時(shí)間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
??? 對(duì)于Windows的組策略，也許大家使用的更多的只是 管理模板 里的各項(xiàng)功能。對(duì)于 軟件限制策略 相信用過的筒子們不是很多：）。軟件限制策略 如果用的好的話，相信可以和某些HIPS類軟件相類比了。如果再結(jié)合NTFS權(quán)限和注冊(cè)表權(quán)限，完全可以實(shí)現(xiàn)系統(tǒng)的全方位的安全配置，同時(shí)由于這是系統(tǒng)內(nèi)置的功能，與系統(tǒng)無縫結(jié)合，不會(huì)占用額外的CPU及內(nèi)存資源，更不會(huì)有不兼容的現(xiàn)象，由于其位于系統(tǒng)的最底層，其攔截能力也是其它軟件所無法比擬的，不足之處則是其設(shè)置不夠靈活和智能，不會(huì)詢問用戶。下面我們就來全面的了解一下 軟件限制策略。
??? 1、概述
??? 使用 軟件限制策略，通過標(biāo)識(shí)并指定允許哪些應(yīng)用程序運(yùn)行，可以保護(hù)您的計(jì)算機(jī)環(huán)境免受不可信任的代碼的侵?jǐn)_。通過 散列規(guī)則、證書規(guī)則、路徑規(guī)則和Internet 區(qū)域規(guī)則，就用程序可以在策略中得到標(biāo)識(shí)。默認(rèn)情況下，軟件可以運(yùn)行在兩個(gè)級(jí)別上："不受限制的"與"不允許的"。在本文中我們主要用到的是路徑規(guī)則和散列規(guī)則，而路徑規(guī)則呢則是這些規(guī)則中使用最為靈活的，所以后文中如果沒有特別說明，所有規(guī)則指的都是路徑規(guī)則。
??? 2、附加規(guī)則和安全級(jí)別
??? 附加規(guī)則
??? 在使用 軟件限制策略 時(shí)，使用以下規(guī)則來對(duì)軟件進(jìn)行標(biāo)識(shí)：
??? 證書規(guī)則
??? 軟件限制策略可以通過其簽名證書來標(biāo)識(shí)文件。證書規(guī)則不能應(yīng)用到帶有 .exe 或 .dll 擴(kuò)展名的文件。它們可以應(yīng)用到腳本和 Windows 安裝程序包?？梢詣?chuàng)建標(biāo)識(shí)軟件的證書，然后根據(jù)安全級(jí)別的設(shè)置，決定是否允許軟件運(yùn)行。
??? 路徑規(guī)則
??? 路徑規(guī)則通過程序的文件路徑對(duì)其進(jìn)行標(biāo)識(shí)。由于此規(guī)則按路徑指定，所以程序發(fā)生移動(dòng)后路徑規(guī)則將失效。路徑規(guī)則中可以使用諸如 %programfiles% 或 %systemroot% 之類環(huán)境變量。路徑規(guī)則也支持通配符，所支持的通配符為 * 和 ?。
??? 散列規(guī)則
??? 散列是唯一標(biāo)識(shí)程序或文件的一系列定長(zhǎng)字節(jié)。散列按散列算法算出來。軟件限制策略可以用 SHA-1（安全散列算法）和 MD5 散列算法根據(jù)文件的散列對(duì)其進(jìn)行標(biāo)識(shí)。重命名的文件或移動(dòng)到其他文件夾的文件將產(chǎn)生同樣的散列。
??? 例如，可以創(chuàng)建散列規(guī)則并將安全級(jí)別設(shè)為"不允許的"以防止用戶運(yùn)行某些文件。文件可以被重命名或移到其他位置并且仍然產(chǎn)生相同的散列。但是，對(duì)文件的任何篡改都將更改其散列值并允許其繞過限制。軟件限制策略將只識(shí)別那些已用軟件限制策略計(jì)算過的散列。
??? Internet區(qū)域規(guī)則
??? 區(qū)域規(guī)則只適用于 Windows 安裝程序包。區(qū)域規(guī)則可以標(biāo)識(shí)那些來自 Internet Explorer 指定區(qū)域的軟件。這些區(qū)域是 Internet、本地計(jì)算機(jī)、本地 Intranet、受限站點(diǎn)和可信站點(diǎn)。
??? 以上規(guī)則所影響的文件類型只有"指派的文件類型"中列出的那些類型。系統(tǒng)存在一個(gè)由所有規(guī)則共享的指定文件類型的列表。默認(rèn)情況下列表中的文件類型包括：ADE ADP BAS BAT CHM CMD COM CPL CRT EXE HLP HTA INF INS ISP LNK MDB MDE MSC MSI MSP MST OCX PCD PIF REG SCR SHS URL VB WSC ，所以對(duì)于正常的非可執(zhí)行的文件，例如TXT JPG GIF這些是不受影響的，如果你認(rèn)為還有哪些擴(kuò)展的文件有威脅，也可以將其擴(kuò)展加入這里，或者你認(rèn)為哪些擴(kuò)展無威脅，也可以將其刪除。
??? 安全級(jí)別
??? 對(duì)于軟件限制策略，默認(rèn)情況下，系統(tǒng)為我們提供了兩個(gè)安全級(jí)別："不受限的"和"不允許的"
??? 注：
??? "不允許的"級(jí)別不包含任何文件保護(hù)操作。你可以對(duì)一個(gè)設(shè)定成"不允許的"文件進(jìn)行讀取、復(fù)制、粘貼、修改、刪除等操作，組策略不會(huì)阻止，前提當(dāng)然是你的用戶級(jí)別擁有修改該文件的權(quán)限"不受限的"級(jí)別不等于完全不受限制，只是不受軟件限制策略的附加限制。事實(shí)上，"不受限的"程序在啟動(dòng)時(shí)，系統(tǒng)將賦予該程序的父進(jìn)程的權(quán)限，該程序所獲得的訪問令牌決定于其父進(jìn)程，所以任何程序的權(quán)限將不會(huì)超過它的父進(jìn)程。
??? 但實(shí)際上，還有三個(gè)級(jí)別在默認(rèn)情況是隱藏掉的，我們可以通過手動(dòng)修改注冊(cè)表來開啟其它的三個(gè)級(jí)別，打開注冊(cè)表編輯器，展開至：
??? HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\
??? Safer\CodeIdentifiers
??? 新建一個(gè)DOWRD，命名為L(zhǎng)evels，其值為 0x4131000(十六十制的4131000)
??? 創(chuàng)建完畢后重新打開gpedit.msc，我們會(huì)看到另外三個(gè)級(jí)別此時(shí)已經(jīng)開啟了。
??? 不受限的
??? 最高權(quán)限，但其也并不是完全的不受限，而是"軟件訪問權(quán)由用戶的訪問權(quán)來決定"，即繼承父進(jìn)程的權(quán)限。
??? 基本用戶
??? 基本用戶僅享有"跳過遍歷檢查"的特權(quán)，并拒絕享有管理員的權(quán)限。
??? 受限的
??? 比基本用戶限制更多，但也享有"跳過遍歷檢查"的特權(quán)。
??? 不信任的
??? 不允許對(duì)系統(tǒng)資源、用戶資源進(jìn)行訪問，直接的結(jié)果就是程序?qū)o法運(yùn)行。
??? 不允許的
??? 無條件地阻止程序執(zhí)行或文件被打開
??? 根據(jù)權(quán)限大小可以排序?yàn)椋翰皇芟薜?基本用戶>受限的>不信任的>不允許的
??? 3、軟件限制策略的優(yōu)先權(quán)
??? 一個(gè)特定的程序可以有多個(gè)不同的規(guī)則適用，為此，可以按下列優(yōu)先權(quán)順序來使用這些規(guī)則。優(yōu)先權(quán)按從高到低的順序排列如下：
??? 散列規(guī)則>證書規(guī)則>路徑規(guī)則> Internet區(qū)域規(guī)則
??? 如果存在多個(gè)路徑規(guī)則沖突，則最具限制性的規(guī)則占有優(yōu)先權(quán)。總的原則就是：規(guī)則越匹配越優(yōu)先。
??? 例如：
??? C:\Windows\System32\Taskmgr.exe C:\Windows\System32\*.exe *.exe
??? C:\Windows\System32\
??? C:\Windows\
??? 本例是按優(yōu)先權(quán)從高到低排列的。從這里我們可以看出：
??? 絕對(duì)路徑>通配符路徑
??? 文件名規(guī)則>目錄規(guī)則
??? 對(duì)于同樣是目錄規(guī)則的，則目錄數(shù)匹配越多就越優(yōu)先。
??? 如果同時(shí)存在兩個(gè)相似的規(guī)則，則最具限制性的規(guī)則優(yōu)先權(quán)最高。例如，如果 C:\Windows\ 上有一個(gè)路徑規(guī)則，其安全級(jí)別為"不允許的"，而 %windir% 上也有一個(gè)路徑規(guī)則，其安全級(jí)別為"不受限制的"，則會(huì)采用最具限制性的規(guī)則，即"不允許的"。
??? 這里，我們?cè)夙槺憬榻B一下環(huán)境變量和通配符。
??? 在路徑規(guī)則里，允許使用諸如"%windir%""%userprofile%"之類的環(huán)境變量。一般情況下，我們的系統(tǒng)是在C盤，但也有些人基于其它一些原因如要安裝雙系統(tǒng)等，將系統(tǒng)安裝在其它比如D盤下面，這時(shí)我們平常用到的一些路徑比如"C:\windows\"就會(huì)無效，為了防止這種情況，我們就可以使用系統(tǒng)變量，像"%windir%"，系統(tǒng)會(huì)自動(dòng)為我們匹配其目錄。我們?cè)趧?chuàng)建規(guī)則的時(shí)候也可以使用這些環(huán)境變量，以適用于不同的系統(tǒng)。下面列出的是一些常使用的環(huán)境變量，更多的環(huán)境變量你可以運(yùn)行 CMD 然后運(yùn)行 SET 命令進(jìn)行查看。
#p#副標(biāo)題#e#
??? ALLUSERSPROFILE = C:\Documents and Settings\All Users
??? APPDATA = C:\Documents and Settings\Administrator\Application Data
??? CommonProgramFiles = C:\Program Files\Common Files
??? ComSpec = C:\WINDOWS\system32\cmd.exe
??? HOMEDRIVE = C:
??? HOMEPATH = \Documents and Settings\Administrator
??? ProgramFiles = C:\Program Files
??? SystemDrive = C:
??? SystemRoot = C:\WINDOWS
??? TEMP = C:\Documents and Settings\當(dāng)前用戶名\Local Settings\Temp
??? TMP = C:\Windows\Temp
??? USERPROFILE = C:\Documents and Settings\Administrator
??? WINDIR = C:\WINDOWS
??? 同樣，路徑規(guī)則也支持使用通配符，對(duì)DOS熟悉的筒子應(yīng)該知道這個(gè)
關(guān)鍵詞標(biāo)簽：Windows組策略
相關(guān)閱讀
熱門文章
如何修改服務(wù)器3389端口
Win11系統(tǒng)怎么設(shè)置中文-Win11更改成中文的方法教程
Win11怎么設(shè)置同步時(shí)間-Win11手動(dòng)同步時(shí)間操作方法
Win11怎么在開始菜單添加快捷方式-開始菜單添加快捷方式操作方法
人氣排行 ［聲音故障］XP沒有聲音，丟失Windows Audio服務(wù)（AudioSrv）［警告：2003不一定適用 解決Windows 7黑屏的有效方法 windows2003中關(guān)于軟路由設(shè)置方法的具體介紹 Windows不能在本地計(jì)算機(jī)啟動(dòng)OracleDBConsoleorcl 一個(gè)空文件夾刪不掉的解決辦法 微軟Windows錯(cuò)誤代碼大全(2) 用Windows命令行實(shí)現(xiàn)自動(dòng)SSH代理 Windows 7加XP的局域網(wǎng)搭建與文件共享