Trabalhando com regras do AppLocker

Este artigo para profissionais de TI descreve os tipos de regras do AppLocker e como trabalhar com os mesmos para as suas políticas de controlo de aplicações.

Coleções de regras

As políticas do AppLocker estão organizadas em coleções de regras, incluindo ficheiros executáveis, scripts, ficheiros do Windows Installer, aplicações em pacote e instaladores de aplicações em pacote e ficheiros DLL. Estas coleções proporcionam-lhe uma forma fácil de diferenciar as regras para diferentes tipos de aplicações. A tabela seguinte lista os formatos de ficheiro incluídos em cada coleção de regras.

A coleção de regras DLL não está ativada por predefinição. Para saber como ativar a coleção de regras DLL, veja Coleções de regras DLL.

Modos de imposição

As políticas do AppLocker definem um modo de imposição para cada coleção de regras incluída na política. Estes modos de imposição estão descritos na tabela seguinte.

Quando as políticas do AppLocker são intercaladas, as regras de todas as políticas são adicionadas à política efetiva e é selecionado um único modo de imposição para cada coleção de regras. Se forem aplicadas múltiplas políticas AppLocker a um dispositivo através de Política de Grupo, a definição do modo de imposição aplicada é selecionada com base na precedência Política de Grupo. Se aplicar uma política appLocker localmente através do cmdlet Set-AppLockerPolicy PowerShell com a opção -merge , o modo de imposição mais restritivo é escolhido entre a política local existente e a política que está a ser intercalada.

Condições da regra

As condições da regra são critérios que ajudam o AppLocker a identificar as aplicações às quais a regra se aplica. As três condições principais da regra são o fabricante, o caminho e o hash de ficheiro.

• Publicador: identifica uma aplicação com base na respetiva assinatura digital
• Caminho: identifica uma aplicação pela respetiva localização no sistema de ficheiros do computador ou na rede
• Hash de ficheiro: representa o hash authenticode criptográfico calculado pelo sistema do ficheiro identificado

Editor

Esta condição identifica uma aplicação com base na respetiva assinatura digital e atributos expandidos quando disponível. A assinatura digital contém informações sobre a empresa que criou a aplicação (o publicador). Os ficheiros executáveis, dlls, instaladores do Windows, aplicações em pacote e instaladores de aplicações em pacote também incluem atributos expandidos, que são obtidos a partir do recurso binário. Estes atributos incluem frequentemente o nome do produto, o nome do ficheiro original e o número da versão do ficheiro, conforme definido pelo publicador. Se existirem aplicações em pacote e instaladores de aplicações em pacote, estes atributos expandidos contêm o nome e a versão do pacote de aplicação.

Quando seleciona um ficheiro de referência para uma condição de publicador, o assistente cria uma regra que especifica o publicador, o produto, o nome do ficheiro e o número da versão. Pode tornar a regra mais genérica ao mover para cima o controlo de deslize ou ao utilizar um caráter universal (*) nos campos produto, nome do ficheiro ou número de versão.

A Versão do ficheiro e a Versão do pacote controlam se um utilizador pode executar uma versão específica, versões anteriores ou versões posteriores da aplicação. Pode escolher um número de versão e, em seguida, configurar as seguintes opções:

• Exatamente. A regra aplica-se apenas a esta versão da aplicação
• E acima. A regra aplica-se a esta versão e a todas as versões posteriores.
• E abaixo. A regra aplica-se a esta versão e a todas as versões anteriores.

A tabela seguinte descreve como uma condição de publicador é aplicada.

Caminho

Esta condição de regra identifica uma aplicação pela respetiva localização no sistema de ficheiros do computador ou na rede.

O AppLocker utiliza variáveis de caminho personalizadas para caminhos bem conhecidos, como Ficheiros de Programa e Windows.

A tabela seguinte detalha estas variáveis de caminho.

Hash de ficheiro

Quando escolhe a condição da regra hash de ficheiro, o sistema calcula o hash criptográfico Authenticode do ficheiro identificado. A vantagem desta condição de regra é que, uma vez que cada ficheiro tem um hash exclusivo, uma condição de regra hash de ficheiro aplica-se apenas a um ficheiro. A desvantagem é que sempre que o ficheiro é atualizado (como uma atualização de segurança ou atualização) o hash do ficheiro é alterado. Como resultado, tem de atualizar manualmente as regras de hash de ficheiros.

Regras predefinidas do AppLocker

As políticas appLocker criadas com o editor de Política de Grupo appLocker podem incluir regras predefinidas. As regras predefinidas destinam-se a ajudar a garantir que os ficheiros necessários para que o Windows funcione corretamente são permitidos numa coleção de regras do AppLocker. Para obter informações, veja Compreender as regras predefinidas do AppLocker e, para obter os passos, veja Criar regras predefinidas do AppLocker.

Os tipos de regras predefinidas executáveis incluem:

• Permitir que os membros do grupo administradores local executem todas as aplicações.
• Permitir que os membros do grupo Todos executem aplicações localizadas na pasta Do Windows.
• Permitir que os membros do grupo Todos executem aplicações localizadas na pasta Ficheiros do Programa.

Os tipos de regras predefinidas de script incluem:

• Permitir que os membros do grupo administradores local executem todos os scripts.
• Permitir que os membros do grupo Todos executem scripts localizados na pasta Ficheiros do Programa.
• Permitir que os membros do grupo Todos executem scripts localizados na pasta do Windows.

Os tipos de regras predefinidos do Windows Installer incluem:

• Permitir que os membros do grupo de Administradores local executem todos os ficheiros do Windows Installer.
• Permitir que os membros do grupo Todos executem todos os ficheiros do Windows Installer assinados digitalmente.
• Permitir que os membros do grupo Todos executem todos os ficheiros do Windows Installer localizados na pasta Windows\Installer.

Tipos de regras predefinidas de DLL:

• Permitir que os membros do grupo de Administradores local executem todos os DLLs.
• Permitir que os membros do grupo Todos executem DLLs localizados na pasta Ficheiros do Programa.
• Permitir que os membros do grupo Todos executem DLLs localizados na pasta do Windows.

Tipos de regras predefinidas de aplicações em pacote:

• Permitir que os membros do grupo Todos instalem e executem todas as aplicações em pacote assinadas e os instaladores de aplicações em pacote.

Comportamento da regra do AppLocker

Se não forem definidas regras do AppLocker para uma coleção de regras específica, todos os ficheiros abrangidos por essa coleção de regras podem ser executados. No entanto, se existir alguma regra para uma coleção de regras específica, apenas os ficheiros que correspondem a, pelo menos, uma regra de permissão e que não correspondem a nenhuma regra de negação são executados. Por exemplo, se criar uma regra executável que permita a execução de ficheiros .exe no %SystemDrive%\FilePath , apenas os ficheiros executáveis localizados nesse caminho podem ser executados.

Uma regra pode ser configurada para utilizar ações de permissão ou negação:

• Permitir. Pode especificar os ficheiros que podem ser executados no seu ambiente e para os quais os utilizadores ou grupos de utilizadores. Também pode configurar exceções para identificar ficheiros excluídos da regra.
• Negar. Pode especificar os ficheiros que não têm permissão para ser executados no seu ambiente e para os utilizadores ou grupos de utilizadores. Também pode configurar exceções para identificar ficheiros excluídos da regra.

Para uma melhor prática, utilize ações de permissão com exceções. Embora possa utilizar uma combinação de ações de permissão e negação, as ações de negação ganham sempre. Não pode utilizar qualquer outra regra para permitir um ficheiro que corresponda a uma regra de negação.

Exceções de regras

Pode aplicar regras do AppLocker a utilizadores individuais ou a um grupo de utilizadores. Se aplicar uma regra a um grupo de utilizadores, a regra afetará todos os utilizadores nesse grupo. Se precisar de permitir que um subconjunto de um grupo de utilizadores utilize uma aplicação, pode criar uma regra especial para esse subconjunto. Por exemplo, a regra "Permitir que todas as pessoas executem o Windows, exceto Editor de Registo" permite que todas as pessoas na organização executem o sistema operativo Windows, mas não permite que ninguém execute Editor de Registo.

O efeito desta regra impediria que utilizadores como o pessoal do Suporte Técnico executassem um programa necessário para as respetivas tarefas de suporte. Para resolve este problema, crie uma segunda regra que se aplique ao grupo de utilizadores do Suporte Técnico: "Permitir que o Suporte Técnico execute Editor de Registo". Se, em vez disso, utilizou uma regra de negação que impede todos os utilizadores de executar o Registo Editor, a segunda regra não permitirá que os utilizadores do suporte técnico executem Editor de Registo.

Coleção de regras DLL

Uma vez que a coleção de regras DLL não está ativada por predefinição, tem de efetuar o seguinte procedimento antes de poder criar e impor regras DLL.

A associação ao grupo local Administradores , ou equivalente, é o mínimo necessário para concluir este procedimento.

Para ativar a coleção de regras DLL

1. Selecione Iniciar, escreva secpol.msc e, em seguida, selecione ENTER.
2. Se for apresentada a caixa de diálogo Controlo de Conta de Utilizador , confirme que a ação apresentada é a que pretende e, em seguida, selecione Sim.
3. Na árvore da consola, faça duplo clique em Políticas de Controlo de Aplicações, clique com o botão direito do rato em AppLocker e, em seguida, selecione Propriedades.
4. Selecione o separador Avançadas, selecione a caixa ativar a coleção de regras DLL marcar e, em seguida, selecione OK.

Assistentes do AppLocker

Pode criar regras com dois assistentes do AppLocker:

1. O Assistente para Criar Regras permite-lhe criar uma regra de cada vez.
2. O Assistente para Gerar Regras Automaticamente permite-lhe criar múltiplas regras de uma só vez. Pode selecionar uma pasta e permitir que o assistente crie regras para quaisquer ficheiros relevantes encontrados. Em alternativa, para aplicações em pacote, permita que o assistente crie regras para todas as aplicações em pacote instaladas no computador. Também pode especificar o utilizador ou grupo ao qual pretende aplicar as regras. Este assistente gera automaticamente apenas regras de permissão.

Outras considerações

• Por predefinição, as regras do AppLocker não permitem que os utilizadores abram ou executem ficheiros que não sejam permitidos. Os administradores devem manter uma lista atualizada de aplicações permitidas.
• Existem dois tipos de condições do AppLocker que não persistem após uma atualização de uma aplicação:
  • Uma condição hash de ficheiro As condições da regra hash de ficheiro podem ser utilizadas com qualquer aplicação porque é gerado um valor hash criptográfico do ficheiro de aplicação no momento em que a regra é criada. No entanto, o valor hash é específico para essa versão exata do ficheiro. Se precisar de permitir várias versões do ficheiro, precisa de condições de hash de ficheiros individuais para cada versão do ficheiro.
  • Uma condição de publicador com um conjunto de versões de produto específico Se criar uma condição de regra de publicador que utilize a opção Versão exata , a regra não poderá persistir se estiver instalada uma nova versão da aplicação. Tem de ser criada uma nova condição de publicador ou a versão tem de ser editada na regra para ser menos específica.
• Se uma aplicação não estiver assinada digitalmente, não poderá utilizar uma condição de regra de publicador para essa aplicação.
• Se forem impostas regras para a coleção de regras EXE, tem de criar regras na coleção de regras de instaladores de aplicações em pacote e aplicações em pacote. Caso contrário, todas as aplicações em pacote e os instaladores de aplicações em pacote são bloqueados.
• Um URL configurado personalizado pode ser incluído na mensagem que é apresentada quando uma aplicação é bloqueada.
• Espere um aumento no número de chamadas do Suporte Técnico quando os utilizadores encontrarem aplicações que não são permitidas.

Nesta seção