Uso delle regole di AppLocker

Questo articolo per i professionisti IT descrive i tipi di regole di AppLocker e come usarli per i criteri di controllo delle applicazioni.

Raccolte di regole

I criteri di AppLocker sono organizzati in raccolte di regole, inclusi file eseguibili, script, file di Windows Installer, app in pacchetto e programmi di installazione di app in pacchetto e file DLL. Queste raccolte offrono un modo semplice per distinguere le regole per i diversi tipi di app. Nella tabella seguente sono elencati i formati di file inclusi in ogni raccolta di regole.

La raccolta di regole DLL non è abilitata per impostazione predefinita. Per informazioni su come abilitare la raccolta di regole DLL, vedere Raccolte di regole DLL.

Modalità di imposizione

I criteri di AppLocker impostano una modalità di imposizione per ogni raccolta di regole inclusa nei criteri. Queste modalità di imposizione sono descritte nella tabella seguente.

Quando i criteri di AppLocker vengono uniti, le regole di tutti i criteri vengono aggiunte ai criteri effettivi e viene selezionata una singola modalità di imposizione per ogni raccolta di regole. Se più criteri di AppLocker vengono applicati a un dispositivo tramite Criteri di gruppo, l'impostazione della modalità di imposizione applicata viene selezionata in base alla precedenza Criteri di gruppo. Se si applicano criteri di AppLocker in locale usando il cmdlet di PowerShell Set-AppLockerPolicy con l'opzione -merge , viene scelta la modalità di imposizione più restrittiva tra i criteri locali esistenti e i criteri uniti.

Condizioni delle regole

Le condizioni delle regole sono criteri che consentono ad AppLocker di identificare le app a cui si applica la regola. Le tre condizioni principali delle regole sono l'autore, il percorso e l'hash dei file.

• Server di pubblicazione: identifica un'app in base alla firma digitale
• Percorso: identifica un'app in base alla posizione nel file system del computer o in rete
• Hash file: rappresenta l'hash authenticode crittografico calcolato del sistema del file identificato

Pubblicato da

Questa condizione identifica un'app in base alla firma digitale e agli attributi estesi, se disponibili. La firma digitale contiene informazioni sulla società che ha creato l'app (l'editore). File eseguibili, DLL, programmi di installazione di Windows, app in pacchetto e programmi di installazione di app in pacchetto includono anche attributi estesi, ottenuti dalla risorsa binaria. Questi attributi includono spesso il nome del prodotto, il nome del file originale e il numero di versione del file come definito dal server di pubblicazione. Se sono presenti app in pacchetto e programmi di installazione di app in pacchetto, questi attributi estesi contengono il nome e la versione del pacchetto dell'app.

Quando si seleziona un file di riferimento per una condizione di pubblicazione, la procedura guidata crea una regola che specifica il server di pubblicazione, il prodotto, il nome file e il numero di versione. È possibile rendere la regola più generica spostando verso l'alto il dispositivo di scorrimento o usando un carattere jolly (*) nei campi prodotto, nome file o numero di versione.

La versione del file e la versione del pacchetto controllano se un utente può eseguire una versione specifica, versioni precedenti o versioni successive dell'app. È possibile scegliere un numero di versione e quindi configurare le opzioni seguenti:

• Esattamente. La regola si applica solo a questa versione dell'app
• E sopra. La regola si applica a questa versione e a tutte le versioni successive.
• E di seguito. La regola si applica a questa versione e a tutte le versioni precedenti.

Nella tabella seguente viene descritto come viene applicata una condizione del server di pubblicazione.

Percorso

Questa condizione della regola identifica un'applicazione in base al percorso nel file system del computer o in rete.

AppLocker usa variabili di percorso personalizzate per percorsi noti, ad esempio Programmi e Windows.

La tabella seguente descrive in dettaglio queste variabili di percorso.

Hash del file

Quando si sceglie la condizione della regola hash del file, il sistema calcola l'hash di crittografia Authenticode del file identificato. Il vantaggio di questa condizione della regola è che, poiché ogni file ha un hash univoco, una condizione della regola hash del file si applica a un solo file. Lo svantaggio è che ogni volta che il file viene aggiornato (ad esempio un aggiornamento della sicurezza o un aggiornamento) le modifiche hash del file. Di conseguenza, è necessario aggiornare manualmente le regole hash dei file.

Regole predefinite di AppLocker

I criteri di AppLocker creati con l'editor Criteri di gruppo AppLocker possono includere regole predefinite. Le regole predefinite hanno lo scopo di garantire che i file necessari per il corretto funzionamento di Windows siano consentiti in una raccolta di regole di AppLocker. Per informazioni in background, vedere Informazioni sulle regole predefinite di AppLocker e per i passaggi, vedere Creare regole predefinite di AppLocker.

I tipi di regola predefiniti eseguibili includono:

• Consentire ai membri del gruppo Administrators locale di eseguire tutte le app.
• Consenti ai membri del gruppo Everyone di eseguire app che si trovano nella cartella Windows.
• Consentire ai membri del gruppo Everyone di eseguire le app che si trovano nella cartella Programmi.

I tipi di regola predefiniti dello script includono:

• Consentire ai membri del gruppo Administrators locale di eseguire tutti gli script.
• Consentire ai membri del gruppo Everyone di eseguire script che si trovano nella cartella Programmi.
• Consenti ai membri del gruppo Everyone di eseguire script che si trovano nella cartella Windows.

I tipi di regole predefiniti di Windows Installer includono:

• Consentire ai membri del gruppo Administrators locale di eseguire tutti i file di Windows Installer.
• Consenti ai membri del gruppo Everyone di eseguire tutti i file di Windows Installer firmati digitalmente.
• Consenti ai membri del gruppo Everyone di eseguire tutti i file di Windows Installer che si trovano nella cartella Windows\Installer.

Tipi di regola predefiniti dll:

• Consentire ai membri del gruppo Administrators locale di eseguire tutte le DLL.
• Consentire ai membri del gruppo Everyone di eseguire DLL che si trovano nella cartella Programmi.
• Consenti ai membri del gruppo Everyone di eseguire DLL che si trovano nella cartella Windows.

Tipi di regole predefinite delle app in pacchetto:

• Consentire ai membri del gruppo Everyone di installare ed eseguire tutte le app in pacchetto firmate e i programmi di installazione delle app in pacchetto.

Comportamento delle regole di AppLocker

Se non vengono definite regole di AppLocker per una raccolta di regole specifica, tutti i file coperti da tale raccolta di regole possono essere eseguiti. Tuttavia, se esiste una regola per una raccolta di regole specifica, vengono eseguiti solo i file corrispondenti ad almeno una regola consentita e non corrispondenti a regole di negazione. Ad esempio, se si crea una regola eseguibile che consente l'esecuzione di .exe file in %SystemDrive%\FilePath , è possibile eseguire solo i file eseguibili che si trovano in tale percorso.

È possibile configurare una regola per l'uso di azioni consentite o negate:

• Consenti. È possibile specificare quali file possono essere eseguiti nell'ambiente e per quali utenti o gruppi di utenti. È anche possibile configurare le eccezioni per identificare i file esclusi dalla regola.
• Negare. È possibile specificare quali file non possono essere eseguiti nell'ambiente e per quali utenti o gruppi di utenti. È anche possibile configurare le eccezioni per identificare i file esclusi dalla regola.

Per una procedura consigliata, usare consenti azioni con eccezioni. Anche se è possibile usare una combinazione di azioni consenti e nega, le azioni negate vincono sempre. Non è possibile usare altre regole per consentire un file corrispondente a una regola di negazione.

Eccezioni delle regole

È possibile applicare le regole di AppLocker a singoli utenti o a un gruppo di utenti. Se si applica una regola a un gruppo di utenti, la regola influisce su tutti gli utenti del gruppo. Se è necessario consentire a un subset di un gruppo di utenti di usare un'app, è possibile creare una regola speciale per tale subset. Ad esempio, la regola "Consenti a tutti di eseguire Windows tranne registro Editor" consente a tutti gli utenti dell'organizzazione di eseguire il sistema operativo Windows, ma non consente a nessuno di eseguire Editor del Registro di sistema.

L'effetto di questa regola impedirebbe agli utenti, ad esempio al personale dell'Help Desk, di eseguire un programma necessario per le attività di supporto. Per risolvere questo problema, creare una seconda regola che si applica al gruppo di utenti dell'Help Desk: "Consenti all'Help Desk di eseguire il registro Editor". Se invece è stata usata una regola di negazione che impedisce a tutti gli utenti di eseguire Editor del Registro di sistema, la seconda regola in realtà non consente agli utenti dell'help desk di eseguire il Registro di sistema Editor.

Raccolta di regole DLL

Poiché la raccolta di regole DLL non è abilitata per impostazione predefinita, è necessario eseguire la procedura seguente prima di poter creare e applicare regole DLL.

L'appartenenza al gruppo Administrators locale, o equivalente, è il minimo necessario per completare questa procedura.

Per abilitare la raccolta di regole DLL

1. Selezionare Start, digitare secpol.msc e quindi selezionare INVIO.
2. Se viene visualizzata la finestra di dialogo Controllo account utente , verificare che l'azione visualizzata sia quella desiderata e quindi selezionare Sì.
3. Nell'albero della console fare doppio clic su Criteri di controllo applicazione, fare clic con il pulsante destro del mouse su AppLocker e quindi scegliere Proprietà.
4. Selezionare la scheda Avanzate , selezionare la casella di controllo Abilita la raccolta di regole DLL e quindi selezionare OK.

Procedure guidate di AppLocker

È possibile creare regole usando due procedure guidate di AppLocker:

1. La Creazione guidata regole consente di creare una regola alla volta.
2. La Generazione guidata regole consente di creare più regole contemporaneamente. È possibile selezionare una cartella e consentire alla procedura guidata di creare regole per tutti i file pertinenti trovati. In alternativa, per le app in pacchetto, consentire alla procedura guidata di creare regole per tutte le app in pacchetto installate nel computer. È anche possibile specificare l'utente o il gruppo a cui applicare le regole. Questa procedura guidata genera automaticamente solo regole di autorizzazione.

Altre considerazioni

• Per impostazione predefinita, le regole di AppLocker non consentono agli utenti di aprire o eseguire file non consentiti. Gli amministratori devono mantenere un elenco aggiornato delle applicazioni consentite.
• Esistono due tipi di condizioni di AppLocker che non vengono mantenute dopo un aggiornamento di un'app:
  • Una condizione hash del file Le condizioni delle regole hash dei file possono essere usate con qualsiasi app perché viene generato un valore hash di crittografia del file dell'app al momento della creazione della regola. Tuttavia, il valore hash è specifico di quella versione esatta del file. Se è necessario consentire più versioni del file, sono necessarie singole condizioni di hash del file per ogni versione del file.
  • Una condizione del server di pubblicazione con un set di versioni del prodotto specifico Se si crea una condizione della regola di pubblicazione che usa l'opzione Esattamente versione, la regola non può essere mantenuta se è installata una nuova versione dell'app. È necessario creare una nuova condizione del server di pubblicazione oppure modificare la versione nella regola per essere resa meno specifica.
• Se un'app non è firmata digitalmente, non è possibile usare una condizione della regola di pubblicazione per l'app.
• Se vengono applicate regole per la raccolta di regole EXE, è necessario creare regole nella raccolta di regole delle app in pacchetto e dei programmi di installazione delle app in pacchetto. In caso contrario, tutte le app in pacchetto e i programmi di installazione delle app in pacchetto vengono bloccati.
• Un URL configurato personalizzato può essere incluso nel messaggio visualizzato quando un'app viene bloccata.
• Si prevede un aumento del numero di chiamate al supporto tecnico quando gli utenti riscontrano app non consentite.

Contenuto della sezione