软件限制策略详解.ppt

软 件 限 制 策 略 (Win2003特有) 谭鸣钟;1.软件限制策略概论： “软件限制策略”就是来限制用户对软件的运行的。 1.1软件限制策略的优先级： 他是利用组策略GPO来 设置的,所以可以在本地计算机、站点、域和OU等不同地方来设置。优先级由低到高： 本地计算机策略 站点策略 域策略 OU策略;1.2 软件限制策略的规则： 分为两种安全级别： 1、不受限制的（unrestricted）：既登录用户可以运行指定的软件（还要考虑NTFS的权限问题当然）。 2、不允许（disallowed）：不论用户对文件有那种访问权限，都不允许访问。 默认的为“不受限制”的，但我们可以通过“哈希规则”、“证书规则”、“路径规则”、“Internet区域规则”等4种规则来建立例外的安全级别。;1、哈希规则： “哈希（hash）”是根据软件程序内容计算出来的一连串固定数目的字节。因为是根据软件程序算出的，所以不同的软件有着不同的“哈希”值。 在为某个软件建立哈希规则，限制用户不允许运行此软件时，系统就会为他建立一个哈希值。当用户运行此软件时，计算机就会对比此哈希值，是否相同，如果相同，就拒绝此软件的运行。 而且软件的名称、存储地址，不会影响哈希规则。但当软件内容改变（如中毒），则将不在受哈希规则的约束。;2、证书规则： 我们也可以通过“签署证书”辨别软件。 但他只适用于 .msi 与脚本（scripts）,不适用于 .exe或.dll的程序。 3、路径规则： 可以通过软件所在路径来辩识软件，例如指定用户可以运行位于某个文件夹内的软件。但路径可以改变，所以当改变时，将不在受此限制。当然还可以通过注册表的路径来辩识软件。;4、Internet区域规则： 可以利用软件所在的“Internet区域”来辩识软件。其区域包括计算机、受信任站点、受限制的站点与Internet .如可以让用户不能运行“受限制的站点”内的软件。 处本地计算机外，其余的可以通过 IE——工具——Internet选项——安全 来设定。 他们之间的优先级别由高到低： 哈希规则 证书规则 路径规则 Internet区域规则 ;2.启动软件限制策略： 可以在本地计算机、站点、域与OU等4个不同的地方来设置软件的限制策略。;2.1 建立哈希规则: 其他规则——新建哈希规则——浏览（哪个软件）;现在命令提示符将不能使用….;2.2建立证书规则: 其他规则——新建证书规则 ;2.3新建路径规则： 其他规则——新建路径规则;2.4新建Internet区域规则： 其他规则——新建Internet区域规则;小结： 作业：;;;;;;;;;;;;