Здесь показаны различия между двумя версиями данной страницы.
Предыдущая версия справа и слева Предыдущая версия Следующая версия | Предыдущая версия Последняя версия Следующая версия справа и слева | ||
applocker [2021/12/16 18:05] vladimir [Создание правил] |
applocker [2022/12/15 13:33] vladimir [Примеры правил] |
||
---|---|---|---|
Строка 3: | Строка 3: | ||
\\ | \\ | ||
AppLocker можно настроить с помощью | AppLocker можно настроить с помощью | ||
- | [[+tab|group-policy#редактор_локальных_групповых_политик|редактора групповых политик]] или в среде "PowerShell"\\ | + | [[+tab|group-policy#редактор_локальных_групповых_политик|редактора групповых политик]] или в среде "PowerShell" |
- | В редакторе групповых политик настройки AppLocker'а находятся по нижеуказанному пути.\\ | + | |
- | "Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики управления приложениями\AppLocker"\\ | + | |
- | (Computer Configuration\Windows Settings\Security Settings\Application Control Policies\AppLocker)\\ | + | |
===== Настройка ===== | ===== Настройка ===== | ||
+ | В Windows 11 процесс AppLocker'а запущен изначально, при отсутствии правил AppLocker не накладывает никаких ограничений. Ограничения начинают действовать только при наличии хотя бы одного правила и только относительно тех групп, в которых есть правила. Пример: | ||
+ | * Исполняемые правила (есть правила) | ||
+ | * Правила установщика Windows (нет правил) | ||
+ | * Правила сценариев (нет правил) | ||
+ | * Правила упакованных приложений (есть правила) | ||
+ | При вышеуказанной схеме настройки AppLocker будет накладывать ограничения на группы "Исполняемые правила" и "Правила упакованных приложений" в соответствии с созданными правилами. Для групп "Правила установщика Windows" и "Правила сценариев" не будет никаких ограничений.\\ | ||
+ | <wrap em>Исключение</wrap> - приложения могут не запускаться если в группе "Исполняемые правила" есть правила, а в группе "Правила упакованных приложений" нет правил. | ||
<WRAP center round important 100%> | <WRAP center round important 100%> | ||
- | Включение AppLocker'а без предварительного создания минимально необходимых правил и без режима аудита AppLocker'а приведет к некорректной работе системы. | + | При наличии правил по умолчанию в группе "Правила сценариев" сценарии могут не работать. Для работы сценариев необходимо группу "BUILTIN\Администраторы" заменить на конкретного пользователя |
</WRAP> | </WRAP> | ||
+ | |||
==== Создание правил ==== | ==== Создание правил ==== | ||
- | <WRAP center round alert 100%> | + | === В редакторе локальной групповой политики === |
- | На данный момент в Windows 11 есть проблемы с объединением правил AppLocker'а (с командой "Merge") | + | В редакторе групповых политик настройки AppLocker'а находятся по нижеуказанному пути.\\ |
- | </WRAP> | + | "Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики управления приложениями\AppLocker"\\ |
+ | (Computer Configuration\Windows Settings\Security Settings\Application Control Policies\AppLocker)\\ | ||
+ | В разделе "AppLocker" можно указать политику применения правил: | ||
+ | * Не настроено | ||
+ | * Аудит | ||
+ | * Принудительное применение правил | ||
+ | В подразделах можно создать правила ограничения запуска приложений | ||
+ | === В среде PowerShell === | ||
+ | Данный способ создания правил будет полезен при необходимости создать разрешения по белому списку.\\ | ||
+ | \\ | ||
Запустите среду "PowerShell" [[+tab|run-dialog-box|выполнив команду]] "powershell" с правами администратора.\\ | Запустите среду "PowerShell" [[+tab|run-dialog-box|выполнив команду]] "powershell" с правами администратора.\\ | ||
Для создания новых правил или замены текущих правил на новые правила в среде "PowerShell" выполните команду с указанием полного пути к XML файлу с [[applocker#создание_правил|правилами]] | Для создания новых правил или замены текущих правил на новые правила в среде "PowerShell" выполните команду с указанием полного пути к XML файлу с [[applocker#создание_правил|правилами]] | ||
Строка 23: | Строка 36: | ||
</code> | </code> | ||
Для добавления новых правил к уже существующим правилам добавьте параметр "Merge" | Для добавления новых правил к уже существующим правилам добавьте параметр "Merge" | ||
+ | <WRAP center round alert 100%> | ||
+ | Для корректной работы параметра "Merge" необходимо использовать версию 22H2 со всеми обновлениями | ||
+ | </WRAP> | ||
<code> | <code> | ||
Set-AppLockerPolicy -XMLPolicy "Rules.xml" -Merge | Set-AppLockerPolicy -XMLPolicy "Rules.xml" -Merge | ||
Строка 85: | Строка 101: | ||
</AppLockerPolicy> | </AppLockerPolicy> | ||
</code> | </code> | ||
- | |||
- | |||
- | |||
- | |||
- | |||
- | |||
- | |||
- | |||
- | <WRAP center round todo 100%> | ||
- | Данный раздел еще не дописан | ||
- | </WRAP> | ||