Applocker не блокирует приложения windows 10

Профиль | Отправить PM | Цитировать

Подскажите, пожалуйста, можно ли как-нибудь заставить работать AppLocker в данной редакции Windows 10?
Недавно просто привезли новые компы в школу, однако в редакции Pro (зачем и почему до сих пор понять не могу), в которой как раз AppLocker’a как бы нет (судя по сравнению редакций).
Но хотелось бы запретить запуск некоторого ПО, а также запретить запуск съемных носителей.

Возможно ли вообще его запустить в Pro редакции или мне лучше обратиться к стороннему ПО для блокировки ПО?

Конфигурация компьютера
мне лучше обратиться к стороннему ПО для блокировки ПО »

——-
Кто реку перешел, тому росы бояться ни к чему

Applocker не блокирует приложения windows 10

Вопрос

Здравствуйте. Я использую Windows Server 2016. При настройке ограничений прав запуска приложений через AppLocker возникают проблемы:

1) При изменении способа запуска службы с ручного на автоматический пишет, что отказано в доступе. Эту проблему решил через реестр.

2) Возникла следующая, после включения службы у всех пользователей включая Администратора перестает работать меню «Пуск», «Панель задач» и «Языковая панель».

С языковой панелью вообще больше проблемы.
Даже не запуская и не настраивая AppLocker, она работает странно:
1. К примеру, когда настроил публикацию приложений по RDP, и пытаюсь запустить одно из приложений, то приложение не запускается вовсе, а в правом верхнем углу — зависшая языковая панель.
2. У меня есть переключение языков (русский и английский), но у других пользователей (тоже админы) смена раскладки отсутствует и языковой пакет русского языка тоже, хотя (если не ошибаюсь) должны распространятся пакеты на всех пользователей. Странность еще в том, что, если через другого админа закачать пакет он продублируется и у меня, хотя этого админа будет только этот скаченный пакет.

Подобных проблем при использовании Windows Server 2012 при тех же настройках замечено не было. Обновления так же не помогают.

Подскажите пожалуйста, решение данной проблемы.

Applocker не блокирует приложения windows 10

Профиль | Отправить PM | Цитировать

Подскажите, пожалуйста, можно ли как-нибудь заставить работать AppLocker в данной редакции Windows 10?
Недавно просто привезли новые компы в школу, однако в редакции Pro (зачем и почему до сих пор понять не могу), в которой как раз AppLocker’a как бы нет (судя по сравнению редакций).
Но хотелось бы запретить запуск некоторого ПО, а также запретить запуск съемных носителей.

Возможно ли вообще его запустить в Pro редакции или мне лучше обратиться к стороннему ПО для блокировки ПО?

Конфигурация компьютера
мне лучше обратиться к стороннему ПО для блокировки ПО »

——-
Кто реку перешел, тому росы бояться ни к чему

Тестирование и обновление политики AppLocker Test and update an AppLocker policy

Область применения Applies to

• Windows 10. Windows 10
• Windows Server Windows Server

В этом разделе обсуждаются действия, необходимые для тестирования политики AppLocker перед развертыванием. This topic discusses the steps required to test an AppLocker policy prior to deployment.

Необходимо проверить каждый набор правил, чтобы убедиться, что они выполняются по назначению. You should test each set of rules to ensure that the rules perform as intended. Если вы используете групповую политику для управления политиками AppLocker, выполните следующие действия для каждого объекта групповой политики (GPO), в котором созданы правила AppLocker. If you use Group Policy to manage AppLocker policies, complete the following steps for each Group Policy Object (GPO) where you have created AppLocker rules. Так как правила AppLocker наследуются от связанных GOS, необходимо развернуть все правила для одновременного тестирования во всех тестовых GOS. Because AppLocker rules are inherited from linked GPOs, you should deploy all of the rules for simultaneous testing in all of your test GPOs.

Шаг 1. В включить параметр «Только аудит» Step 1: Enable the Audit only enforcement setting

С помощью параметра «Только аудит» можно убедиться, что созданные правила AppLocker правильно настроены для вашей организации. By using the Audit only enforcement setting, you can ensure that the AppLocker rules that you have created are properly configured for your organization. Этот параметр можно включить на вкладке «Принудитель» диалогового окна «Свойства AppLocker». This setting can be enabled on the Enforcement tab of the AppLocker Properties dialog box. Процедуру для этого см. в подстройке «Настройка политики AppLocker только для аудита». For the procedure to do this, see Configure an AppLocker policy for audit only.

Шаг 2. Настройка автоматического запуска службы удостоверений приложений Step 2: Configure the Application Identity service to start automatically

Так как AppLocker использует службу удостоверений приложений для проверки атрибутов файла, ее необходимо настроить для автоматического запуска в любом GPO, который применяет правила AppLocker. Because AppLocker uses the Application Identity service to verify the attributes of a file, you must configure it to start automatically in any one GPO that applies AppLocker rules. Процедуру для этого см. в подстройке «Настройка службы удостоверений приложений». For the procedure to do this, see Configure the Application Identity Service. Для политик AppLocker, которые не управляются GPO, необходимо убедиться, что служба запущена на каждом компьютере, чтобы политики применялись. For AppLocker policies that are not managed by a GPO, you must ensure that the service is running on each PC in order for the policies to be applied.

Шаг 3. Тестирование политики Step 3: Test the policy

Проверьте политику AppLocker, чтобы определить, требуется ли изменить коллекцию правил. Test the AppLocker policy to determine if your rule collection needs to be modified. Так как вы создали правила AppLocker, включили **** службу удостоверений приложений и включили параметр применения только аудита, политика AppLocker должна присутствовать на всех клиентских компьютерах, настроенных для получения политики AppLocker. Because you have created AppLocker rules, enabled the Application Identity service, and enabled the Audit only enforcement setting, the AppLocker policy should be present on all client PC that are configured to receive your AppLocker policy.

С помощью Windows PowerShell Test-AppLockerPolicy можно определить, будут ли какие-либо правила в коллекции правил блокироваться на эталонных ПК. The Test-AppLockerPolicy Windows PowerShell cmdlet can be used to determine whether any of the rules in your rule collection will be blocked on your reference PCs. Процедуру для этого см. в процедуре «Тестирование политики AppLocker с помощью Test-AppLockerPolicy». For the procedure to do this, see Test an AppLocker policy by using Test-AppLockerPolicy.

Шаг 4. Анализ событий AppLocker Step 4: Analyze AppLocker events

Вы можете вручную проанализировать события AppLocker или использовать Windows PowerShell Get-AppLockerFileInformation для автоматизации анализа. You can either manually analyze AppLocker events or use the Get-AppLockerFileInformation Windows PowerShell cmdlet to automate the analysis.

Анализ событий AppLocker вручную To manually analyze AppLocker events

Можно просмотреть события либо в средстве просмотра событий, либо в текстовом редакторе, а затем отсортировать эти события, чтобы выполнить анализ, например искать шаблоны в событиях использования приложений, частоте доступа или доступе по группам пользователей. You can view the events either in Event Viewer or a text editor and then sort those events to perform an analysis, such as looking for patterns in application usage events, access frequencies, or access by user groups. Если подписка на события не настроена, необходимо просмотреть журналы на выборке компьютеров в организации. If you have not configured an event subscription, then you will have to review the logs on a sampling of computers in your organization. Дополнительные сведения об использовании просмотра событий см. в этой теме. For more information about using Event Viewer, see Monitor application usage with AppLocker.

Анализ событий AppLocker с помощью Get-AppLockerFileInformation To analyze AppLocker events by using Get-AppLockerFileInformation

Для анализа событий AppLocker с удаленного компьютера можно использовать Windows PowerShell Get-AppLockerFileInformation. You can use the Get-AppLockerFileInformation Windows PowerShell cmdlet to analyze AppLocker events from a remote computer. Если приложение блокируется и должно быть разрешено, вы можете использовать для устранения проблемы с помощью cmdlets AppLocker. If an app is being blocked and should be allowed, you can use the AppLocker cmdlets to help troubleshoot the problem.

Для подписок на события и локальных событий можно использовать для определения заблокированных или заблокированных файлов (если используется режим только аудита) **** и количества событий, которые были заблокированы или заблокированы с помощью get-AppLockerFileInformation. For both event subscriptions and local events, you can use the Get-AppLockerFileInformation cmdlet to determine which files have been blocked or would have been blocked (if you are using the Audit only enforcement mode) and how many times the event has occurred for each file. Для этого см. процедуру мониторинга использования приложений с помощью AppLocker. For the procedure to do this, see Monitor Application Usage with AppLocker.

После использования Get-AppLockerFileInformation, чтобы определить, сколько раз блокировался файл, следует просмотреть список правил, чтобы определить, следует ли создать новое правило для заблокированного файла или слишком строго определено существующее правило. After using Get-AppLockerFileInformation to determine how many times that a file would have been blocked from running, you should review your rule list to determine whether a new rule should be created for the blocked file or whether an existing rule is too strictly defined. Убедитесь, что вы проверяете, какой GPO в настоящее время препятствует запуску файла. Ensure that you check which GPO is currently preventing the file from running. Чтобы определить это, можно использовать мастер результатов групповой политики для просмотра имен правил. To determine this, you can use the Group Policy Results Wizard to view rule names.

Шаг 5. Изменение политики AppLocker Step 5: Modify the AppLocker policy

После того как вы определили, какие правила необходимо изменить или добавить в политику, вы можете изменить правила AppLocker в соответствующих GOS с помощью консоли управления групповыми политиками. After you have identified which rules need to be edited or added to the policy, you can use the Group Policy Management Console to modify the AppLocker rules in the relevant GPOs. Для политик AppLocker, не управляемых GPO, можно использовать оснастку «Локализованная политика безопасности» (secpol.msc). For AppLocker policies that are not managed by a GPO, you can use the Local Security Policy snap-in (secpol.msc). Сведения об изменении политики AppLocker см. в подголовке «Изменение политики AppLocker». For info how to modify an AppLocker policy, see, Edit an AppLocker policy.

Шаг 6. Повторение тестирования, анализа и изменения политики Step 6: Repeat policy testing, analysis, and policy modification

Повторите предыдущие шаги 3–5, пока все правила не будут выполнены по назначению перед применением. Repeat the previous steps 3–5 until all the rules perform as intended before applying enforcement.

Что такое AppLocker? What Is AppLocker?

Область применения Applies to

• Windows 10. Windows 10
• Windows Server Windows Server

В этом разделе для ИТ-специалистов описывается, что такое AppLocker и чем его функции отличаются от политик ограничения программного обеспечения. This topic for the IT professional describes what AppLocker is and how its features differ from Software Restriction Policies.

AppLocker усовершенствовает функции управления приложениями и функции политик ограничения программного обеспечения. AppLocker advances the app control features and functionality of Software Restriction Policies. AppLocker содержит новые возможности и расширения, которые позволяют создавать правила, позволяющие разрешить или запретить запуск приложений на основе уникальных удостоверений файлов и указать, какие пользователи или группы могут запускать эти приложения. AppLocker contains new capabilities and extensions that allow you to create rules to allow or deny apps from running based on unique identities of files and to specify which users or groups can run those apps.

С помощью AppLocker вы можете: Using AppLocker, you can:

• Управление следующими типами приложений: исполняемые файлы (.exe и .com), сценарии (JS, PS1, VBS, CMD и .bat), файлы установщика Windows (MST, MSI и MSP) и DLL-файлы (DLL и OCX), а также упакованные приложения и установщики упакованных приложений (appx). Control the following types of apps: executable files (.exe and .com), scripts (.js, .ps1, .vbs, .cmd, and .bat), Windows Installer files (.mst, .msi and .msp), and DLL files (.dll and .ocx), and packaged apps and packaged app installers (appx).
• Определите правила на основе атрибутов файла, производных от цифровой подписи, включая издателя, название продукта, имя файла и версию файла. Define rules based on file attributes derived from the digital signature, including the publisher, product name, file name, and file version. Например, можно создать правила на основе атрибута издателя, сохраняемого посредством обновлений, или создать правила для определенной версии файла. For example, you can create rules based on the publisher attribute that is persistent through updates, or you can create rules for a specific version of a file.
• Назначение правил группе безопасности или определенному пользователю. Assign a rule to a security group or an individual user.
• Создание исключений из правил. Create exceptions to rules. Например, можно создать правило, позволяя запускать все процессы Windows, кроме редактора реестра (Regedit.exe). For example, you can create a rule that allows all Windows processes to run except Registry Editor (Regedit.exe).
• Использование режима только аудита для развертывания политики и определения ее влияния до непосредственного применения. Use audit-only mode to deploy the policy and understand its impact before enforcing it.
• Правила импорта и экспорта. Import and export rules. Импорт и экспорт влияют на всю политику. The import and export affects the entire policy. Например, при экспорте политики экспортируются все правила из всех коллекций правил, в том числе параметры для коллекций правил. For example, if you export a policy, all of the rules from all of the rule collections are exported, including the enforcement settings for the rule collections. При импорте политики все условия в существующей политике перезаписываются. If you import a policy, all criteria in the existing policy are overwritten.
• Упрощение создания и управления правилами AppLocker с помощью Windows PowerShell управления. Streamline creating and managing AppLocker rules by using Windows PowerShell cmdlets.

AppLocker помогает сократить административные издержки и снизить затраты организации на управление вычислительными ресурсами, уменьшая количество звонков в службу поддержки, которые являются результатом работы пользователей, запускающих неутверченные приложения AppLocker helps reduce administrative overhead and helps reduce the organization’s cost of managing computing resources by decreasing the number of help desk calls that result from users running unapproved apps

Сведения о сценариях управления приложениями, адресуемого AppLocker, см. в сценариях использования политик AppLocker. For information about the application control scenarios that AppLocker addresses, see AppLocker policy use scenarios.

Какие функции отличаются между политиками ограничения программного обеспечения и AppLocker? What features are different between Software Restriction Policies and AppLocker?

Отличия функций Feature differences

В следующей таблице сравнивает AppLocker с политиками ограничения программного обеспечения. The following table compares AppLocker to Software Restriction Policies.

Область действия правила Rule scope

Все пользователи All users

Конкретный пользователь или группа Specific user or group

Предоставленные условия правил Rule conditions provided

Hash файла, путь, сертификат, путь в реестре и зона Интернета File hash, path, certificate, registry path, and Internet zone

Hash, path, and publisher файла File hash, path, and publisher

Предоставленные типы правил Rule types provided

Определяется уровнями безопасности: Defined by the security levels:

Базовый пользователь Basic User

Разрешить и запретить Allow and deny

Действие правила по умолчанию Default rule action

Неявный запрет Implicit deny

Режим только аудита Audit-only mode

Мастер создания нескольких правил одновременно Wizard to create multiple rules at one time

Импорт и экспорт политик Policy import or export

Коллекция правил Rule collection

Windows PowerShell поддержки Windows PowerShell support

Настраиваемые сообщения об ошибках Custom error messages

Различия функций управления приложениями Application control function differences

В следующей таблице сравниваются функции управления приложениями политик ограничения программного обеспечения (SRP) и AppLocker. The following table compares the application control functions of Software Restriction Policies (SRP) and AppLocker.

Функция Feature	Политики ограниченного использования программ Software Restriction Policies	AppLocker AppLocker

Область действия операционной системы Operating system scope

Политики SRP можно применять во всех операционных системах Windows, начиная с Windows XP и Windows Server 2003. SRP policies can be applied to all Windows operating systems beginning with Windows XP and Windows Server 2003.

Политики AppLocker применяются только к поддерживаемые версии операционной системы и выпуски, перечисленные в требованиях для использования AppLocker. AppLocker policies apply only to those supported operating system versions and editions listed in Requirements to use AppLocker. Но эти системы также могут использовать SRP. But these systems can also use SRP.

Используйте различные GOS для правил SRP и AppLocker. Use different GPOs for SRP and AppLocker rules.

Поддержка пользователей User support

SRP позволяет пользователям устанавливать приложения в качестве администратора. SRP allows users to install applications as an administrator.

Политики AppLocker поддерживаются посредством групповой политики, и только администратор устройства может обновить политику AppLocker. AppLocker policies are maintained through Group Policy, and only the administrator of the device can update an AppLocker policy.

AppLocker позволяет настраивать сообщения об ошибках, чтобы направлять пользователей на веб-страницу для получения справки. AppLocker permits customization of error messages to direct users to a Web page for help.

Обслуживание политик Policy maintenance

Политики SRP обновляются с помощью оснастки «Локализованная политика безопасности» или консоли управления групповыми политиками (GPMC). SRP policies are updated by using the Local Security Policy snap-in or the Group Policy Management Console (GPMC).

Политики AppLocker обновляются с помощью оснастки «Локалная политика безопасности» или GPMC. AppLocker policies are updated by using the Local Security Policy snap-in or the GPMC.

AppLocker поддерживает небольшой набор cmdlets PowerShell для помощи в администрировании и обслуживании. AppLocker supports a small set of PowerShell cmdlets to aid in administration and maintenance.

Инфраструктура управления политиками Policy management infrastructure

Для управления политиками SRP SRP использует групповую политику в домене и оснастку «Локализованная политика безопасности» для локального компьютера. To manage SRP policies, SRP uses Group Policy within a domain and the Local Security Policy snap-in for a local computer.

Для управления политиками AppLocker AppLocker использует групповую политику в домене и оснастку «Локализованная политика безопасности» для локального компьютера. To manage AppLocker policies, AppLocker uses Group Policy within a domain and the Local Security Policy snap-in for a local computer.

Блокировка вредоносных сценариев Block malicious scripts

Правила блокировки вредоносных сценариев не могут запускать все сценарии, связанные с ведущим скриптом Windows, за исключением сценариев, подписанных вашей организацией с цифровой подписью. Rules for blocking malicious scripts prevents all scripts associated with the Windows Script Host from running, except those that are digitally signed by your organization.

Правила AppLocker могут управлять следующими форматами файлов: PS1, BAT, CMD, VBS и JS. AppLocker rules can control the following file formats: .ps1, .bat, .cmd, .vbs, and .js. Кроме того, можно настроить исключения, чтобы разрешить запуск определенных файлов. In addition, you can set exceptions to allow specific files to run.

Управление установкой программного обеспечения Manage software installation

SRP может предотвратить установку всех пакетов установщика Windows. SRP can prevent all Windows Installer packages from installing. Он позволяет устанавливать MSI-файлы, подписанные вашей организацией с цифровой подписью. It allows .msi files that are digitally signed by your organization to be installed.

Коллекция правил установщика Windows — это набор правил, созданных для типов файлов установщика Windows (MST, MSI и MSP), позволяющих управлять установкой файлов на клиентских компьютерах и серверах. The Windows Installer rule collection is a set of rules created for Windows Installer file types (.mst, .msi and .msp) to allow you to control the installation of files on client computers and servers.

Управление всем программным обеспечением на компьютере Manage all software on the computer

Все программное обеспечение управляется в одном наборе правил. All software is managed in one rule set. По умолчанию политика управления всем программным обеспечением на устройстве не позволяет управлять всем программным обеспечением на устройстве пользователя’, за исключением программного обеспечения, установленного в папке Windows, папке Program Files или вложенных папках. By default, the policy for managing all software on a device disallows all software on the user’s device, except software that is installed in the Windows folder, Program Files folder, or subfolders.

В отличие от SRP, каждая коллекция правил AppLocker функционирует как разрешенный список файлов. Unlike SRP, each AppLocker rule collection functions as an allowed list of files. Запускать можно только те файлы, которые указаны в коллекции правил. Only the files that are listed within the rule collection will be allowed to run. Эта конфигурация упрощает администраторам определение того, что произойдет при применении правила AppLocker. This configuration makes it easier for administrators to determine what will occur when an AppLocker rule is applied.

Различные политики для разных пользователей Different policies for different users

Правила применяются равномерно для всех пользователей на определенном устройстве. Rules are applied uniformly to all users on a particular device.

На устройстве, доступ к которому есть у нескольких пользователей, администратор может указать группы пользователей, которые могут получить доступ к установленному программному обеспечению. On a device that is shared by multiple users, an administrator can specify the groups of users who can access the installed software. С помощью AppLocker администратор может указать пользователя, к которому должно применяться определенное правило. Using AppLocker, an administrator can specify the user to whom a specific rule should apply.

Функция управления приложениями Application control function	SRP SRP	AppLocker AppLocker