则会禁止安装。
02软件限制策略的核心概念VS通过软件限制策略,管理员可以定义不同的类型,例如:应用程序、协议、URL或通配符,以限制特定软件或协议的使用。
可以根据需要自定义软件限制策略,以适应特定的网络环境和安全要求。
管理员可以定义软件限制策略的规则,例如:只允许运行特定的软件、禁止使用某些协议或限制特定软件的运行时间。
可以基于时间、用户或计算机设置规则,以及根据不同的条件组合进行限制,实现精细化的软件控制。
软件限制策略的常见应用场景防止内部网络被外部恶意软件入侵,保护网络安全。
限制特定软件的使用,例如:禁止使用USB存储设备,以防止数据泄露。
控制员工使用聊天工具、在线游戏等非工作软件的场景,提高工作效率。
03软件限制策略的配置步骤VS点击“开始”菜单,在搜索框中输入“gpedit.msc”,打开“组策略”编辑器。
在“组策略”编辑器中,依次展开“计算机配置”和“Windows 设置”节点。
Windows组策略之软件限制策略对于Windows的组策略,也许大家使用的更多的只是管理模板里的各项功能。
对于软件限制策略相信用过的筒子们不是很多:)。
软件限制策略如果用的好的话,相信可以和某些HIPS类软件相类比了。
如果再结合NTFS权限和注册表权限,完全可以实现系统的全方位的安全配置,同时由于这是系统内置的功能,与系统无缝结合,不会占用额外的CPU及内存资源,更不会有不兼容的现象,由于其位于系统的最底层,其拦截能力也是其它软件所无法比拟的,不足之处则是其设置不够灵活和智能,不会询问用户。
下面我们就来全面的了解一下软件限制策略。
1、概述使用软件限制策略,通过标识并指定允许哪些应用程序运行,可以保护您的计算机环境免受不可信任的代码的侵扰。
通过散列规则、证书规则、路径规则和Internet区域规则,就用程序可以在策略中得到标识。
默认情况下,软件可以运行在两个级别上:“不受限制的”与“不允许的”。
在本文中我们主要用到的是路径规则和散列规则,而路径规则呢则是这些规则中使用最为灵活的,所以后文中如果没有特别说明,所有规则指的都是路径规则。
2、附加规则和安全级别附加规则在使用软件限制策略时,使用以下规则来对软件进行标识:证书规则软件限制策略可以通过其签名证书来标识文件。
证书规则不能应用到带有.exe或.dll扩展名的文件。
它们可以应用到脚本和Windows安装程序包。
可以创建标识软件的证书,然后根据安全级别的设置,决定是否允许软件运行。
路径规则路径规则通过程序的文件路径对其进行标识。
由于此规则按路径指定,所以程序发生移动后路径规则将失效。
路径规则中可以使用诸如%programfiles%或%systemroot%之类环境变量。
路径规则也支持通配符,所支持的通配符为*和?。
散列规则散列是唯一标识程序或文件的一系列定长字节。
散列按散列算法算出来。
软件限制策略可以用SHA-1(安全散列算法)和MD5散列算法根据文件的散列对其进行标识。
软件限制策略如果用的好的话,相信可以和某些HIPS类软件相类比了。
如果再结合NTFS权限和注册表权限,完全可以实现系统的全方位的安全配置,同时由于这是系统内置的功能,与系统无缝结合,不会占用额外的CPU及内存资源,更不会有不兼容的现象,由于其位于系统的最底层,其拦截能力也是其它软件所无法比拟的,不足之处则是其设置不够灵活和智能,不会询问用户。
下面我们就来全面的了解一下软件限制策略。
本系列文章将从以下几方面为重点来进行讲解:·概述·附加规则和安全级别·软件限制策略的优先权·规则的权限分配及继承·如何编写规则·示例规则今天我们介绍Windows的组策略中的如何编写规则。
关于规则编写,我们要遵循以下几个原则:要方便,不能对自己有过多的限制,这样,即使出现问题也好排队要安全,要考虑到你的系统中毒的来源有哪些,针对其做好防护。
基于文件名的病毒规则尽量少用,因为容易出现误阴,而且病毒的文件名随便可以改,我们做的又不是特征库。
下面介绍规则的具体编写方式开始-> 运行-> gpedit.msc在左边的窗口中依次展开计算机配置-> Windows设置-> 安全设置-> 软件限制策略。
如果你之前没有进行过设置,那么在软件限制策略上点右键,选择创建新的策略。
然后在其它规则上右键点击,选择新路径规则既可以进行规则的创建了。
规则的设置很简单,就五个安全级别,根据你自己的需要设置即可。
难点主要是规则的正确性和有效性,这个得靠多多实践来提升了。
另外提醒一下,大家在设置规则时,注意不要更改以下4条系统默认规则同时还要考虑它们的影响:·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% 路径不受限的·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%*.exe 路径不受限的·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%System32\*.exe 路径不受限的·%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\ProgramFilesDir% 路径不受限的相当于规则:·%SystemRoot% 不受限的整个Windows目录不受限·%SystemRoot%\*.exe 不受限的Windows下的exe文件不受限·%SystemRoot%\System32\*.exe 不受限的System32下的exe文件不受限·%ProgramFiles% 不受限的整个ProgramFiles目录不受限这里要注意的一点是规则在新添加或者进行修改以后根据不同的机器,会在一至两分钟内生效,不会立即生效,如果长时间不生效,我们可以通过注销,重新登陆来生效,也可以使用命令gpupdate /force 来强制刷新。
实例演示组策略软件限制编写根目录规则如果我们要限制某个目录下的程序运行,一般是创建诸如:C:\Program Files\*.* 不允许这样的规则,看起来是没有问题的,但在特殊情况下则可能引起误伤,因为通配符即可以匹配到文件,也可以匹配到文件夹。
如果此目录下存在如 这样的目录(如C:\Program Files\\Site Map ),同样可以和规则匹配,从而造成误伤,解决方法是对规则进行修改:C:\Program Files 不允许的C:\Program Files\*\ 不受限的这样就排除了子目录,从而不会造成误伤。
上网安全的规则我们很多时候中毒,都是在浏览网页时中的毒,在我们浏览网页时,病毒会通过浏览器漏洞自动下载到网页缓存文件夹中,然后再将自身复制到系统敏感位置,比如windows system32 program files等等目录下,然后运行。
所以单纯的对浏览器缓存文件夹进行限制是不够的。
比较实用的防范方法就是禁止IE浏览器在系统敏感位置创建文件,基于此,我们可以创建如下规则:%ProgramFiles%\Internet Explorer\iexplore.exe 基本用户%UserProfile%\Local Settings\Temporary Internet Files\** 不允许的%UserProfile%\Local Settings\Temporary Internet Files\* 不允许的%UserProfile%\Local Settings\Temporary Internet Files\ 不允许的%UserProfile%\Local Settings\Temporary Internet Files 不允许的如果你使用的是其它浏览器,同样将其设置为“基本用户”即可。
U盘规则比较实际的作法:U盘符:\* 不允许的不信任的受限的都可以不过设为不允许的安全度更高,也不会对U盘的正常操作有什么限制。
CMD限制策略%Comspec% 基本用户这里要注意的是系统对于CMD和批处理文件是分开处理的,即使对CMD设置了不允许,仍然可以运行批处理对于一些系统中平时我们极少用,但存在潜在威胁的程序我们也要进行限制。
比如ftp.exe、tftp.exe、telnet.exe、net.exe 、net1.exe 、debug.exe 、at.exe、arp.exe 、wscript.exe、cscript.exe等等,都可以将其设置为受限的或者直接设成不允许的。
禁止伪装的系统进程svchost.exe 不允许的C:\Windows\System32\Svchost.exe 不受限的如果你有兴趣,有精神,还可以为系统的所有进程做一个白名单,这样安全性可能会更高。
其它规则大家可以自由发挥。
策略的备份最后提一下策略的备份。
不能这么辛苦做完下次重做系统再来一次吧,呵呵,备份很简单,我们可以通过导出注册表来备份(不提倡,也就不介绍了)。
也可以通过直接备份文件来备份,打开C:\WINDOWS\system32\GroupPolicy\Machine ,在这个目录下有一个Registry.pol 文件,对,就是它了。
备份它,重做系统后直接COPY过来就可以了,当然你也可以将你的策略分享给更多人使用。
这里有一点要注意的,就是这个Machine文件夹如果没有,千万不能手动建立,否则无效,可以使用我们前面介绍过的创建策略的方法,创建以后就会生成这个文件夹,也可以你在备份的时候直接备份这个文件夹。
千万要记得不能手动建立。
如果你不想使用这些策略了,很简单,将Registry.pol 文件改名或者删除即可实战:U盘病毒解决方法我这里介绍的都是一些通过系统自身来实现的方法,不使用第三方软件。
喜欢用第三方软件的朋友们就不要讨论了。
前面已经介绍过第一种方法了:使用软件限制策略,创建一条规则“?\*.* 不允许的” ,这样即使你中了U盘病毒它也没办法运行。
第二种方法,其实也算是第一种方法的延伸吧。
前面我们分析过系统对autorun.inf 文件的处理流程,从中我们可以看出有一步,explorer.exe 读取autorun.inf 的内容后会将其写入注册表中,由此,我们可以通过对注册表相关键值的权限进行限制,从而使其无法修改注册表,进而达到防止U盘病毒运行的目的。
相关注册表键:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\E xplorer\MountPoints2\*\shell\openHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\E xplorer\MountPoints2\*\shell\autorunHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\E xplorer\MountPoints2\*\shell\explorerHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\E xplorer\MountPoints2\*\shell\*\CommandHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\E xplorer\MountPoints2具体做法是将这些键降低权限,或者直接将所有用户对其的访问权限取消都可以。
第三种方法就是利用Windows的一个漏洞,建立Bug文件夹,来防止Autorun类病毒。
具体方法是:首先在U盘下建立一个名为Autorun.inf的文件夹,然后在这个文件夹下建立一个带“.”的BUG文件夹,这样的话autorun.inf 文件夹就无法删除了,比如我们在D盘下建立:首先在D盘下建立Autorun.inf 文件夹然后运行CMD,输入md d:\autorun.inf\test..\这样就可以在autorun.inf文件夹里建一个名为“test.”的文件夹,在资源管理器中无法访问,无法改名,无法删除。
这种方法比较消极,但适用于经常在别人机子上使用U盘的情况。
不过据说有些病毒已经可以对付这种方法了。
第四种方法,也是流传很广的一种做法,就是通过组策略或者注册表禁止自动播放功能。
这种方法以前我也是深信不疑的,但通过近来的几个小实验,发现这种方法也是有缺陷的,它只能防止一些做工粗糙的U盘病毒,对于很多病毒其实是防不了的。
这个我们可以做如下实验来验证。
我们自己建立一个autorun.inf 文件,放于U盘根目录下,再COPY 一个NOTEPAD到你的U盘根目录下,其内容如下:[autorun]OPEN=NOTEPAD.exeshell\open=打开(&O)shell\open\Command=NOTEPAD.exeshell\open\Default=1shell\explore=资源管理器(&X)shell\explore\Command=NOTEPAD.exe从组策略中关闭自动播放功能,在U盘点击右键,新菜单里没有多出来的选项,但你双击U盘试试,你会发现NOTEPAD运行了。