Windowsグループポリシーのソフトウェア制限ポリシー

Windowsグループポリシーの場合、おそらく "管理用テンプレート"の機能の多くがすべての人に使用されています。 「ソフトウェア制限戦略」については、使用済みのパッケージはそれほど多くないと思います。

ソフトウェア制限戦略が適切であれば、HIPSソフトウェアと比較できると思います。 NTFSアクセス許可とレジストリアクセス許可を組み合わせると、システムの包括的なセキュリティ構成を完全に実装できますが、同時にこれはシステムの組み込み機能であるため、システムとシームレスに統合され、追加のCPUおよびメモリリソースを占有しません。互換性のない現象は、システムの最下部にあるため、その傍受機能は他のソフトウェアには匹敵しませんが、欠点はその設定が柔軟でインテリジェントではなく、ユーザーに尋ねないことです。ソフトウェア制限戦略を包括的に見てみましょう。

このシリーズの記事では、以下の項目について説明します。

・概要

・その他の規則とセキュリティレベル

・ソフトウェア制限ポリシー優先順位

・権利と継承の登録

・ルールの書き方

・ルールの例

今日はWindowsのグループポリシーを紹介します。ソフトウェア制限ポリシー、追加規則、およびセキュリティレベルの概要

1.概要

ソフトウェア制限ポリシーを使用して、実行を許可するアプリケーションを特定および指定し、信頼できないコードからコンピュータ環境を保護します。ハッシュ規則、証明書規則、パス規則、およびインターネットゾーン規則を使用して、プログラムをポリシーで識別できます。デフォルトでは、ソフトウェアは「無制限」と「不許可」の2つのレベルで実行できます。本稿では、パス規則とハッシュ規則を主に使用しますが、これらの規則の中ではパス規則が最も柔軟です。したがって、以下に特別な説明がない場合、すべての規則はパス規則を指します。

2、追加の規則とセキュリティレベル

追加の規則

ソフトウェア制限ポリシーを使用するときは、次の規則に従ってソフトウェアを識別してください。

・証明書ルール

ソフトウェア制限ポリシーは、署名付き証明書によってファイルを識別できます。証明書規則は、拡張子が.exeまたは.dllのファイルには適用できません。それらはスクリプトとWindowsインストーラパッケージに適用できます。ソフトウェアを識別する証明書を作成してから、セキュリティレベルの設定に基づいてソフトウェアの実行を許可するかどうかを決定できます。

・パス規則

パス規則は、プログラムのファイルパスによって識別されます。この規則はpathによって指定されるので、プログラムが移動した後はpath規則は無効になります。パスルールでは、％programfiles％や％systemroot％などの環境変数を使用できます。パスルールはワイルドカードもサポートしています。サポートされているワイルドカードは*と？です。 。

・ハッシュルール

ハッシュは、プログラムまたはファイルを一意に識別する一連の固定長バイトです。ハッシュはハッシュアルゴリズムによって計算されます。ソフトウェア制限ポリシーは、ファイルのハッシュに基づいてSHA-1（Secure Hash Algorithm）およびMD5 Hash Algorithmによって識別できます。ファイルの名前を変更したり、ファイルを他のフォルダに移動したりすると、同じハッシュが生成されます。

たとえば、ハッシュルールを作成し、セキュリティレベルを "許可しない"に設定して、ユーザーが特定のファイルを実行できないようにすることができます。ファイルの名前を変更したり、他の場所に移動したりしても、同じハッシュが生成されます。ただし、ファイルを改ざんするとハッシュ値が変更され、制限を回避できるようになります。ソフトウェア制限ポリシーは、ソフトウェア制限ポリシーを使用して計算されたハッシュのみを識別します。

・インターネットゾーンの規則

ゾーンの規則は、Windowsインストーラパッケージにのみ適用されます。地域の規則により、Internet Explorerの指定領域からソフトウェアを識別できます。これらの領域は、インターネット、ローカルコンピュータ、ローカルイントラネット、制限付きサイト、および信頼済みサイトです。

上記の規則の影響を受けるファイルの種類は、「割り当てられたファイルの種類」に記載されているものだけです。システムは、すべての規則によって共有される指定されたファイルタイプのリストを持っています。

デフォルト

以下のリストにあるファイルの種類は次のとおりです。ADE ADP BAS BAT CHM URL VB WSC、TXT JPG GIFなどの通常の実行不可能ファイルの場合、これらのファイルは影響を受けません。脅威はありません、あなたはそれを削除することもできます。