В этом разделе для ИТ-специалистов описывается, что такое AppLocker и чем его функции отличаются от политик ограничения программного обеспечения. This topic for the IT professional describes what AppLocker is and how its features differ from Software Restriction Policies.
AppLocker усовершенствовает функции управления приложениями и функции политик ограничения программного обеспечения. AppLocker advances the app control features and functionality of Software Restriction Policies. AppLocker содержит новые возможности и расширения, которые позволяют создавать правила, позволяющие разрешить или запретить запуск приложений на основе уникальных удостоверений файлов и указать, какие пользователи или группы могут запускать эти приложения. AppLocker contains new capabilities and extensions that allow you to create rules to allow or deny apps from running based on unique identities of files and to specify which users or groups can run those apps.
С помощью AppLocker вы можете: Using AppLocker, you can:
Управление следующими типами приложений: исполняемые файлы (.exe и .com), сценарии (JS, PS1, VBS, CMD и .bat), файлы установщика Windows (MST, MSI и MSP) и DLL-файлы (DLL и OCX), а также упакованные приложения и установщики упакованных приложений (appx). Control the following types of apps: executable files (.exe and .com), scripts (.js, .ps1, .vbs, .cmd, and .bat), Windows Installer files (.mst, .msi and .msp), and DLL files (.dll and .ocx), and packaged apps and packaged app installers (appx).
Определите правила на основе атрибутов файла, производных от цифровой подписи, включая издателя, название продукта, имя файла и версию файла. Define rules based on file attributes derived from the digital signature, including the publisher, product name, file name, and file version. Например, можно создать правила на основе атрибута издателя, сохраняемого посредством обновлений, или создать правила для определенной версии файла. For example, you can create rules based on the publisher attribute that is persistent through updates, or you can create rules for a specific version of a file.
Назначение правил группе безопасности или определенному пользователю. Assign a rule to a security group or an individual user.
Создание исключений из правил. Create exceptions to rules. Например, можно создать правило, позволяя запускать все процессы Windows, кроме редактора реестра (Regedit.exe). For example, you can create a rule that allows all Windows processes to run except Registry Editor (Regedit.exe).
Использование режима только аудита для развертывания политики и определения ее влияния до непосредственного применения. Use audit-only mode to deploy the policy and understand its impact before enforcing it.
Правила импорта и экспорта. Import and export rules. Импорт и экспорт влияют на всю политику. The import and export affects the entire policy. Например, при экспорте политики экспортируются все правила из всех коллекций правил, в том числе параметры для коллекций правил. For example, if you export a policy, all of the rules from all of the rule collections are exported, including the enforcement settings for the rule collections. При импорте политики все условия в существующей политике перезаписываются. If you import a policy, all criteria in the existing policy are overwritten.
Упрощение создания и управления правилами AppLocker с помощью Windows PowerShell управления. Streamline creating and managing AppLocker rules by using Windows PowerShell cmdlets.
AppLocker помогает сократить административные издержки и снизить затраты организации на управление вычислительными ресурсами, уменьшая количество звонков в службу поддержки, которые являются результатом работы пользователей, запускающих неутверченные приложения AppLocker helps reduce administrative overhead and helps reduce the organization’s cost of managing computing resources by decreasing the number of help desk calls that result from users running unapproved apps
Сведения о сценариях управления приложениями, адресуемого AppLocker, см. в сценариях использования политик AppLocker. For information about the application control scenarios that AppLocker addresses, see AppLocker policy use scenarios.
Какие функции отличаются между политиками ограничения программного обеспечения и AppLocker? What features are different between Software Restriction Policies and AppLocker?
Отличия функций Feature differences
В следующей таблице сравнивает AppLocker с политиками ограничения программного обеспечения. The following table compares AppLocker to Software Restriction Policies.
Функция Feature
Политики ограниченного использования программ Software Restriction Policies
AppLocker AppLocker
Область действия правила Rule scope
Все пользователи All users
Конкретный пользователь или группа Specific user or group
Предоставленные условия правил Rule conditions provided
Hash файла, путь, сертификат, путь в реестре и зона Интернета File hash, path, certificate, registry path, and Internet zone
Hash, path, and publisher файла File hash, path, and publisher
Предоставленные типы правил Rule types provided
Определяется уровнями безопасности: Defined by the security levels:
Базовый пользователь Basic User
Разрешить и запретить Allow and deny
Действие правила по умолчанию Default rule action
Неявный запрет Implicit deny
Режим только аудита Audit-only mode
Мастер создания нескольких правил одновременно Wizard to create multiple rules at one time
Импорт и экспорт политик Policy import or export
Коллекция правил Rule collection
Windows PowerShell поддержки Windows PowerShell support
Настраиваемые сообщения об ошибках Custom error messages
Различия функций управления приложениями Application control function differences
В следующей таблице сравниваются функции управления приложениями политик ограничения программного обеспечения (SRP) и AppLocker. The following table compares the application control functions of Software Restriction Policies (SRP) and AppLocker.
Функция управления приложениями Application control function
SRP SRP
AppLocker AppLocker
Область действия операционной системы Operating system scope
Политики SRP можно применять во всех операционных системах Windows, начиная с Windows XP и Windows Server 2003. SRP policies can be applied to all Windows operating systems beginning with Windows XP and Windows Server 2003.
Политики AppLocker применяются только к поддерживаемые версии операционной системы и выпуски, перечисленные в требованиях для использования AppLocker. AppLocker policies apply only to those supported operating system versions and editions listed in Requirements to use AppLocker. Но эти системы также могут использовать SRP. But these systems can also use SRP.
Используйте различные GOS для правил SRP и AppLocker. Use different GPOs for SRP and AppLocker rules.
Поддержка пользователей User support
SRP позволяет пользователям устанавливать приложения в качестве администратора. SRP allows users to install applications as an administrator.
Политики AppLocker поддерживаются посредством групповой политики, и только администратор устройства может обновить политику AppLocker. AppLocker policies are maintained through Group Policy, and only the administrator of the device can update an AppLocker policy.
AppLocker позволяет настраивать сообщения об ошибках, чтобы направлять пользователей на веб-страницу для получения справки. AppLocker permits customization of error messages to direct users to a Web page for help.
Обслуживание политик Policy maintenance
Политики SRP обновляются с помощью оснастки «Локализованная политика безопасности» или консоли управления групповыми политиками (GPMC). SRP policies are updated by using the Local Security Policy snap-in or the Group Policy Management Console (GPMC).
Политики AppLocker обновляются с помощью оснастки «Локалная политика безопасности» или GPMC. AppLocker policies are updated by using the Local Security Policy snap-in or the GPMC.
AppLocker поддерживает небольшой набор cmdlets PowerShell для помощи в администрировании и обслуживании. AppLocker supports a small set of PowerShell cmdlets to aid in administration and maintenance.
Инфраструктура управления политиками Policy management infrastructure
Для управления политиками SRP SRP использует групповую политику в домене и оснастку «Локализованная политика безопасности» для локального компьютера. To manage SRP policies, SRP uses Group Policy within a domain and the Local Security Policy snap-in for a local computer.
Для управления политиками AppLocker AppLocker использует групповую политику в домене и оснастку «Локализованная политика безопасности» для локального компьютера. To manage AppLocker policies, AppLocker uses Group Policy within a domain and the Local Security Policy snap-in for a local computer.
Правила блокировки вредоносных сценариев не могут запускать все сценарии, связанные с ведущим скриптом Windows, за исключением сценариев, подписанных вашей организацией с цифровой подписью. Rules for blocking malicious scripts prevents all scripts associated with the Windows Script Host from running, except those that are digitally signed by your organization.
Правила AppLocker могут управлять следующими форматами файлов: PS1, BAT, CMD, VBS и JS. AppLocker rules can control the following file formats: .ps1, .bat, .cmd, .vbs, and .js. Кроме того, можно настроить исключения, чтобы разрешить запуск определенных файлов. In addition, you can set exceptions to allow specific files to run.
Управление установкой программного обеспечения Manage software installation
SRP может предотвратить установку всех пакетов установщика Windows. SRP can prevent all Windows Installer packages from installing. Он позволяет устанавливать MSI-файлы, подписанные вашей организацией с цифровой подписью. It allows .msi files that are digitally signed by your organization to be installed.
Коллекция правил установщика Windows — это набор правил, созданных для типов файлов установщика Windows (MST, MSI и MSP), позволяющих управлять установкой файлов на клиентских компьютерах и серверах. The Windows Installer rule collection is a set of rules created for Windows Installer file types (.mst, .msi and .msp) to allow you to control the installation of files on client computers and servers.
Управление всем программным обеспечением на компьютере Manage all software on the computer
Все программное обеспечение управляется в одном наборе правил. All software is managed in one rule set. По умолчанию политика управления всем программным обеспечением на устройстве не позволяет управлять всем программным обеспечением на устройстве пользователя’, за исключением программного обеспечения, установленного в папке Windows, папке Program Files или вложенных папках. By default, the policy for managing all software on a device disallows all software on the user’s device, except software that is installed in the Windows folder, Program Files folder, or subfolders.
В отличие от SRP, каждая коллекция правил AppLocker функционирует как разрешенный список файлов. Unlike SRP, each AppLocker rule collection functions as an allowed list of files. Запускать можно только те файлы, которые указаны в коллекции правил. Only the files that are listed within the rule collection will be allowed to run. Эта конфигурация упрощает администраторам определение того, что произойдет при применении правила AppLocker. This configuration makes it easier for administrators to determine what will occur when an AppLocker rule is applied.
Различные политики для разных пользователей Different policies for different users
Правила применяются равномерно для всех пользователей на определенном устройстве. Rules are applied uniformly to all users on a particular device.
На устройстве, доступ к которому есть у нескольких пользователей, администратор может указать группы пользователей, которые могут получить доступ к установленному программному обеспечению. On a device that is shared by multiple users, an administrator can specify the groups of users who can access the installed software. С помощью AppLocker администратор может указать пользователя, к которому должно применяться определенное правило. Using AppLocker, an administrator can specify the user to whom a specific rule should apply.
Используйте AppLocker для создания киоска на базе Windows 10, на котором запущено несколько приложений Use AppLocker to create a Windows 10 kiosk that runs multiple apps
Область применения Applies to
Узнайте, как настроить устройство под управлением Windows 10 Корпоративная или Windows 10 для образовательных учреждений, версия 1703 и более ранние версии, таким образом, чтобы пользователи могли запускать на нем только несколько определенных приложений. Learn how to configure a device running Windows 10 Enterprise or Windows 10 Education, version 1703 and earlier, so that users can only run a few specific apps. Результат использования описанной в этом разделе функции схож с действием устройства киоска, но при этом доступны несколько приложений. The result is similar to a kiosk device, but with multiple apps available. Например, библиотечный компьютер можно настроить таким образом, чтобы пользователи могли выполнять поиск по каталогу и просматривать веб-страницы, но не имели возможности запускать другие приложения или изменять параметры компьютера. For example, you might set up a library computer so that users can search the catalog and browse the Internet, but can’t run any other apps or change computer settings.
Для устройств под управлением Windows 10, версия 1709, мы рекомендуем метод киоска для нескольких приложений. For devices running Windows 10, version 1709, we recommend the multi-app kiosk method.
С помощью функции AppLockerвы можете разрешить пользователям доступ только к определенному набору приложений на устройстве под управлением Windows 10 Корпоративная или Windows 10 для образовательных учреждений. You can restrict users to a specific set of apps on a device running Windows 10 Enterprise or Windows 10 Education by using AppLocker. Правила AppLocker определяют, какие приложения можно запускать на устройстве. AppLocker rules specify which apps are allowed to run on the device.
Правила AppLocker организованы в коллекции на основе формата файла. AppLocker rules are organized into collections based on file format. Если правила AppLocker для определенной коллекции правил не существуют, то все файлы этого формата можно запускать. If no AppLocker rules for a specific rule collection exist, all files with that file format are allowed to run. Однако если для коллекции создано правило AppLocker, разрешен только запуск файлов, явно указанных в правиле. However, when an AppLocker rule for a specific rule collection is created, only the files explicitly allowed in a rule are permitted to run. Подробнее об этом см. в разделе Как работает AppLocker. For more information, see How AppLocker works.
В этом разделе описывается, как блокировать приложения на локальном устройстве. This topic describes how to lock down apps on a local device. AppLocker также можно использовать, чтобы устанавливать правила для приложений в домене с помощью групповой политики. You can also use AppLocker to set rules for applications in a domain by using Group Policy.
Установка приложений Install apps
Сначала установите на устройстве нужные приложения, используя целевую учетную запись (записи) пользователя. First, install the desired apps on the device for the target user account(s). Это работает как для приложений единой платформы Windows (UWP), так и для настольных приложений Windows. This works for both Unified Windows Platform (UWP) apps and Windows desktop apps. Для приложений UWP необходимо войти в систему в качестве этого пользователя для установки приложения. For UWP apps, you must log on as that user for the app to install. Для настольных приложений можно установить приложение для всех пользователей, не входя в определенную учетную запись. For desktop apps, you can install an app for all users without logging on to the particular account.
Использование AppLocker для настройки правил для приложений Use AppLocker to set rules for apps
После установки необходимых приложений настройте правила AppLocker, чтобы разрешить запуск только определенных приложений, и заблокируйте все остальные. After you install the desired apps, set up AppLocker rules to only allow specific apps, and block everything else.
Запустите локальную политику безопасности (secpol.msc) от имени администратора. Run Local Security Policy (secpol.msc) as an administrator.
Откройте Параметры безопасности > Политики управления приложениями > AppLocker и выберите Настроить применение правил. Go to Security Settings > Application Control Policies > AppLocker, and select Configure rule enforcement.
Установите флажок Настроено в разделе Исполняемые правила, а затем нажмите ОК. Check Configured under Executable rules, and then click OK.
Щелкните параметр Исполняемые правила правой кнопкой мыши и выберите Создать правила автоматически. Right-click Executable Rules and then click Automatically generate rules.
Выберите папку, содержащую приложение, доступ к которому вы хотите разрешить, или выберите C:\, чтобы проанализировать все приложения. Select the folder that contains the apps that you want to permit, or select C:\ to analyze all apps.
Введите имя набора правил и нажмите Далее. Type a name to identify this set of rules, and then click Next.
На странице Параметры правил нажмите кнопку Далее. On the Rule Preferences page, click Next. Обратите внимание, что создание правил может занять некоторое время. Be patient, it might take awhile to generate the rules.
На странице Проверка правил выберите команду Создать. On the Review Rules page, click Create. Мастер создаст набор правил, разрешающих использование набора установленных приложений. The wizard will now create a set of rules allowing the installed set of apps.
Прочтите сообщение и нажмите Да. Read the message and click Yes.
Если вы хотите применить правило к выбранной группе пользователей, щелкните его правой кнопкой мыши и выберите Свойства(необязательно). (optional) If you want a rule to apply to a specific set of users, right-click on the rule and select Properties. Затем выберите пользователя или группу пользователей в диалоговом окне. Then use the dialog to choose a different user or group of users.
Если для приложений, использование которых запрещено, созданы правила, их можно удалить, щелкнув правило правой кнопкой мыши и выбрав команду Удалить(необязательно). (optional) If rules were generated for apps that should not be run, you can delete them by right-clicking on the rule and selecting Delete.
Чтобы обеспечить выполнение правил AppLocker, необходимо включить службу Удостоверение приложения . Before AppLocker will enforce rules, the Application Identity service must be turned on. Чтобы служба «Удостоверение приложения» автоматически запускалась при сбросе параметров, откройте командную строку и выполните следующую команду: To force the Application Identity service to automatically start on reset, open a command prompt and run:
Перезагрузите устройство. Restart the device.
Другие параметры блокировки Other settings to lock down
Помимо определения разрешенных приложений, необходимо также запретить доступ к некоторым параметрам и функциям на устройстве. In addition to specifying the apps that users can run, you should also restrict some settings and functions on the device. Чтобы повысить безопасность взаимодействия, рекомендуем внести в конфигурацию устройства приведенные ниже изменения. For a more secure experience, we recommend that you make the following configuration changes to the device:
Удалите список Все приложения Remove All apps.
Перейдите в раздел Редактор групповой политики > Конфигурация пользователя > Административные шаблоны\Меню «Пуск» и панель задач\Удалить список всех программ в меню «Пуск». Go to Group Policy Editor > User Configuration > Administrative Templates\Start Menu and Taskbar\Remove All Programs list from the Start menu.
Скройте компонент Специальные возможности на экране входа. Hide Ease of access feature on the logon screen.
Перейдите в раздел Панель управления > Специальные возможности > Центр специальных возможностей и отключите все средства специальных возможностей. Go to Control Panel > Ease of Access > Ease of Access Center, and turn off all accessibility tools.
Отключите аппаратную кнопку питания. Disable the hardware power button.
Перейдите в раздел Электропитание > Действие кнопки питания, измените значение на Действие не требуется и выберите Сохранить изменения. Go to Power Options > Choose what the power button does, change the setting to Do nothing, and then Save changes.
Отключите камеру. Disable the camera.
Перейдите в раздел Параметры > Конфиденциальность > Камера и отключите параметр Разрешить приложениям использовать камеру. Go to Settings > Privacy > Camera, and turn off Let apps use my camera.
Отключите отображение уведомлений приложений на экране блокировки. Turn off app notifications on the lock screen.
Перейдите в раздел Редактор групповой политики > Конфигурация компьютера > Административные шаблоны\Система\Вход в систему\Отключить уведомления приложений на экране блокировки. Go to Group Policy Editor > Computer Configuration > Administrative Templates\System\Logon\Turn off app notifications on the lock screen.
Перейдите в меню Редактор групповой политики > Конфигурация компьютера > Административные шаблоны\Система\Установка устройств\Ограничения на установку устройств. Go to Group Policy Editor > Computer Configuration > Administrative Templates\System\Device Installation\Device Installation Restrictions. Проверьте параметры политики, отображаемые в разделе Ограничения на установку устройств, чтобы найти параметры, подходящие для вашей ситуации. Review the policy settings available in Device Installation Restrictions for the settings applicable to your situation.
Примечание. Note Чтобы эта политика не влияла на участников группы «Администраторы», в разделе Ограничения на установку устройствустановите флажок Разрешить администраторам заменять политики ограничения установки устройств. To prevent this policy from affecting a member of the Administrators group, in Device Installation Restrictions, enable Allow administrators to override Device Installation Restriction policies.
Подробнее о функциях блокировки см. в разделе Настройки Windows 10 Корпоративная. To learn more about locking down features, see Customizations for Windows 10 Enterprise.
Настройка макета начального экрана на устройстве (рекомендуется) Customize Start screen layout for the device (recommended)
Меню «Пуск» на устройстве можно настроить таким образом, чтобы в нем отображались только плитки разрешенных приложений. Configure the Start menu on the device to only show tiles for the permitted apps. Для этого нужно вручную внести изменения, экспортировать макет в XML-файл, а затем использовать этот файл на устройстве, чтобы запретить пользователям вносить изменения. You will make the changes manually, export the layout to an .xml file, and then apply that file to devices to prevent users from making changes. Инструкции: Управление параметрами макета начального экрана Windows10. For instructions, see Manage Windows 10 Start layout options.
