Это старая версия документа!
WDAC - Windows Defender Application Control, позволяет в режиме ядра и при загрузке ОС контролировать запуск: приложений, драйверов, компонентов системы. Установленные правила будут действовать на всю систему и не могут быть настроены для конкретных пользователей или групп. При необходимости настроить правила для конкретных пользователей или групп можно использовать AppLocker.
WDAC можно настроить с помощью «PowerShell» или с помощью «WDAC Policy Wizard».
Конфигурационный файл WDAC’а – XML файл, примеры таких файлов можно найти в каталоге «C:\Windows\schemas\CodeIntegrity\ExamplePolicies».
Можно создать свой конфигурационный файл, например, с разрешениями для текущей конфигурации системы. Для этого запустите среду «PowerShell» выполнив команду «powershell» с правами администратора.
MultiplePolicyFormat -FilePath Example.xml -ScanPath C: -Level FilePublisher -UserPEs -Fallback Hash
Для настройки правил можно использовать режим аудита, он позволяет системе запускать то, что было запрещено, при этом запуск записывается в журналы:
Данный режим можно включить с помощью команды
Set-RuleOption -FilePath Example.xml -Option 3
Или отключить с помощью команды
Set-RuleOption -FilePath Example.xml -Delete -Option 3
Перечень других возможностей можно найти здесь. Обратите внимание на возможность «10» - загрузка в режиме аудита при неработоспособности драйвера.
Для применения правил к системе необходимо из XML файла сделать бинарный файл с помощью команды
ConvertFrom-CIPolicy –XmlFilePath Example.xml –BinaryFilePath Example.p7b
Полученный файл необходимо скопировать в папку «C:\Windows\System32\CodeIntegrity», файл должен называться «SIPolicy.p7b» иначе политика не будут работать. Чтобы политики вступили в силу необходимо перезагрузить систему.
Можно создавать дополнительные политики с расширением «cip».
ConvertFrom-CIPolicy –XmlFilePath Example.xml –BinaryFilePath Example.cip
Название cip файла должно быть таким же как значение «PolicyID», которое находится в исходном XML файле, но без фигурных скобок. Файл дополнительных политик необходимо разместить в папку «C:\Windows\System32\CodeIntegrity\CIPolicies\Active»