Applocker - запрет программ
Содержание лекции: Applocker - запрет программ
Расшифровка лекции: Applocker - запрет программ
Полный текст первых минут лекции «Applocker - запрет программ» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Здравствуйте, этот урок посвящён AppLocker, ApplicationLocker. Эта программа не позволяет другим программам запускаться на компьютере.
AppLocker - это встроенная Windows-программа. С помощью неё мы не даём неразрешённым нами программам исполняться. Даже если у нас есть полномочия на файлы программы под названием FullControl, всё равно мы не сможем её запустить, если она запрещена.
Даже если мы воткнули флешку, и на этой флешке была какая-то программа, которая не требует установки, просто экзешник, который можно запустить.
Так мы не сможем его запустить. Апплокер — это очень важная штуковина в мире безопасности. И это новинка в Windows 7, этого не было в XP.
Смотрите, в каком-то офисе какой-то работник установил имьюл. Какой кошмар, теперь он будет загромождать мне сеть.
В офисах моих работников имьюл будет скачивать всякое, и из-за этого у меня медленнее будет работать сеть.
Но блокировать в фаерволе имьюл — это не выход. потому что люди просто зайдут в настройки Emule, зайдут в Connections и сменят просто порт, через который работает программа.
Каждый раз, когда я заблокирую порт, он напишет другой. Я этот заблокировал, он добавил единичку. А то, что порт не открыт извне-внутрь, это неважно.
Emule всё равно может скачивать, просто ему дадут меньший приоритет в очереди загрузок и не более того. Короче говоря, Emule будет работать, даже если порт закрыт в роутере.
и всё же мы хотим предотвратить запуск email в нашей компании, чтобы в нашей организации никто не смог запускать email. В данном примере мы сделаем это непосредственно на этом компьютере.
Этим занимается сервис — программа, которая работает на фоне. И этот сервис называется Application Locker или Application Identity.
В описании этого сервиса как раз сказано, что он удостоверяет, то есть определяет программу. В общем, если мы остановим эту службу, то Application Locker не будет работать.
Но, внимание, в данном случае этот сервис не работает, он отключен. Видите, по умолчанию этот сервис не запущен. Многие сервисы изначально отключены, чтобы не загромождать загрузку Windows.
Windows и так долго загружается. Поэтому есть стремление по умолчанию использовать только необходимый минимум сервисов. И нужный нам сейчас сервис как раз один из тех, которые по умолчанию не запускаются.
Таких много сервисов, видите? они не в Startup и не в Automatical. Automatical — это запуск после перезагрузки. Так давайте же настроим сервис, а потом его используем.
Окно сервисов давайте оставим открытым, тут в сторонке или внизу. Запрещаемую программу мы закроем. А ещё в качестве приготовлений мне нужно запомнить путь к запрещаемой программе.
Надо взять этот путь с помощью копирования. А далее мы зайдём в Control Panel, но лишь за тем, чтобы поговорить о том, что Application Locker нету в Control Panel.
а Microsoft ему не сделали интерфейс для Control Panel. Никакого представительства на контрольной панели нету у Application Locker. Так где же мы сможем настроить AppLocker?
А это мы сможем сделать в Group Policy. Зайдём в редактор групповой политики, GP Edit, о котором мы много говорим в наших фильмах. То, что нам нужно, находится в Local Group Policy.
И этого нету в изданиях, которые Home, во всяких Home Premium и Home Basic. Там нету GroPolicy, она появляется только в Ultimate Professional Enterprise. Так вот, на уровне компьютера в Security присутствует Application Control Policy.
Именно здесь мы настраиваем наш AppLocker. И тут у нас есть какие скрипты можно запускать. Скрипты — это список команд, таких как в cmd, такой файл с кучей таких команд.
Далее, какие программы установки запрещено запускать. и что из исполняемых модулей из XS-шников можно, а что нельзя запускать. И я делаю тут правый клик и произвожу новое правило.
Впрочем, постойте, сперва я вам покажу, какие Windows рекомендует правила по умолчанию. Create Default Rules. Дефолт системы такой:
всем пользователям, всем можно, allow, всем можно, запускать все программы, которые находятся в Program Files. Disk C Program Files.
Всё, что в Program Files, можно запускать. Следующее правило гласит, что все можно запускать программы, которые находятся в папке Windows. Смотрите, тут можно менять правила по умолчанию:
allow, deny, кому можно или нельзя, о каком пути речь, windear*, exceptions. Вот такие правила по умолчанию нам сделала система, такие правила она предлагает.
Так вот, все можно запускать всё, что в Program Files, все можно запускать всё, что в Windows, А всем администраторам, все, кто состоит в группе Administrators, в этой группе состоит отнюдь не только один пользователь-администратор.
В ней, как правило, состоит целый ряд людей. Так вот, им тут позволяют запускать всё без ограничений. А теперь я жму Create New Rule — Создай новое правило.
И в моём законе говорится Deny, нельзя, тем. А мог я нажать Select и написать тут какого-нибудь юзера.
Вот, смотрите, это все учётные записи пользователей, которые у меня есть на компьютере. Я бы мог выбрать конкретного. но я говорю всем deny.
Тут есть возможность согласно тому, кто выпустил программу, или же запретить согласно пути, по которому лежит программа, или согласно хашу этой программы.
Это некоторое математическое действие, формула над кусочками файла. Давайте запретим согласно тому, кто опубликовал программу.
Тот, кто выпустил emul, я его заблокирую. Я жму next, и у меня просит показать файл того паблишера, которого я хочу запретить. И я потом укажу, заблокировать ли всего этого издателя, или же лишь его какой-то один конкретный продукт, или же лишь один его конкретный файл, или же некоторую какую-то определенную
версию этой программы. Все это согласно издателю, то есть согласно цифровой подписи этого паблишера. О цифровых подписях мы много говорим, когда учим серверы.
И я открываю папку Emule и указываю на программу этого издателя. Жму Open, и интерфейс ругается. Говорит, издатель не поставил свою цифровую подпись на этом файле.
На этой программе нету цифровой подписи. Паблишер удостоверяется согласно его цифровой подписи. Но тут на имиле нету цифровой подписи его производителя.
Это, разумеется, опасно, потому что мы не можем быть уверены, что кто-либо не изменил что-либо в программе по пути от производителя к нам. И в этом случае я не могу заблокировать программу согласно издателю.
А мне придется выбрать иной способ. Я возвращаюсь. я не хочу блокировать согласно пути, потому что тогда меня легко обмануть. Пользователь может установить email просто по другому пути, и мне остаётся только согласно хэшу.
Это нечто вроде суммы файла. Берутся какие-то числа из него, какие-то части файла и подставляются в определённую формулу. Эта формула довольно умная, и она практически обеспечивает то, что каждой такой формуле может соответствовать только один файл на свете.
Очень трудно найти второй файл, который при таком же подсчете даст ту же самую формулу. Удобство запрета согласно хашу в том, что файл блокируется независимо от того, где он лежит, независимо от его пути на компьютере.
При запуске каждой программы будет опять же подсчитан её хаш и сверен с запрещенными. Если какой-то хаш будет идентичен тем, что лежат в правиле о запретах, то эту программу запустить будет нельзя.
Я повторяю, в нашем курсе о серверах есть целый почти курс отдельный, можно сказать, о хашах. Например, простейшим хашем можно считать сумму всех байтов файла.
И как вы уже можете почувствовать, неудобство запрета согласно хашу в том, что если выйдет новая версия email'а, то она уже не будет запрещена, или если внутри файла что-нибудь незначительное поменять, например, буковку в какой-нибудь надписи интерфейса.
Есть многое в экзешнике, что для работы программы до лампочки, но зато это обхитрит запрет с помощью хаша. Поэтому горячо рекомендуется всегда запрещать запрещать согласно издателю, согласно паблишеру.
Но что делать, если не получается, то тогда сделаем это согласно хашу. На крайняк можно заблокировать согласно пути. Но это только самый глупый пользователь не обхитрит.
Итак, давайте попробуем хаш. Выберем определённый файл, хаш которого нам нужен, .exe-imila, запускаемый файл этой программы.
Мигом посчитан хаш этого файла. Этот файл весит 5 мегабайт, и несложно почитать его сумму. Точнее эта формула посложнее, чем просто сумма всех байтов, потому что тогда у многих файлов будет одна и та же сумма.
Но суть та же, что и у суммы всех байтов. Название нашего закона будет email not allowed. Таково будет имя нашего запрещающего правила.
И вот он, наш закон, который называется email not allowed. Всем запрещен email. А теперь давайте увидим, что это не работает.
Я запускаю путь вместе с именем файла. Это всё равно, чтобы я нажал на экзешник. И я вижу, что email работает. потому что мы не запустили сервис.