2008 - [решено] Политика ограничениого использования программ

[tamba]

Всем здоровья! Трабл такой; есть домен, в коем около 60 юзверей, контроллер домена Windows 2008 Enterprise x64. Встала задача ограничить пользователей в устанавливаемых и запускаемых приложений, в частности js-файлов(запустили уже 2-ое, приняв по почте, терь сильно плачут). Есть одна обалденная вещь в GPO - политика ограниченного использования программ. Создал новую политику, связал ее с нужной группой(назвав их Others). Затем, конфигурация пользователя-Конфигурация Windows-Параметры безопасности-Политика ограниченного использования программ. И тут пошли, как мне показалось, чудеса... По идее, при уствновке уровня безопасности по умолчанию "Запрещено" должно запускаться только системные приложения и Уже установленное ПО из папки Programm Files. НО у многих пользователей работет только софт из коробки с виндой(типа блокнота) и кое что из установленного стороннего. Отрубился The Bat , Google Chrome, Opera, но почему то работает Mozila, Thanderbird и весь Office! Все остальное простите-подвинтесь, политика не позволяет. Так же запретились и bat-logon скрипты из доменной политики по умолчанию. Как вариант прокатывает сделать уровень безопасности "неограниченный", когда можно все, в той же политике в ветке "дополнительные правила" создать правила для пути или для хеша, запрещающие запуск определенного ПО, но это сколько же надо там создать, что бы не запускалось ничего кроме нужного! Думал создать разрешающие правила при уровне безопасности "Запрешено" - не срабатывают, все одно нельзя ничего.... Есть еще вариант: Конфигурация пользователя-административные шаблоны-система-система-запускать только указанные приложения Windows-включить. Но тогда в список разрешенных приложений столько всего надо добавить, вплоть до WMP и блокнота, что ай-ай... Коллеги помогите пожалуйста, как грамотно настроить данную политику, чтобы никто, к кому она применяется ни установить ничего не смог, не запустить(скажем с флешки иди приняв по почте), кроме того что уже установлено?. Хочется остановить творящуюся в сети анархию, что бы всех на коротком поводке держать.. Все клиенты Windows XP SP3.

[WindowsNT]

1. Политику делать только в Computer Configuration;

2. В политике ликвидировать тип файла LNK;

3. В политику добавить путь до логон-скриптов (скажем, \\Domain.Name\NetLogon)

http://blog.windowsnt.lv/2011/05/30/...h-srp-russian/

http://blog.windowsnt.lv/2013/07/03/...iting-russian/

[tamba]

Все, впрде разобрадся... По крайней мере на домашней машине с Win7 Ultimate x64 все заработало как надо!.... Не мог ответить на работе, ибо был занят сбором инфы, где что лежит( там много самописного софта, который запускается откуда угодно, как писавшему его программисту поставить было удобно), но все таки без дополнительных правил для пути обойтись нельзя... Только раньше не работало как я их не создавал, по тому как к пользователям на уровне компьютера пытался применить, а коли применяешь к ним же на уровне пользователей получается вообще неразбериха и хаос, как писалось выше. Причем в любом случае, даже если по хэшу правила добавлять начинал... Завтра предстоит трудная и кропотливая работа по добавлению правил для пути и хэша... спасибо WindowsNT за подсказки, посмотрим, как оно завтра выйдет...

[WindowsNT]

Цитата tamba:



чтобы никто, к кому она применяется ни установить ничего не смог

2008 - [решено] Политика ограничениого использования программ

- а вот это лучше реализовать, оставив пользователям только пользовательские права (убрать права Администратор, Опытные пользователи и т.п). Если что-то и смогут установить (типа mail.ru агента) - на параметры системы никак не повлияет.


Цитата tamba:



не запустить(скажем с флешки иди приняв по почте),

2008 - [решено] Политика ограничениого использования программ

- Даже если запустит, права пользователя опять же не дадут внести изменения в систему.


Цитата tamba:



Хочется остановить творящуюся в сети анархию, что бы всех на коротком поводке держать..

2008 - [решено] Политика ограничениого использования программ

- Опять же поможет ограничение прав.

[tamba]

Все бы хорошо, но на уровне компьютера данная политика работать не хочет, хоть после перелогина, хоть после перезагрузки...Делал и так как Вы советовали, перед этим прочел кучу статей, где все описано, как это замечательно работает.. Ан нет!!! А на уровне пользователя получается описанный выше бардак На тестовом ноутбуке вообще все позапрещалось, систему вот свежую поставил, думал мало ли чаго, так там и скрипты мои по маппингу и переименованию сетевых дисков как то работают теперь не так Медленно сползаю падстол...

[WindowsNT]

Цитата WindowsNT:

Было бы лучше, если бы вы тоже ознакомились с Software Restriction Policies (SRP)

2008 - [решено] Политика ограничениого использования программ

Я с ними очень хорошо знаком ( на моем основном сервере, например, где много критичных служб, антивируса просто нет - т.к. неоднократно бывали случаи когда он создавал проблемы в работе этих служб; и в итоге я получал от антивируса вреда больше чем пользы и сервер я обезопасил как раз с помощью SRP), просто прочитав первый пост автора, считаю что начать лучше с ограничения прав.

[__sa__nya]

Значит так: в контейнере Others(где 17 пользователей) создаю и связываю с ним новый объект GPO, под названием Test. Далее, конфигурация компьютера-конфигурация Windows-Параметры безопасности-Политика ограниченного использования программ - создать новую политику ограниченного использования программ. Далее, Уровни безопасности-делаем "Запрещено№ уровнем безопасности по умолчанию. Назначенные типы файлов, в окне выделяем LNK - удалить-ОК. И, собственно, перелогон или ребут(не важно) клиента. Все... Только по-фигу мороз..

Все как работало, так и работает дальше... Ну нет у меня уверенности, что не смотря на мои предупреждения и слова генерального на планерке об опасности, кто то не получит и не попытается открыть пакость, шифрующую файлы...

Решил потренироваться дома. Там еще причудливее: все то же самое проделываю, локальная политика мгновенно срабатывает, и... ваще ничего не работает!!! Там Windows7 Ultimate x64/ Запускается только Office. Не, RSP по сути, классный инструмент, только у меня как то не так, как я того хочу работает... Мож я что не так понял и переоценил его возможности?

[__sa__nya]

Dear tamba,

1. Вы не можете объект с настройкой Computer Configuration привязывать к OU с пользователями, он работает только для компьютеров. Это же Computer Configuration.

2. Я сказал "опишите конкретно и точно". Не можете связать два слова — показывайте снимки экрана. Чудес не бывает, где-то вы делаете не так, как в инструкции, это факт. Любой сбой типа "вообще ничего не работает" означает, что сработало конкретное правило для конкретного пути или хэша.



Компьютер — это машина, она слепо подчиняется человеку, свои фантазии не привносит.

[tamba]

Значит так: в контейнере Others(где 17 пользователей) создаю и связываю с ним новый объект GPO, под названием Test. Далее, конфигурация компьютера-конфигурация Windows-Параметры безопасности-Политика ограниченного использования программ - создать новую политику ограниченного использования программ. Далее, Уровни безопасности-делаем "Запрещено№ уровнем безопасности по умолчанию. Назначенные типы файлов, в окне выделяем LNK - удалить-ОК. И, собственно, перелогон или ребут(не важно) клиента. Все... Только по-фигу мороз..

Все как работало, так и работает дальше... Ну нет у меня уверенности, что не смотря на мои предупреждения и слова генерального на планерке об опасности, кто то не получит и не попытается открыть пакость, шифрующую файлы...

Решил потренироваться дома. Там еще причудливее: все то же самое проделываю, локальная политика мгновенно срабатывает, и... ваще ничего не работает!!! Там Windows7 Ultimate x64/ Запускается только Office. Не, RSP по сути, классный инструмент, только у меня как то не так, как я того хочу работает... Мож я что не так понял и переоценил его возможности?

[WindowsNT]

Dear tamba,

1. Вы не можете объект с настройкой Computer Configuration привязывать к OU с пользователями, он работает только для компьютеров. Это же Computer Configuration.

2. Я сказал "опишите конкретно и точно". Не можете связать два слова — показывайте снимки экрана. Чудес не бывает, где-то вы делаете не так, как в инструкции, это факт. Любой сбой типа "вообще ничего не работает" означает, что сработало конкретное правило для конкретного пути или хэша.



Компьютер — это машина, она слепо подчиняется человеку, свои фантазии не привносит.