Permitir o registo de objetos COM numa política de Controlo de Aplicações para Empresas

O Microsoft Component Object Model (COM) é um sistema orientado para objetos, distribuído e independente da plataforma para a criação de componentes de software binário que podem interagir. COM especifica um modelo de objeto e requisitos de programação que permitem que objetos COM interajam com outros objetos.

Configurabilidade de objetos COM na política de Controlo de Aplicações

O Controlo de Aplicações para Empresas impõe uma lista de permissões incorporada para o registo de objetos COM. Embora esta lista funcione para os cenários de utilização de aplicações mais comuns, poderá ter de permitir que mais objetos COM suportem as aplicações utilizadas na sua organização. Pode especificar objetos COM permitidos através do GUID na política de Controlo de Aplicações, conforme descrito neste artigo.

• Windows 10, 1809, 18 de junho de 2019-KB4501371 (Compilação 17763.592 do SO)
• Windows 10, 1607, 18 de junho de 2019-KB4503294 (Compilação 14393.3053 do SO)

Obter GUID de objeto COM

Pode obter o GUID da aplicação COM a partir dos eventos de bloco de objetos COM 8036 no Visualizador de Eventos localizado em Registos de Aplicações e Serviços > microsoft > Windows > AppLocker > MSI e Script, e extrair o GUID dos dados do evento.

Definição de política de autor para permitir ou negar o GUID do objeto COM

Três elementos:

• Fornecedor: plataforma na qual o código está em execução (os valores são PowerShell, WSH, IE, VBA, MSI ou um caráter universal "AllHostIds")
• Chave: GUID para o programa que pretende executar, no formato Key="{33333333-4444-4444-1616-161616161616}"
• ValueName: tem de ser definido como "EnterpriseDefinedClsId"

Um atributo:

• Valor: tem de ser "verdadeiro" para permitir e "falso" para negar

  Observação

  Negar só funciona em políticas de base, não em políticas suplementares

• A definição tem de ser colocada na ordem dos valores ASCII (primeiro por Fornecedor e, em seguida, Chave e, em seguida, ValueName)

Múltiplas considerações de política

À semelhança dos ficheiros executáveis, os objetos COM têm de transmitir todas as políticas de Controlo de Aplicações impostas no sistema para execução. Por exemplo, se o objeto COM em avaliação passar mais, mas não todas as políticas de Controlo de Aplicações, o objeto COM será bloqueado. Se estiver a utilizar uma combinação de políticas base e suplementares, o objeto COM só tem de estar na lista de permissões na política base ou numa das políticas suplementares.

Exemplos

Exemplo 1: permite o registo de todos os GUIDs de objeto COM em qualquer fornecedor

<Setting Provider="AllHostIds" Key="AllKeys" ValueName="EnterpriseDefinedClsId">
  <Value>
    <Boolean>true</Boolean>
  </Value>
</Setting>

Exemplo 2: impede que um objeto COM específico seja registado através da Internet Explorer (IE)

<Setting Provider="IE" Key="{00000000-4444-4444-1616-161616161616}" ValueName="EnterpriseDefinedClsId">
  <Value>
    <Boolean>false</Boolean>
  </Value>
</Setting>

Exemplo 3: permite que um objeto COM específico se registe no PowerShell

<Setting Provider="PowerShell" Key="{33333333-4444-4444-1616-161616161616}" ValueName="EnterpriseDefinedClsId">
  <Value>
    <Boolean>true</Boolean>
  </Value>
</Setting>

Como configurar as definições para os CLSIDs

Eis um exemplo de um erro no Visualizador de Eventos encontrado em Registos de Aplicações e Serviços > microsoft > Windows > AppLocker > MSI e Script:

Nome do Registo: Microsoft-Windows-AppLocker/MSI e Script
Origem: Microsoft-Windows-AppLocker
Data: 11/11/2020 13:18:11
ID do Evento: 8036
Categoria da Tarefa: Nenhuma
Nível: Erro
Palavras-chave:
Utilizador: S-1-5-21-3340858017-3068726007-3466559902-3647
Computador: contoso.com
Descrição: {f8d253d9-89a4-4daa-87b6-1168369f0b21} foi impedido de ser executado devido à política config CI.

XML do evento:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-AppLocker" Guid="{cbda4dbf-8d5d-4f69-9578-be14aa540d22}" />
    <EventID>8036</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x4000000000000000</Keywords>
    <TimeCreated SystemTime="2020-11-11T13:18:11.4029179Z" />
    <EventRecordID>819347</EventRecordID>
    <Correlation ActivityID="{61e3e871-adb0-0047-c9cc-e761b0add601}" />
    <Execution ProcessID="21060" ThreadID="23324" />
    <Channel>Microsoft-Windows-AppLocker/MSI and Script</Channel>
    <Computer>contoso.com</Computer>
    <Security UserID="S-1-5-21-3340858017-3068726007-3466559902-3647" />
  </System>
  <EventData>
    <Data Name="IsApproved">false</Data>
    <Data Name="CLSID">{f8d253d9-89a4-4daa-87b6-1168369f0b21}</Data>
  </EventData>
</Event>

Para adicionar este CLSID à política existente, siga estes passos:

1. Abra o ISE do PowerShell com privilégios administrativos.

2. Copie e edite este comando e, em seguida, execute-o a partir do ISE do PowerShell de administrador. Considere o nome da política como AppControl_policy.xml.

   PS C:\WINDOWS\system32> Set-CIPolicySetting -FilePath <path to policy xml>\AppControl_policy.xml -Key "{f8d253d9-89a4-4daa-87b6-1168369f0b21}" -Provider WSH -Value true -ValueName EnterpriseDefinedClsId -ValueType Boolean
   

   Depois de executar o comando, localize a secção seguinte adicionada ao XML da política.

   <Settings>
     <Setting Provider="WSH" Key="{f8d253d9-89a4-4daa-87b6-1168369f0b21}" ValueName="EnterpriseDefinedClsId">
       <Value>
         <Boolean>true</Boolean>
       </Value>
     </Setting>
   

Lista de permissões de Objeto COM Predefinido

A tabela que se segue descreve a lista de objetos COM que são inerentemente fidedignos no Controlo de Aplicações para Empresas. Os objetos nesta lista não precisam de estar na lista de permissões nas políticas de Controlo de Aplicações. Podem ser negadas ao criar regras de negação explícitas na política de Controlo de Aplicações.