Es wird empfohlen, nur den Prüfungsmodus zu verwenden, um die Richtlinie umzusetzen und ihre Auswirkungen zu verstehen, bevor sie in der gesamten Organisation endgültig angewendet wird.
Mit AppLocker können Sie Regeln erstellen, um die Ausführung von Anwendungen zuzulassen oder zu verweigern. Mit diesem Tool können Administratoren bestimmte Regeln festlegen, um ausführbare Dateien (.exe und .com), Skripts (.js, .ps1, .vbs, .cmd und .bat) sowie Windows Installer-Dateien (.msi und .msp) zu steuern ) und DLL-Dateien (.dll und .ocx).
Beim Erstellen von DLL-Regeln muss berücksichtigt werden, dass für jede DLL, die von allen zulässigen Anwendungen verwendet wird, eine DLL-Berechtigungsregel erstellt werden muss. Wenn DLL-Regeln verwendet werden, muss AppLocker jede von einer Anwendung geladene DLL überprüfen. Daher können Benutzer bei Verwendung von DLL-Regeln eine Leistungsminderung feststellen.
Die Regeln sind in Windows Server 2008 R2 sowie in Windows 7 Ultimate und Enterprise verfügbar. Es ist möglich, Windows 7 Professional zum Erstellen der Regeln zu verwenden, die Regeln können jedoch nicht auf Windows 7 Professional-Computern angewendet werden.
Starten Sie den Anwendungsidentitätsdienst
Um AppLocker verwenden zu können, müssen Sie zuerst den Dienst “Anwendungsidentität” starten. Um diesen Dienst zu starten , gehen Sie zu Start , Systemsteuerung, Verwaltung und wählen Sie Dienste .
Suchen Sie nach dem Dienst ” Anwendungsidentität “, öffnen Sie dessen Eigenschaften, markieren Sie den Starttyp ” Automatisch “, starten Sie den Dienst und akzeptieren Sie ihn.
Regeln erstellen
Um Regeln zu erstellen, gehen Sie zu Start , Systemsteuerung, Verwaltung und wählen Sie Lokale Sicherheitsrichtlinie .
Hinweis: Wenn das Kontrollkästchen Benutzerkonto angezeigt wird, überprüfen Sie, ob die angezeigte Aktion die gewünschte ist.
Doppelklicken Sie in der Konsolenstruktur auf Anwendungssteuerungsrichtlinien und dann auf AppLocker .
Wählen Sie ” Regas erstellen “. Es ist möglich, Regeln für ausführbare Dateien, Windows Installer und Skripte zu generieren.
Wählen Sie im Fenster “Berechtigungen” die Option “Verweigern” oder “Zulassen” aus und fügen Sie den Benutzer oder die Gruppe hinzu, auf die die Regel angewendet werden soll. Wählen Sie im nächsten Fenster aus, wie die Anwendung identifiziert werden soll.
Nach der Definition der Anwendung wird die folgende Meldung angezeigt:
Wenn Sie “Ja” wählen, können wir nur die gewünschte Anwendung blockieren.