AppLocker即所謂的“應(yīng)用程序控制策略”，是Windows 7系統(tǒng)中新增加的一項(xiàng)安全功能。利用AppLocker管理員可以非常方便地進(jìn)行配置，以實(shí)現(xiàn)用戶可在計(jì)算機(jī)上可運(yùn)行哪些程序、安裝哪些文件、運(yùn)行哪些腳本。由于AppLocker是基于組策略管理和配置的，因此我們可以非常方便地將其部署到整個(gè)網(wǎng)絡(luò)環(huán)境中，可謂一勞永逸。下面筆者結(jié)合實(shí)例對(duì)這一功能進(jìn)行測(cè)試和解析。
1、牛刀小試
我們以管理員身份登錄系統(tǒng)，默認(rèn)情況下該用戶可以運(yùn)行所有的程序、腳本和沒(méi)有限制地進(jìn)行軟件的安裝。下面我們進(jìn)行一個(gè)演示：在D盤(pán)根目錄下有一個(gè)名為Bginfo.exe的程序，毫無(wú)疑問(wèn)在沒(méi)有部署AppLocker前它可以運(yùn)行。然后我們部署AppLocker看看其效果：執(zhí)行“開(kāi)始”→ “運(yùn)行”，輸入pedit.msc打開(kāi)組策略編輯器。在左側(cè)的窗格中依次定位到“計(jì)算機(jī)配置” →“Windows 設(shè)置”→“安全設(shè)置”→“應(yīng)用程序控制”，可以看到AppLocker組策略配置項(xiàng)。在其下有三項(xiàng)配置規(guī)則，分別是：可執(zhí)行規(guī)則、Windows安裝程序規(guī)則、腳本規(guī)則。（圖1）
點(diǎn)擊“可執(zhí)行規(guī)則”組策略項(xiàng)，默認(rèn)情況下規(guī)則為空白。在有窗格中單擊鼠標(biāo)右鍵選擇“創(chuàng)建默認(rèn)規(guī)則”可以生成三條規(guī)則，即允許所有用戶運(yùn)行“Program Files”文件夾中的應(yīng)用程序；允許所有用戶運(yùn)行“Windows”文件夾中的應(yīng)用程序；允許Administrator用戶運(yùn)行所有的應(yīng)用程序。為了演示效果，我們雙擊打開(kāi)第三條規(guī)則點(diǎn)選“拒絕”確定退出。然后打開(kāi)命令提示符運(yùn)行g(shù)pupdate更新組策略個(gè)，最后我們運(yùn)行Bginfo.exe程序，可以看到彈出警告對(duì)話框，應(yīng)用程序運(yùn)行被禁止。（圖2）
2、修改默認(rèn)規(guī)則
AppLocker的默認(rèn)規(guī)則方便了管理員快速部署策略，同時(shí)也可以根據(jù)需要對(duì)默認(rèn)策略進(jìn)行修改。右鍵點(diǎn)擊相應(yīng)的默認(rèn)策略選擇“屬性”打開(kāi)其設(shè)置面板，在“常規(guī)”選項(xiàng)卡下可設(shè)置規(guī)則類型、規(guī)則名稱、規(guī)則描述、與規(guī)則相關(guān)的用戶或者組；在“路徑”選項(xiàng)卡下可設(shè)置改變?cè)撘?guī)則對(duì)應(yīng)的路徑（默認(rèn)是所有路徑）；在“例外”選項(xiàng)卡下設(shè)置規(guī)則的例外項(xiàng)，系統(tǒng)提供了根據(jù)應(yīng)用程序的發(fā)行者、程序路徑及其文件hash值進(jìn)行排除。（圖3）
3、創(chuàng)建新規(guī)則
除了默認(rèn)規(guī)則外，AppLocker最吸引管理員的是其可以定制應(yīng)用程序限制策略。同樣的以“可執(zhí)行規(guī)則”為例我們創(chuàng)建一個(gè)自定義策略，右鍵點(diǎn)擊“可執(zhí)行規(guī)則”組策略項(xiàng)選擇“創(chuàng)建新規(guī)則”彈出“創(chuàng)建 可執(zhí)行規(guī)則”向?qū)?。單?#8220;下一步”進(jìn)入“權(quán)限”設(shè)置頁(yè)面，在此頁(yè)面可以設(shè)置規(guī)則類型（允許或者拒絕），指定規(guī)則針對(duì)的用戶或者組。單擊“下一步”進(jìn)入“條件”設(shè)置頁(yè)面，在此頁(yè)面中可依據(jù)程序的發(fā)行者、路徑、文件哈希值作為條件設(shè)置規(guī)則。我們默認(rèn)選擇“發(fā)行者”單擊“下一步”進(jìn)入具體的設(shè)置頁(yè)面。單擊“瀏覽”按鈕找到目標(biāo)應(yīng)用程序（例如C:\Program Files\Internet Explorer\iexplore.exe，該應(yīng)用程序應(yīng)該具有完畢的信息，我們用它為模板進(jìn)行規(guī)則的設(shè)置 ）可以看到剛才還是灰色的選項(xiàng)都已經(jīng)激活。默認(rèn)情況下滑竿處于最下方，就說(shuō)明該該規(guī)則就是針對(duì)版本為8的iexplore.exe。拖動(dòng)滑竿到“文件名”該規(guī)則的范圍比上面大了，文件版本顯示為*，意為該規(guī)則適用于所有版本的iexplore.exe。依次類推，滑竿每上升一格限制就更小一些，規(guī)則的范圍就擴(kuò)大一些。比如，我們將滑竿拖動(dòng)到“發(fā)行者”上時(shí)，則該規(guī)則適用于所有的微軟程序。當(dāng)滑竿拖動(dòng)最上邊（Any publisher）是，說(shuō)明該規(guī)則適用的范圍是所有的應(yīng)用程序。需要說(shuō)明的是，上面的各項(xiàng)條件都只是個(gè)范例，在實(shí)戰(zhàn)中我們可以根據(jù)需要進(jìn)行修改，創(chuàng)建我們所需的規(guī)則。最后依據(jù)向?qū)?，設(shè)置規(guī)則的例外項(xiàng)并為規(guī)則起名等，這樣就完成了一個(gè)應(yīng)用程序規(guī)則的創(chuàng)建。（圖4）
3、其他規(guī)則
和可執(zhí)行規(guī)則類似，管理員可以創(chuàng)建“Windows 安裝程序規(guī)則”和“腳本規(guī)則”。與“可執(zhí)行規(guī)則”一樣不僅可快速創(chuàng)建默認(rèn)規(guī)則，也可根據(jù)需要?jiǎng)?chuàng)建自定義的規(guī)則。通過(guò)“Windows 安裝程序規(guī)則”管理員可限制、規(guī)范用戶安裝使用應(yīng)用程序。需要說(shuō)明的是，通過(guò)設(shè)置“文件哈希”條件，可以保證用戶安裝可靠的應(yīng)用程序（只能是msi的安裝程序），在很多程度上杜絕了因?yàn)樗阶园惭b而使系統(tǒng)中毒。“腳本規(guī)則”的創(chuàng)建和使用和上面的類似，在系統(tǒng)管理中可通過(guò)該策略保證運(yùn)行可靠的腳本，并杜絕危險(xiǎn)腳本的運(yùn)行。（圖5）
4、擴(kuò)展延伸
AppLocker作為Windows 7新增的組策略項(xiàng)在系統(tǒng)管理中是非常有用的，增強(qiáng)了微軟系統(tǒng)對(duì)應(yīng)用程序的能力提升了安全性，同時(shí)賦予管理者更多的自由。除了AppLocker之外，在組策略管理器中還有兩處與軟件管理相關(guān)的項(xiàng)值得大家注意：一個(gè)是“軟件限制策略”（在“計(jì)算機(jī)配置” →“Windows 設(shè)置”→“安全設(shè)置”下）；另外一處是“不要運(yùn)行指定的Windows應(yīng)用程序”和“只運(yùn)行指定的Windows應(yīng)用程序”（在“用戶配置”→“管理模板”→“系統(tǒng)”下）。相信，只要靈活應(yīng)用這三個(gè)組策略項(xiàng)Windows 7的應(yīng)用程序安全就會(huì)得到進(jìn)一步的提升。
聯(lián)系客服
