Политики ограниченного использования программ

В Windows XP Professional политики ограниченного использования программ позволяют управлять возможностью выполнения программного обеспечения на локальном компьютере.

  • Перед внедрением политик ограниченного использования программ ознакомьтесь с разделом Контрольный список: шаги, помогающие защитить компьютер от передающихся по электронной почте вирусов.
  • Советы по использованию политик ограниченного использования программ см. в разделе Советы и рекомендации.
  • Справка по выполнению конкретных задач содержится в разделе Инструкции
  • Сведения общего характера см. в разделе Основные понятия.
  • Инструкции по устранению неполадок см. в разделе Устранение неполадок.


Советы и рекомендации

Политику всегда следует проверять на тестовом компьютере перед ее применением на других компьютерах.

  • Без должной проверки не следует применять правила на запрещенном уровне. Ограничения на некоторые файлы могут серьезно повлиять на работу компьютера или сети.

Политики ограниченного использования программ не являются заменой антивирусному программному обеспечению.

Политики ограниченного использования программ следует применять в соответствии с настройкой управления доступом.

  • Дополнительные сведения см. в разделе Управление доступом.

Следует быть внимательным при использовании параметра «Не разрешено» в качестве параметра по умолчанию.

  • Многие приложения запускают другие приложения для выполнения различных задач. Следует быть уверенным, что все основные задачи используемых приложений учтены правилами.
  • Если на компьютере необходимо использовать сценарии входа, следует убедиться в том, что создано правило пути для выполнения данных сценариев.

    Сведения об использовании приоритета правил для пути см. в разделе Приоритет политик ограниченного использования программ.

  • Проверьте папку на данном компьютере «Автозагрузка» и убедитесь, что программы в ней разрешены для запуска.
  • Кроме того, элементы автозагрузки находятся в следующем разделе реестра:

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

  • Правило запрета может быть создано для следующей папки:

    %windir%\system32\dllcache

    В данной папке могут располагаться копии запрещенных программ, позволяя им запускаться.


Контрольный список: шаги, помогающие защитить компьютер от передающихся по электронной почте вирусов

Действие | Справочные сведения
Просмотрите советы и рекомендации. | Советы и рекомендации
Создайте правило для пути для всех папок, используемых почтовыми программами для запуска вложений электронной почты, и задайте уровень безопасности Не разрешено. | Идентификация файлов с помощью правила пути
Укажите, для каких типов файлов следует применять правило. | Добавление и удаление назначенного типа файлов


Инструкции

  • Запуск политик ограниченного использования программ
  • Создание правила для сертификата
  • Создание правила для хеша
  • Создание правила для хеша для предотвращения запуска известных вирусов
  • Создание правила для зоны Интернета
  • Идентификация файлов с помощью правила пути
  • Добавление и удаление назначенного типа файлов
  • Изменение используемого по умолчанию уровня политик ограниченного использования программ
  • Задание параметров доверенного издателя
  • Предотвращение применения политик ограниченного использования программ к локальным администраторам


Запуск политик ограниченного использования программ.

Рисунок Microsoft Windows

Чтобы запустить политики ограниченного использования программ

  1. Откройте компонент Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограничения программ

Примечание

  • XOX

См. также


Создание правила для сертификата

Чтобы создать правило для сертификата

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. Щелкните правой кнопкой Дополнительные правила и выберите команду Создать правило для сертификата.
  4. Нажмите кнопку Обзор, щелкните соответствующий сертификат и нажмите кнопку Открыть.
  5. Выберите Уровень безопасности.
  6. При необходимости, введите описание правила и нажмите кнопку OK.

Примечания

  • XOX
  • В списке Назначенные типы файлов перечислены только типы, связанные с правилами для сертификатов. В данном списке сведены все назначенные типы файлов, используемые для всех правил.
  • Правила для сертификатов не применяются к файлам с расширением .exe или .dll Они используются для сценариев и пакетов установщика Windows.
  • Чтобы обновить список политик ограниченного использования программ, необходимо выйти вновь войти в систему.
  • Для получения дополнительных сведений о возможностях использования политик ограниченного использования программ щелкните ссылку «См. также».
  • При использовании для политики нескольких правил для разрешения конфликтов применяется приоритет правил. Дополнительные сведения см. в разделе Приоритет политик ограниченного использования программ.

См. также


Создание правила для хеша

Чтобы создать правило для хеша

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. Щелкните правой кнопкой мышиДополнительные правила и выберите команду Создать правило для хеша.
  4. Выберите файл или хеш.
    • Для файла нажмите кнопку Обзор и выберите файл, для которого создается правило.
    • Для хеша, если значение хеша рассчитано в другом месте, вставьте из буфера обмена хеш в поле Хешируешый файл.
  5. Выберите Уровень безопасности.
  6. При необходимости, введите описание правила.

Примечания

  • XOX
  • В списке Назначенные типы файлов перечислены только типы, связанные с правилами для хеша. Имеется один список назначенных типов файлов, используемый для всех правил.
  • Если правило для хеша используется для идентификации вирусов, следует помнить, что любое изменение файла, содержащего вирус, повлияет на значение хеша.
  • Если необходимо предоставить возможность другим пользователям использовать правило для хеша при защите от вируса, следует рассчитать хеш вируса с помощью политик ограниченного использования программ и отправить его другим пользователям посредством электронной почты. Никогда не отправляйте по электронной почте сам вирус.
  • Хеш переименованного или перемещенного в другую папку файла не изменяется.
  • Чтобы обновить список политик ограниченного использования программ, необходимо выйти вновь войти в систему.
  • При использовании для политики нескольких правил для разрешения конфликтов применяется приоритет правил. Дополнительные сведения см. в разделе Приоритет политик ограниченного использования программ.

См. также


Создание правила для хеша для предотвращения запуска известных вирусов

Чтобы создать правило для хеша для предотвращения запуска известных вирусов

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. Щелкните правой кнопкой мышиДополнительные правила и выберите команду Создать правило для хеша.
  4. Выберите файл или хеш.
    • Для файла нажмите кнопку Обзор и выберите файл, для которого создается правило. Политика ограниченного использования программ автоматически хеширует выбранный файл.
    • Для хеша, если значение хеша рассчитано в другом месте, вставьте из буфера обмена хеш в поле Хешируешый файл.
  5. В поле Уровень безопасности выберите Не разрешено для предотвращения исполнения файла.
  6. Введите описание правила и нажмите кнопку OK.

Важно!

  • Политика ограниченного использования программ не является заменой антивирусному программному обеспечению.

Примечания

  • XOX
  • Данная процедура может быть использована для вирусов, программ — «троянских коней» или любых файлов, которые не следует запускать на данном компьютере.
  • Если вирус отправлен по электронной почте, имеется возможность также создать правило для пути, чтобы предотвратить выполнение почтовых вложений. Дополнительные сведения см. в разделе Идентификация файлов посредством правила для пути.

См. также


Создание правила для зоны Интернета

Чтобы создать правило для зоны Интернета

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. Щелкните правой кнопкой мышиДополнительные правила и выберите команду Создать правило для зоны Интернета.
  4. Щелкните Зона Интернета.
  5. Выберите Уровень безопасности.

Примечания

  • XOX
  • Правила для зоны влияют только на пакеты установщика Windows.
  • В списке Назначенные типы файлов перечислены только типы, связанные с правилами для пути. Имеется один список назначенных типов файлов, используемый для всех правил.
  • Чтобы обновить список политик ограниченного использования программ, необходимо выйти вновь войти в систему.
  • При использовании для политики нескольких правил для разрешения конфликтов применяется приоритет правил. Дополнительные сведения см. в разделе Приоритет политик ограниченного использования программ.

См. также


Идентификация файлов с помощью правила пути

Чтоб идентифицировать файлы с помощью правила пути

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. Щелкните правой кнопкой мышиДополнительные правила и выберите команду Создать правило для пути.
  4. В поле Путь введите или выберите путь к папке или файлу.
  5. Выберите Уровень безопасности.
  6. В поле Описание введите описание правила и нажмите кнопку OK.

Важно!

  • В некоторых папках, таких как папка Windows, установка уровня Не разрешено может нарушить работу операционной системы.

Примечания

  • XOX
  • Чтобы обновить список политик ограниченного использования программ, необходимо выйти вновь войти в систему.
  • В списке Назначенные типы файлов перечислены только типы, связанные с правилами для пути. Имеется один список назначенных типов файлов, используемый для всех правил.
  • Если правило для пути с уровнем безопасности «Не разрешено» создается для программы, пользователь имеет возможность запускать программу, просто скопировав ее в другое место.
  • В правиле для пути имеется возможность использовать переменные среды, такие как %programfiles% или %systemroot%.
  • Поддерживаются подстановочные знаки * и ?.
  • Если необходимо запретить пользователю запускать вложения в сообщение электронной почты, имеется возможность создать правило для пути к папке, в которой почтовые программы сохраняют вложения.
  • При использовании для политики нескольких правил для разрешения конфликтов применяется приоритет правил. Дополнительные сведения см. в разделе Приоритет политик ограниченного использования программ.
  • Дополнительные сведения см. в разделе Добавление или удаление назначенного типа файлов.

См. также


Добавление и удаление типа файлов

Чтобы добавить или удалить назначенный тип файлов

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. В панели сведений дважды щелкните службу Назначенные типы файлов.
  4. Выполните одно из следующих действий.
    • Чтобы добавить тип файлов, в поле Расширение введите расширение файлов и нажмите кнопку Добавить.
    • Чтобы удалить тип файлов, в списке Назначенные типы файлов щелкните запись и нажмите кнопку Удалить.

Примечания

  • XOX
  • В списке Назначенные типы файлов сведены все назначенные типы файлов, используемые для всех правил.

См. также


Изменение используемого по умолчанию уровня политик ограниченного использования программ

Чтобы изменить используемый по умолчанию уровень политик ограниченного использования программ

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. В панели сведений дважды щелкните значок Уровни безопасности.
  4. Щелкните правой кнопкой мыши уровень, который требуется задать как используемый по умолчанию, и выберите команду Использовать по умолчанию.

Внимание!

  • В некоторых папках установка уровня Не разрешено может нарушить работу операционной системы.

Примечания

  • XOX
  • В панели сведений текущий уровень, используемый по умолчанию, обозначен черным кругом с меткой внутри. Если щелкнуть правой кнопкой мыши текущий уровень, используемый по умолчанию, команда Использовать по умолчанию в меню не отображается.
  • Изменение уровня, используемого по умолчанию, повлияет на все файлы, к которым применяется политика ограниченного использования программ.
  • При установке для политик ограниченного использования программ по умолчанию используется уровень Неограниченный.
  • При использовании по умолчанию уровня Неограниченный имеется возможность определить и создать правила для набора программ, запуск которых необходимо запретить.
  • При использовании по умолчанию уровня Не разрешено следует определить и создать правила исключения для программ, которые могут быть запущены.

Дополнительные сведения см. в разделе Советы и рекомендации.


Задание параметров доверенного издателя

Чтобы задать параметры доверенного издателя

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. В области сведений дважды щелкните значок Доверенные издатели.
  4. Щелкните группу, которой необходимо присвоить право определения доверия к сертификатам.
  5. Чтобы политикой ограниченного использования программ выполнялась проверка, не отозван ли сертификат, установите соответствующие флажки Издатель и Штамп времени.

Примечания

  • Имеется возможность указать, кто имеет право добавлять доверенных издателей: пользователи, администраторы локального компьютера или администраторы предприятия. Например, данная функция может быть использована, чтобы не допустить принятия пользователями решений о доверии к издателям элементов ActiveX.
  • Администраторы локального компьютера имеют право указывать доверенных издателей на локальном компьютере, а администраторы предприятия имеют право указывать доверенных издателей на уровне подразделения.
  • XOX
  • Дополнительные сведения см. в разделе Политики ограниченного использования программ.


Предотвращение применения политик ограниченного использования программ к локальным администраторам

Чтобы предотвратить применение политик ограниченного использования программ к локальным администраторам

  1. Откройте объект Локальные параметры безопасности.
  2. В дереве консоли щелкните узел Политики ограниченного использования программ.

    3. Расположение

    • Параметры безопасности
    • Политики ограниченного использования программ
  3. В панели сведений дважды щелкните значок Принудительный.
  4. В области Применять политики ограниченного использования программ для следующих пользователей установите флажок Для всех пользователей, кроме локальных администраторов.

Примечания

  • XOX
  • Дополнительные сведения см. в разделе Политики ограниченного использования программ.


Основные понятия

  • Обзор политик ограниченного использования программ
  • Дополнительные правила и уровни безопасности
  • Приоритет политик ограниченного использования программ


Обзор политик ограниченного использования программ

С помощью политик ограниченного использования программ имеется возможность защищать компьютерное оборудование от программ неизвестного происхождения путем определения программ, разрешенных для запуска. В данной политике приложения могут быть определены с помощью правила для хеша, правила для сертификата, правила для пути и правила для зоны Интернета. Программное обеспечение может выполняться на двух уровнях: неограниченном и запрещенном. (Сведения о способах создания данных правил см. в разделах Создание правила для хеша, Создание правила для сертификата, Идентификация файлов посредством правила для пути и Создание правила для зоны Интернета.)

Политики ограниченного использования программ регулируют использование неизвестных программ и программ, к которым нет доверия. В организациях используется набор хорошо известных и проверенных приложений. Администраторы и служба поддержки обучены для поддержки этих программ. Однако, при запуске пользователем других программ, они могут конфликтовать с установленным программным обеспечением, изменять важные данные настройки или, что еще хуже, содержать вирусы или «троянские» программы для несанкционированного удаленного доступа.

При интенсивном использовании сетей, Интернета и электронной почты в бизнесе пользователи повсеместно сталкиваются с различными программами. Пользователям постоянно приходится принимать решения о запуске неизвестных программ, поскольку документы и веб-страницы содержат программный код — сценарии. Вирусы и «троянские» программы зачастую умышленно замаскированы для введения пользователей в заблуждение при запуске. При таком большом количестве и разнообразии программ отдельным пользователям трудно определить, какое программное обеспечение следует запускать.

Пользователем необходим эффективный механизм идентификации и разделения программ на безопасные и не заслуживающие доверия. После идентификации программы к ним может быть применена политика для определения, могут ли они быть запущены. Политики ограниченного использования программ предоставляют различные способы идентификации программного обеспечения и средства определения, следует ли запускать данное приложение.


Дополнительные правила и уровни безопасности

При применении политик ограниченного использования программ идентификация программного обеспечения производится посредством следующих правил:

Правило для сертификата

Политики ограниченного использования программ могут идентифицировать файл по его сертификату подписи. Правила для сертификатов не применяются к файлам с расширением .exe или .dll Они используются для сценариев и пакетов установщика Windows. Имеется возможность создать правило для сертификата, идентифицирующее приложение и затем, в зависимости от уровня безопасности, позволяющее или не позволяющее его запустить. Например, администратор может использовать правила для сертификатов, чтобы автоматически доверять программам из проверенного источника в домене без запроса пользователя. Кроме того, правила для сертификатов могут использоваться в запрещенных областях операционной системы.

Дополнительные сведения см. в разделе Создание правила для сертификата.

Правило для пути

Правило для пути идентифицирует программы по пути к файлу. Например, если имеется компьютер с политикой запрета по умолчанию, имеется возможность, предоставить неограниченный доступ к указанной папке для каждого пользователя. Для данного типа правил могут быть использованы некоторые общие пути: %userprofile%, %windir%, %appdata%, %programfiles% и %temp%.

Поскольку данные правила определяются с использованием пути, при перемещении программы правило для пути применяться не будет.

Дополнительные сведения см. в разделе Идентификация файлов посредством правила для пути.

Правило для хеша

Хеш представляет собой серию байтов фиксированной длины, однозначно идентифицирующую программу или файл. Хеш рассчитывается с помощью алгоритма хеширования. Политики ограниченного использования программ могут идентифицировать файлы по их хешу с помощью алгоритмов хеширования SHA-1 (Secure Hash Algorithm) и MD5 hash algorithm.

Например, имеется возможность создать правило для хеша и задать уровень безопасности «Не разрешено», чтобы запретить запуск определенного файла. Хеш переименованного или перемещенного в другую папку файла не изменяется. Однако, при любом изменении файла значение хеша изменяется, позволяя обойти ограничения.

Политики ограниченного использования программ распознают только хеши, рассчитанные с помощью политик ограниченного использования программ.

Дополнительные сведения см. в разделе Создание правила для хеша.

Правило для зоны Интернета

Правила для зоны влияют только на пакеты установщика Windows. (Дополнительные сведения см. в разделе Общие сведения об установщике Windows.)

Правило для зоны идентифицирует программное обеспечение из зоны, указанной посредством Internet Explorer. Такими зонами являются Интернет, локальный компьютер, местная интрасеть, ограниченные узлы и надежные сайты.

Дополнительные сведения см. в разделе Создание правила для зоны Интернета.

Уровень безопасности

В политиках ограниченного использования программ используются следующие уровни безопасности:

  • Неограниченный. Приложения запускается со всеми правами пользователя, вошедшего в систему.
  • Не разрешено. Приложения не могут быть запущены.


Приоритет политик ограниченного использования программ

К приложению могут применяться несколько различных правил. Правила правила применяются в приведенном ниже порядке приоритета. Правила перечислены в порядке убывания приоритета.

  1. Правило для хеша.
  2. Правило для сертификата.
  3. Правило для пути. При конфликте правил для пути приоритет имеет правило с большим ограничением. Ниже приведен набор путей в порядке от высшего приоритета (наибольшее ограничение) к низшему приоритету.
    • диск:\папка1\папка2\имя_файла.расширение
    • диск:\папка1\папка2\*.расширение
    • *.расширение
    • диск:\папка1\папка2\
    • диск:\папка1\
  4. Правило для зоны Интернета.

Приложение приоритета

Например, если имеется файл с хешем без ограничений, расположенный в папке, для которой задано правило «Не разрешено», файл будет запущен, поскольку правило для хеша имеет приоритет над правилом для пути.

При конфликте двух похожих правил для пути приоритет имеет правило с большим ограничением. Например, если имеется правило для пути C:\Windows\ с уровнем безопасности «Не разрешено» и правило для пути %windir% с уровнем «Неограниченный», будет применяться более строгое правило с уровнем безопасности «Не разрешено».

См. также


Устранение неполадок

Выберите тип неполадки, которую требуется устранить.

Пользователи получают сообщение об ошибке «Невозможно открыть данную программу из-за политики ограничения применения программного обеспечения. За дополнительной информацией обратитесь к системному администратору или откройте "Просмотр событий"."

Причина. Политики ограничения программ

Решение. Проверьте журнал событий и обратитесь к администратору.

Можно провести в журнале событий поиск событий политики ограниченного использования программ, начиная с определенной даты. Для этого введите в командную строку следующую команду:

eventquery -l system -fi "id ge 865" -fi "id le 868" -fi "datetime ge мм/дд/гг,12:00:00am" -v -fo list

В этой команде мм задает месяц, дд день, а гг год начальной даты.

См. также: Политики ограничения программ

Результаты изменений политик ограничения программ отличаются от ожидаемых.

Причина. Политики ограничения программ не были обновлены.

Решение. Для обновления политик следует выйти из сети, а затем снова войти в сеть.

Причина. Политики ограничения программ не были применены.

Решение. Создайте и проверьте файл журнала.

Чтобы создать файл журнала для просмотра политик ограничения программ можно изменить следующий раздел реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers

Добавьте новый строковый параметр LogFileName и укажите в нем путь и имя файла журнала в следующем формате:

том:\путь\имя_файла.расширение

Например, допустимая спецификация может иметь вид C:\Windows\Safer.log.

Дополнительные сведения о добавлении параметров в разделы реестра см. в разделе Добавление параметра.

Внимание!

  • Ошибка при изменении реестра может серьезно повредить систему. Перед изменением реестра создайте резервную копию всех важных данных.

Дополнительные сведения см. в разделе Политики ограничения программ.