首页 | 邮件资讯 | 技术教程 | 解决方案 | 产品评测 | 邮件人才 | 邮件博客 | 邮件系统论坛 | 软件下载 | 邮件周刊 | 热点专题 | 工具
网络技术 | 操作系统 | 邮件系统 | 客户端 | 电子邮箱 | 反垃圾邮件 | 邮件安全 | 邮件营销 | 移动电邮 | 邮件软件下载 | 电子书下载

操作系统

Windows 9X | Linux&Uinx | Windows Server | 其它操作系统 | Vista | FreeBSD | Windows 7 |
首页 > 操作系统 > Windows 95/98/XP > Windows XP 客户端的软件限制策略三 > 正文

Windows XP 客户端的软件限制策略三

出处:收集整理 作者:收集整理 时间:2006-1-9 17:26:00
 跳过管理员

  管理员可能要禁止大多数用户运行某些程序,但允许管理员运行所有这些程序。例如,管理员可能有一台多个用户通过终端服务器连接的共享计算机。管理员希望用户只运行计算机上的特定应用程序,但希望本地 Administrators 组中的成员能够运行所有程序。可以使用“跳过管理员”强制选项来执行此操作。

  如果在链接到 Active Directory 中的对象的 GPO 中创建了软件限制策略(而不是使用“跳过管理员”选项),则 Microsoft 建议拒绝将此 GPO 上的“应用组策略”权限授予 Administrators 组。因为未下载不应用于管理员的 GPO 设置,因此这将降低网络通信量。

  注意:本地安全策略对象中定义的软件限制策略无法过滤用户组。这种情况下,请使用“跳过管理员”选项。

  要打开“跳过管理员”选项,请执行下列操作:

  在上图 6.9 中的“强制属性”对话框中,选择“除本地管理员以外的所有用户”。

  定义可执行文件

  下图 6.10 中的“指派的文件类型属性”对话框中列出了软件限制策略控制的文件类型。指派的文件类型被视为可执行文件。例如,屏幕保护文件 (。scr) 便被视为可执行文件,因为在 Windows 资源管理器中双击该文件时,它将作为程序加载。

  软件限制策略规则只适用于“指派的文件类型属性”对话框中列出的文件类型。如果环境使用要应用规则的文件类型,请将该文件类型添加到列表中。例如,对于 Perl 脚本文件,可以选择将 .pl 以及其他与 Perl 引擎关联的文件类型添加到位于“指派的文件类型属性”对话框中“常规”选项卡下的“指定的文件类型:”列表中。


“指派的文件类型属性”对话框

  图 6.10

  “指派的文件类型属性”对话框

  本示例删除了文件类型 .mdb,并添加了 .ocx.下表列出了指派的文件类型。

  表 6.3:指派的文件类型

 文件扩展名 文件描述
 。ade Microsoft Access  项目扩展名
 。adp Microsoft Access  项目
 。bas Visual Basic 类模块
 。bat 批处理文件
。chm已编译的 HTML 帮助文件
 。cmd Windows NT 命令脚本
。com MS-DOS应用程序
 。cpl 控制面板扩展名
 。crt 安全证书
。exe 应用程序
 。hlp Windows 帮助文件
 。hta HTML 应用程序
。inf 安装信息文件
 。ins Internet 通信设置
 。isp Internet 通信设置
 。js JScript 文件
 。jse JScript编码的脚本文件
。lnk 快捷方式
。mde Microsoft Access MDE 数据库
 。msc Microsoft Common Console 文档
 。msi Windows Installer 程序包
 。msp Windows Installer 修补程序
。mst Visual 测试源文件
。ocx ActiveX控件
。pcd Photo CD 图像
 。pif MS-DOS  程序的快捷方式
 。reg 注册表项
 。scr 屏幕保护程序
 。sct Windows  脚本组件
 。shs 外壳片段对象
 。url Internet  快捷方式(统一资源定位器)
。vb VB 文件
。vbe VBScript 编码的脚本文件
 。vbs VBScript  脚本文件
 。wsc Windows  脚本组件
 。wsf Windows 脚本文件
 。wsh Windows  脚本主机设置文件

  已知问题

  如果将软件限制策略配置为限制 16 位程序(如 command.com 或 edit.com),用户仍然可以启动该程序,即使他们没有运行该程序的权限。要解决此问题,可以在环境中的客户端上安装 Windows XP Professional Service Pack 1.

  软件限制策略不禁止代码在 Microsoft Win32子系统以外运行。例如,用户可以从便携操作系统接口 (POSIX) 子系统运行同一命令。

  要阻止这种情况的发生,请通过删除下列 POSIX 值来关闭 POSIX 子系统:

  HKLM\System\CurrentControlSet\Control\SessionManager\Subsystems

  受信任的出版商

  可以使用“受信任的出版商属性”对话框来配置哪些用户可以选择受信任的出版商。还可以确定在信任发布者之前执行哪些证书吊销检查(如果存在)。启用证书规则后,软件限制策略将检查证书吊销列表 (CRL),以确保软件的证书和签名有效。这也会造成签名程序启动时系统性能的下降。使用下图 6.11 中显示的“受信任的出版商属性”对话框中“常规”选项卡下的选项,可以配置与 ActiveX 控件以及其他签名内容相关的设置。


“受信任的出版商属性”对话框

  图 6.11

  “受信任的出版商属性”对话框

  下表显示了与 ActiveX 控件以及其他签名内容相关的受信任发布者选项。

  表 6.4:受信任发布者的任务和设置

 设置名称 任务
 企业管理员 用于只允许企业管理员进行有关签名活动内容的决策。
 本地计算机管理员 用于允许本地计算机管理员进行有关签名活动内容的所有决策。
 最终用户 用于允许用户进行有关签名活动内容的决策。
发布者 用于确保软件发布者使用的证书未被吊销。
 时间戳 用于确保组织用于对活动内容加时间戳的证书未被吊销。

  软件限制策略的设计和部署

  本部分介绍了如何使用组策略管理单元来管理软件限制策略,首次编辑策略时的注意事项,以及如何将软件限制策略应用于用户组。此外,还介绍了在部署软件限制策略时要考虑的各种问题。

  与组策略集成

  可以对一组客户端以及登录到客户端的所有用户使用组策略管理单元来管理软件限制策略。该策略将应用于本指南中定义的台式计算机和便携式计算机 OU.

  域

  管理员应为软件限制策略创建一个单独的 GPO.这样可以删除组策略而不破坏应用于该对象的其他策略。

  本地必须为环境中的独立客户端配置一个本地策略。注意,在配置和复制了本地策略之后可能会出现冲突。

  设计策略本部分概述了在设计和部署软件限制策略时要执行的步骤。设计策略需要作出几项决策,下表将对此进行详细说明。

  表 6.5:要进行的重要策略设计决策

 决策 要考虑的因素
 便携式计算机或工作站。 考虑环境中移动用户的需求,以便确定便携式计算机是否需要与台式计算机不同的策略。便携式计算机通常比台式计算机需要更大的灵活性。
 服务器共享、登录脚本和主驱动器。 需要为从服务器共享目录或主目录启动的任何应用程序定义一个路径规则。可以向路径规则添加登录脚本文件。如果脚本调用任何其他脚本,还应向路径规则中添加可执行文件的位置。
 GPO 或本地安全策略。 本指南为此设计使用了 GPO,但您应该考虑本地策略对设计的影响。
 用户或客户端策略。 此设计适用于客户端级的所有设置。
 默认安全级别 建议将默认设置配置为“不允许的”,然后相应地配置策略的其余部分。也可以使用默认设置“不受限的”。
 其他规则 使用默认策略“不允许的”时,需要根据需要应用其他操作系统路径规则。在“不允许的”配置中,自动创建了四个规则。
 策略选项

 如果正在使用本地安全策略,并且不希望该策略应用于环境中客户端上的管理员,请选择策略强制选项“跳过管理员”。

如果除了可执行文件和脚本以外,还要检查 DLL,请选择策略强制选项“DLL 检查”。

如果要在指派文件类型默认列表以外的文件类型上建立规则,请使用该选项根据需要将这些文件类型添加到“指派的文件类型属性”对话框中。

如果要更改可以对下载 ActiveX 控件和其他签名内容作出决策的用户,请选中“受信任的出版商属性”对话框中“常规”选项卡下的“发布者”的复选框。

 将策略应用于站点、域或 OU. 该决策将驻留在台式计算机和便携式计算机所在的 OU 之下。

  最佳操作

  Microsoft 建议为软件限制策略创建一个单独的 GPO,以便在紧急情况下需要禁用该策略时,它不会影响域策略或本地策略的其余部分。

  此外,如果您在 OU 的设计阶段使用软件限制策略意外地锁定了工作站,则可以在“安全模式”下重新启动计算机,并以本地管理员的身份登录,然后修改该策略。在“安全模式”下启动 Windows 时将不应用软件限制策略。在“安全模式”下启动计算机后,请运行 gpupdate.exe,然后重新启动计算机。

  为了获得最大安全性,请将 ACL 与软件限制策略一同使用。用户可能会重命名或移动不允许的文件,或覆盖不受限的文件,以此来尝试跳过软件限制策略。为了防止发生这种情况,请使用 ACL 拒绝授予用户执行这些操作的权限。

  登录脚本通常位于域控制器或中央服务器上的 Sysvol 下。域控制器通常可以随每次登录而更改。如果默认规则设置为“不允许的”,请确保创建用于标识登录脚本位置的规则。如果登录服务器具有相似的名称,可考虑使用通配符来定位它们,或使用具有不受限设置的登录脚本名称。

  注意:在将新的软件限制策略设置应用于域之前,应在整个测试环境中对其进行测试。新策略设置的行为可能与最初的预计行为不符。通过测试可以减少在网络中部署软件限制策略设置时遇到问题的可能性。

  过程演练

  以下步骤将指导您完成设计软件限制策略,并将其作为 GPO 应用于环境中的便携式计算机和台式计算机的全部过程。

  步骤 1:为 OU 创建 GPO

  找到为环境中的台式计算机或便携式计算机创建的 OU.如果在独立客户端上工作,则设置位于本地计算机策略中。在此策略中,单击“属性”,然后新建一个 GPO.根据组织的命名约定来命名策略。注意,此策略将只用于强制实施软件限制。

  步骤 2:设置软件限制策略

  突出显示此 GPO,然后单击“编辑”。遍历该树,直到找到“Windows 设置”\“安全设置”\“软件限制策略”。首次编辑该策略时,您将看到下列消息:

  未定义软件安全策略。

  此消息警告您创建策略将定义默认值。这些默认值可能覆盖其他软件限制策略中的设置。由于尚未设置软件限制设置,因此将使用默认设置启动。右键单击“操作”菜单,然后选择“新建软件限制策略”。

  步骤 3:设置路径规则

  确定了工作站将拥有的应用程序和脚本后,便可以设置路径规则。某些程序将启动其他程序来执行任务。环境中的软件应用程序可能依赖于一个或多个支持程序。当前安装的软件上的清单和安装文档对于跟踪路径规则非常有用。工作站设计示例可能包括下列规则:

  Applications = *\Program Files

  Shared Group Applications= g:\Group Applications

  Logon script = Logon.bat

  Desktop Shortcuts = *.lnk

  Malicious VB Script =*.vbs

  步骤 4:设置策略选项

  下列内容包括此设计的建议设置。这些选项将改变数字签名文件的强制行为范围或 Authenticode 信任设置。

  强制 - 如果计算机是域的组成部分,则确保 Domain Admins 组自动添加到 Administrators 组。

  应用于用户 - 此选项包含除本地管理员以外的所有用户。使用此设置将延迟每个应用程序的启动。为弥补此不足,此设计将策略设置为不检查 DLL.

  应用于文件 - 此选项包括除库(如 DLL)以外的所有软件文件。使用此设置将延迟每个应用程序的启动。为弥补此不足,此设计将策略设置为不检查 DLL.

  指派的文件类型 - 对于本指南中定义的 GPO 设计,未向该列表中添加其他文件类型。实际上,可以根据需要添加自定义应用程序文件类型扩展,以使其遵守相同的规则。

  受信任的出版商 - 对于本指南中定义的 GPO 设计,启用了“管理员”组,并选中了“受信任的出版商属性: 本地计算机管理员”选项。

  信任发布者之前,在创建 GPO 的设计阶段选中“检查: 发布者”选项,以确保该策略将验证证书。

  步骤 5:应用默认设置

  最好将策略配置为默认设置“不受限的”。这样可以确保在应用软件限制前已完整配置了该策略。检查策略设置后,将默认设置重新设置为“不允许的”。

  步骤 6:测试策略

  如果计算机是域的一部分,请将该计算机移到应用该策略的 OU 容器中。重新启动测试计算机,然后登录到该计算机。测试计划应说明在应用策略后每个应用程序的运行方式。运行应用程序,以确保它们能够完全正常运行,并确保您能够访问它们的所有功能。验证应用程序的功能后,针对这些应用程序进行一次模拟攻击,以确保该策略没有安全漏洞。

  如果计算机是独立客户端,请登录到测试计算机并执行测试计划。验证应用程序后,请再次启动模拟攻击,以确保该策略没有安全漏洞。

  部署软件限制策略

  全面测试该策略后,请将其应用于环境中的台式计算机 OU 或便携式计算机 OU.如果它是独立客户端,请将其应用于客户端上的本地计算机设置。打开 Computers and Users MMC 管理单元并遍历该目录,直到您找到台式计算机或便携式计算机的 OU 容器。然后,使用组策略对象编辑器创建新 GPO.编辑属性,并基于下表将相应设置应用于“Windows 设置”\“安全设置”下的“软件限制策略”。

  表 6.6:安全级别

 用户界面中的默认规则 说明 设置
 不允许的 软件不会运行,无论用户拥有哪些访问权限。 使用此默认规则

  表 6.7:其他规则
 路径规则 设置
 %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\SystemRoot%不受限的 
 %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\SystemRoot%\*.exe 不受限的
 %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\SystemRoot%\System32\*.exe不受限的 
 %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\ProgramFilesDir% 不受限的
 *.lnk 不受限的
 *.vbs 不受限的
 G:\Group Applications 不受限的
 Logon.bat或登录脚本不受限的
 *\Program Files 不受限的

  表 6.8:对文件和用户强制实施策略

 强制选项 建议
 建议将软件限制策略应用于下列文件: 除 DLL 以外的所有软件文件。
 将软件限制策略应用于下列用户: 除本地管理员以外的所有用户。

  表 6.9:指派的文件类型

 指派的文件类型 建议
 指派的文件类型属性 删除 .mdb 并添加 .ocx.

  表 6.10:受信任的出版商

 受信任的出版商 建议
允许下列用户组选择受信任的出版商: 本地计算机管理员
 确定证书是否已被吊销。选择“发布者”选项。

  摘要

  软件限制策略为管理员提供了策略驱动的机制,用于标识和控制域中运行 Windows XP Professional 的计算机上的软件。可以创建策略来阻止恶意脚本,然后锁定环境中的计算机或禁止应用程序运行。在企业中,最好使用组策略对象 (GPO) 来管理软件限制策略,然后调整所创建的每个策略,使其满足组织中不同用户组和计算机的需求。Microsoft 建议不要尝试管理独立环境中的用户组。如果应用正确,软件限制策略将会提高完整性和可管理性,并从根本上降低组织中计算机操作系统的拥有和维护成本。

  其他信息

  以下是在发布 Windows Server 2003 时提供的最新信息源,其内容紧紧围绕 Windows XP Professional 和 Windows Server 2003 的软件限制策略。

相关文章 热门文章
  • 微软宣布已售出4亿份Windows 7许可
  • Powercfg 从命令行控制系统的电源管理
  • windows NT 4.0 Domain升级到windows server 2008 R2需要注意的几个问题
  • windows 7使用GPO统一桌面黑屏
  • Windows 2003域更名工具(Domain Rename Tool)
  • 创建Windows 7部署介质
  • 轻松传送——Windows Easy Transfer
  • 使用MDT 2010执行Windows 7裸机安装
  • Windows Server 2008 R2和Windows 7的组策略
  • 监视Windows 7中的系统启动性能
  • Windows 7十大快捷键
  • 使用Windows Server 2003的Netsh命令创建DHCP作用域
  • Win2000/XP与Win98互访
  • Windows XP系统恢复全攻略
  • Windows蓝屏代码详解
  • Windows系统操作技巧
  • 在dos系统下使用USB盘
  • 彻底解决Windows XP网络文件共享
  • Windows下的netstat和nbtstat
  • 在Win98中更改Win2000的密码
  • 资源共享,如此“GUEST”
  • Windows Me优化指南
  • 解析Win XP恢复管理员密码的五大秘诀
  • FTP用户无法登录排错详解
  • 自由广告区
     
    最新软件下载
  • SharePoint Server 2010 部署文档
  • Exchange 2010 RTM升级至SP1 教程
  • Exchange 2010 OWA下RBAC实现的组功能...
  • Lync Server 2010 Standard Edition 标..
  • Lync Server 2010 Enterprise Edition...
  • Forefront Endpoint Protection 2010 ...
  • Lync Server 2010 Edge 服务器部署文档
  • 《Exchange 2003专家指南》
  • Mastering Hyper-V Deployment
  • Windows Server 2008 R2 Hyper-V
  • Microsoft Lync Server 2010 Unleashed
  • Windows Server 2008 R2 Unleashed
  • 今日邮件技术文章
  • 腾讯,在创新中演绎互联网“进化论”
  • 华科人 张小龙 (中国第二代程序员 QQ...
  • 微软推出新功能 提高Hotmail密码安全性
  • 快压技巧分享:秒传邮件超大附件
  • 不容忽视的邮件营销数据分析过程中的算..
  • 国内手机邮箱的现状与未来发展——访尚..
  • 易观数据:2011Q2中国手机邮箱市场收入..
  • 穿越时空的爱恋 QQ邮箱音视频及贺卡邮件
  • Hotmail新功能:“我的朋友可能被黑了”
  • 入侵邻居网络发骚扰邮件 美国男子被重..
  • 网易邮箱莫子睿:《非你莫属》招聘多过..
  • 中国电信推广189邮箱绿色账单
  • 最新专题
  • 鸟哥的Linux私房菜之Mail服务器
  • Exchange Server 2010技术专题
  • Windows 7 技术专题
  • Sendmail 邮件系统配置
  • 组建Exchange 2003邮件系统
  • Windows Server 2008 专题
  • ORF 反垃圾邮件系统
  • Exchange Server 2007 专题
  • ISA Server 2006 教程专题
  • Windows Vista 技术专题
  • “黑莓”(BlackBerry)专题
  • Apache James 专题
  • 分类导航
    邮件新闻资讯:
    IT业界 | 邮件服务器 | 邮件趣闻 | 移动电邮
    电子邮箱 | 反垃圾邮件|邮件客户端|网络安全
    行业数据 | 邮件人物 | 网站公告 | 行业法规
    网络技术:
    邮件原理 | 网络协议 | 网络管理 | 传输介质
    线路接入 | 路由接口 | 邮件存储 | 华为3Com
    CISCO技术 | 网络与服务器硬件
    操作系统:
    Windows 9X | Linux&Uinx | Windows NT
    Windows Vista | FreeBSD | 其它操作系统
    邮件服务器:
    程序与开发 | Exchange | Qmail | Postfix
    Sendmail | MDaemon | Domino | Foxmail
    KerioMail | JavaMail | Winwebmail |James
    Merak&VisNetic | CMailServer | WinMail
    金笛邮件系统 | 其它 |
    反垃圾邮件:
    综述| 客户端反垃圾邮件|服务器端反垃圾邮件
    邮件客户端软件:
    Outlook | Foxmail | DreamMail| KooMail
    The bat | 雷鸟 | Eudora |Becky! |Pegasus
    IncrediMail |其它
    电子邮箱: 个人邮箱 | 企业邮箱 |Gmail
    移动电子邮件:服务器 | 客户端 | 技术前沿
    邮件网络安全:
    软件漏洞 | 安全知识 | 病毒公告 |防火墙
    攻防技术 | 病毒查杀| ISA | 数字签名
    邮件营销:
    Email营销 | 网络营销 | 营销技巧 |营销案例
    邮件人才:招聘 | 职场 | 培训 | 指南 | 职场
    解决方案:
    邮件系统|反垃圾邮件 |安全 |移动电邮 |招标
    产品评测:
    邮件系统 |反垃圾邮件 |邮箱 |安全 |客户端
    广告联系 | 合作联系 | 关于我们 | 联系我们 | 繁體中文
    版权所有:邮件技术资讯网©2003-2010 www.5dmail.net, All Rights Reserved
    www.5Dmail.net Web Team   粤ICP备05009143号