运用软件限制策略提高windows域的安全性

《运用软件限制策略提高windows域的安全性》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、《农业网络信~)2010年第1期网络与电子商务／政务运用软件限制策略提高Windows域的安全性柴方艳(黑龙江农业经济职业学院，黑龙江牡丹江157041)摘要：运用WindowsServer2003组策略中的软件限制策略是系统内置功能，可以保护计算机环境。软件限制策略使用“散列规则”、“证书规则”、“路径规则”、“]nternet区域规则”建立安全的软件运行环境，避免受到不可信代码的攻击，提高域的安全性。关键词：软件；规则；安全性中图分类号：TP399文献标识码：B文章编码：1672—6251(20

2、10)O1—0088—02SecurityImprovementofWindowsDomainbyUsingSoftwareRestrictionStrategyChaiFangyan(HeilongjiangAgriculturalEconomyVocationalCollege，Mudanjiang157041，China)Abstract：TheuseofSoftwareRestrictionStrategyfromWindowsServer2003GroupStrategiescanprot

3、ectcomputerenvironment．Itisaninternalbuilt—infunctionprovidedbythesystemitself．Itsetsupasafesoftwareoperatingenvironmentthroughusing“HashRule”，“CertificateRule”，“PathRule”，and“InternetRegionRule”SOthatthecomputercallavoidtheattacksfromuntrustedcodetoim

4、provethesecurityofDomain．Keywords：software；rule；security在WindowsServer2003中，通过应用组策略，管对比其自行计算机出来的散列值与软件限制策略中的理员可以方便地管理ActiveDirectory中的计算机和用散列值是否相同，如果相同则拒绝运行此软件。户的工作环境。组策略中的软件限制策略可以标识并1．2证书规则指定允许运行的软件，以便保护计算机环境不会受到软件限制策略可以通过其签名证书来标识文件。不可信代码的攻击。软件限制策略结合N

5、TFS权限和证书规则不能应用到带有．exe或．dU扩展名的文件，注册表权限，能够实现系统的全方位安全配置。由于但可以应用到脚本和Windows安装程序包，可以创建这是系统内置的功能，与系统无缝结合，不会占用额标识软件的证书，然后根据安全级别的设置，决定是外的CPU及内存资源，更不会有不兼容的现象。软件否允许软件运行。限制策略位于系统的最底层，其拦截能力也是其他软1．3路径规则件所无法比拟的。路径规则通过程序的文件路径对其进行标识。由1软件限制策略规则介绍于此规则按路径指定，所以程序发生移动后路径规则

6、1．1散列规则将失效。路径规则中可以使用诸如％programfiles％或散列规则又叫哈希规则，散列是惟一标识程序或％systemroot％之类环境变量，也支持通配符$和?。文件的一系列定长字节，是根据软件程序的内容计算1．4Internet区域规则得出的一连串固定数目的字节。因此，不同软件程序Internet区域规则只适用于Windows安装程序包。计算的散列值不同。例如，可以创建散列规则并将安区域规则可以标识那些来自InternetExplorer指定区全级别设为“不允许的”，以防止用户运行某些

7、文件。域的软件，这些区域包括Intemet、本地计算机、本地在为某个软件建立散列规则时，系统会为该软件建立Intranet、受限站点和可信站点。一个散列值。当用户要运行此软件时，用户计算机会收稿日期：2009—10—30作者简介：柴方艳(1973一)，女，本科，讲师，研究方向：计算机网络。一88—《农业网络信g}2010年第1期网络与电子商务／政务2启用软件限制策略从本地计算机、站点、域、组织单位等四个不同的地方设置软件限制策略。以下将以组织单位“学术部”内的用户为例说明软件限制策略的应用：鼠标右图

8、4键单击“学术部”一属性一组策略新建组策略，并命名为“学术部”，单击编辑按钮，在用户配置项中第一步：右键单击“其他规则”一新建路径规的安全设置子项中右键单击“软件限制策略”一创建则一单击浏览按钮选择网络路径，单击“确定”按软件限制策略，如图1所示。钮。第二步：安全级别选择“不允许的”，点击“确定”按钮，完成新建路径规则的建立。当组织单位“学术部”内的用户登录后，访问位于＼LServemame'filename共享文件夹内的所有程序时，也将会提示拒绝运行。2．3建立证书