Windows组策略之软件限制策略详解

《Windows组策略之软件限制策略详解》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Windows组策略之软件限制策略详解对于Windows的组策略，也许人家使用的更多的只是管理模板里的各项功能。对于软件限制策E很多：）。软件限制策略如果用的好的话，相信可以和某些HIPS类软件相类比了。如果再结合全可以实现系统的全方位的安全配置，同时由于这是系统内置的功能，与系统无缝结合，不会占狂更不会有不兼容的现象，由于其位于系统的最底层，其拦截能力也是其它软件所无法比拟的，不龙和智能，不会询问用户。下面我们就來全面的了解一下软件限制策略。木文将以以下儿方面为重点来进行讲解：1、概述2、附加规则和安全级别3、软件限制策略的优先权

2、4、规则的权限分配及继承5、如何编写规则6、示例规则1、概述使用软件限制策略，通过标识并指定允许哪些应用程序运行，可以保护您的计算机环境免受7过散列规则、证书规则、路径规则和Internet区域规则，就用程序nJ以在策略中得到标识。默》两个级别上：“不受限制的”与“不允许的”。在木文中我们主要用到的是路径规则和散列规则，则中使用最为灵活的，所以后文中如果没有特别说明，所有规则指的都是路径;2、附加规则和安全级別附加规则在使用软件限制策略时，使用以下规则来对软件进行标识：证书规则软件限制策略可以通过其签名证书來标识文件。证书规则不能应

3、用到带有.exe或.dll扩康到脚本和Windows安装程序包。町以创建标识软件的证书，然后根据安全级别的设宜，决定路径规则路径规则通过程序的文件路径对其进行标识。由于此规则按路径指定，所以程序发生移动示擀小可以使用诸如%programfiles%或%systemroot%Z类环境变量。路径规则也支持通配符，所*散列规则散列是唯一标识程序或文件的一系列定长字节。散列按散列算法算出来。软件限制策略可以斥和MD5散列算法根据文件的散列对其进行标识。重命名的文件或移动到其他文件夹的文件*例如，可以创建散列规则并将安全级别设为“不允许的”以

4、防止用户运行某些文件。文件可E并且仍然产生相同的散列。但是，对文件的任何篡改都将更改其散列值并允许其绕过限制。软件朋软件限制策略计篦过的散列。Internet区域规则区域规则只适用于Windows安装程序包。区域规则可以标识那些来自InternetExplorer扌卡是Internet＞本地计算机、本地Intranet.受限站点和可信站点。以上规则所影响的文件类型只有“指派的文件类型”中列出的那些类型。系统存在一个由所毛的列表。默认情况下列表中的文件类型包括:ADEADPBASBATCHMCMDCOMCPLCRTEXEHLPHMDE

5、MSCMSTMSPMSTOCXPCDPIFREGSCRSHSURLVBWSC,所以对于正常的非可执行的文件,不受影响的，如果你认为还有哪些扩展的文件有威胁，也可以将其扩展加入这里，或者你认为哪些删除。安全级別对于软件限制策略，默认情况下，系统为我们提供了两个安全级别：“不受限的”：注：1、“不允许的”级别不包含任何文件保护操作。你可以对一个设定成“不允许的”文件进行卞删除等操作，组策略不会阻止，前提当然是你的用户级別拥有修改该文件的,2、“不受限的”级别不等于完全不受限制，只是不受软件限制策略的附加限制。事实上，"7系统将赋了该程序

6、的父进程的权限，该程序所获得的访问令牌决定于其父进程，所以任何程序的/程。a但实际上，还有三个级別在默认情况是隐藏掉的，我们可以通过手动修改注册表来开启其它#辑器，展开至：HKEY_LOCAL_MACHINESOFTWAREPolicicsMicrosoftWindowsSaferCodeIdeni新建一个DOWRD,命名为Levels,其值为0x4131000（十六十制的413100C创建完毕后重新打开gpedit.msc,我们会看到另外三个级别此时己经开启J不受限的最高权限，但其也并不是完全的不受限，而是“软件访问权

7、由用户的访问权來共限。基木用户基木用户仅享有“跳过遍历检杳”的特权，并拒绝享有管理员I受限的比基本用户限制更多，但也享有“跳过遍历检查”的特核不信任的不允许对系统资源、用户资源进行访问，直接的结果就是程序将〕不允许的无条件地阻止程序执行或文件被打开根据权限大小可以排序为：不受限的>基木用八>受限的>不信任的>不3、软件限制策略的优先权一个特淀的程序可以有多个不同的规则适用，为此，可以按下列优先权顺序來使用这些规则。排列如下：散列规则〉证书规则〉路径规则>Internet区域规则如果存在多个路径规则冲突，则最具限制性的规则占有优先权。

8、总的原则就是：规贝I例如：C:WindowsSystem32Taskmgr.exeC:WindowsSystem32*.exe*・exeC:WindowsSystem32C:Windows本例是按优先权从高到低排