ข้อ จำกัด ของซอฟต์แวร์ GPO สำหรับ Windows 2003


9

เรากำลังเรียกใช้ฟาร์มเทอร์มินัลเซิร์ฟเวอร์ในโดเมน Windows 2003 และฉันพบปัญหากับการตั้งค่า GPO ของซอฟต์แวร์ที่ จำกัด ที่ใช้กับเซิร์ฟเวอร์ TS ของเรา นี่คือรายละเอียดของการกำหนดค่าของเราและปัญหา:

เซิร์ฟเวอร์ทั้งหมดของเรา (ตัวควบคุมโดเมนและเซิร์ฟเวอร์เทอร์มินัล) กำลังเรียกใช้ Windows Server 2003 SP2 และทั้งโดเมนและฟอเรสต์อยู่ในระดับ Windows 2003 เซิร์ฟเวอร์ TS ของเราอยู่ใน OU ที่เรามีการเชื่อมโยง GPO เฉพาะและมีการบล็อกการสืบทอดดังนั้นเฉพาะ GPO เฉพาะของ TS จะถูกนำไปใช้กับเซิร์ฟเวอร์ TS เหล่านี้ ผู้ใช้ของเราอยู่ห่างไกลและไม่ได้เข้าร่วมเวิร์กสเตชันกับโดเมนของเราดังนั้นเราจึงไม่ใช้การประมวลผลนโยบายย้อนกลับ เราใช้วิธี "รายการที่อนุญาต" เพื่ออนุญาตให้ผู้ใช้เรียกใช้แอปพลิเคชันดังนั้นเฉพาะแอปพลิเคชันที่เราอนุมัติและเพิ่มเป็นเส้นทางหรือกฎแฮชเท่านั้นที่สามารถเรียกใช้ เรามีระดับความปลอดภัยในข้อ จำกัด ซอฟต์แวร์ที่ตั้งค่าเป็นไม่อนุญาตและการบังคับใช้ถูกตั้งค่าเป็น "ไฟล์ซอฟต์แวร์ทั้งหมดยกเว้นไลบรารี"

สิ่งที่ฉันพบคือถ้าฉันให้ทางลัดแก่ผู้ใช้แอปพลิเคชันพวกเขาสามารถเปิดแอปพลิเคชันได้แม้ว่าจะไม่ได้อยู่ในรายการกฎเพิ่มเติมของแอปพลิเคชัน "รายการที่อนุญาต" ถ้าฉันให้สำเนาของไฟล์ปฏิบัติการหลักแก่ผู้ใช้และพวกเขาพยายามที่จะเปิดมันพวกเขาจะได้รับข้อความ "โปรแกรมนี้ถูก จำกัด ... " ดูเหมือนว่าข้อ จำกัด ของซอฟต์แวร์นั้นใช้งานได้จริงยกเว้นเมื่อผู้ใช้เปิดใช้งานแอปพลิเคชันโดยใช้ทางลัดแทนการเรียกใช้แอปพลิเคชันจากตัวปฏิบัติการหลักเองซึ่งดูเหมือนว่าจะขัดแย้งกับวัตถุประสงค์ของการใช้ข้อ จำกัด ซอฟต์แวร์

คำถามของฉันคือ: มีคนอื่นเห็นพฤติกรรมนี้หรือไม่? ใครสามารถทำซ้ำพฤติกรรมนี้ ฉันขาดอะไรในการทำความเข้าใจข้อ จำกัด ซอฟต์แวร์หรือไม่ เป็นไปได้หรือไม่ที่ฉันมีบางสิ่งที่กำหนดค่าผิดพลาดในข้อ จำกัด ของซอฟต์แวร์

แก้ไข

เพื่อชี้แจงปัญหาเล็กน้อย:

ไม่มีการบังคับใช้ GPO ระดับที่สูงขึ้น การเรียกใช้ gpresults แสดงให้เห็นว่าอันที่จริงมีเพียงการใช้ GPO ระดับ TS เท่านั้นและฉันสามารถเห็นการ จำกัด ซอฟต์แวร์ของฉันได้ ไม่มีการใช้สัญลักษณ์แทนพา ธ ฉันกำลังทดสอบกับแอปพลิเคชันที่เป็น "C: \ Program Files \ Application \ executable.exe" และโปรแกรมที่ปฏิบัติการไม่ได้อยู่ในเส้นทางหรือกฎแฮช หากผู้ใช้เรียกใช้งานแอปพลิเคชันหลักที่สามารถเรียกทำงานได้โดยตรงจากโฟลเดอร์ของแอปพลิเคชันข้อ จำกัด ของซอฟต์แวร์จะถูกบังคับ หากฉันให้ทางลัดแก่ผู้ใช้ที่ชี้ไปยังแอปพลิเคชันที่สามารถเรียกใช้งานได้ที่ "C: \ Program Files \ Application \ executable.exe" จากนั้นผู้ใช้จะสามารถเปิดโปรแกรมได้

แก้ไข

นอกจากนี้ไฟล์ LNK จะแสดงรายการอยู่ในประเภทไฟล์ที่กำหนดดังนั้นจึงควรถือว่าไฟล์เหล่านั้นเป็นไฟล์ปฏิบัติการซึ่งควรหมายความว่าไฟล์เหล่านั้นถูกผูกไว้ด้วยการตั้งค่าและกฎข้อ จำกัด ของซอฟต์แวร์เดียวกัน


คุณมี GPOs ใด ๆ ในระดับสูงกว่า OUs หรือในระดับโดเมนที่มีการบังคับใช้หรือไม่ ฉันจะตรวจสอบเส้นทางที่มีอักขระตัวแทนหรืออาจอนุญาตให้ดำเนินการจากเส้นทางที่มีทางลัดอยู่ในนั้น
Chris S

@Chris S: ดูการแก้ไขของฉัน
joeqwerty

คุณได้ทำ "gpresult / z / user dom \ user" และดูผลลัพธ์อย่างระมัดระวังหรือไม่?
tony roth

ใช่. ฉันไม่เห็นอะไรเลยที่ทำให้ฉันเข้าใจถึงสาเหตุ ขอบคุณสำหรับคำแนะนำ
joeqwerty

@joeqwerty, joeqwerty ควรจะหมายถึงอะไร?
Pacerier

คำตอบ:


5

ในที่สุดฉันก็พบคำตอบ ในกฎข้อ จำกัด ซอฟต์แวร์ของเรามีกฎเส้นทางดังนี้:

% HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ ProgramFilesDir%

สิ่งนี้อนุญาตให้เรียกใช้งานได้ใด ๆ ภายในไดเร็กทอรี Program Files และเป็นไดเร็กทอรีย่อยเพื่อรันแบบไม่มีภาระ เส้นทางนี้ถูกเพิ่มโดยค่าเริ่มต้นเมื่อคุณกำหนดค่าข้อ จำกัด ซอฟต์แวร์ การลบกฏพา ธ นี้ทำให้ programd ทั้งหมดถูกปฏิเสธแม้ว่าความสามารถในการปฏิบัติการนั้นจะถูกเพิ่มอย่างชัดเจนว่าเป็นพา ธ ที่ไม่ จำกัด

คำถามใดที่: ถ้า 99% ของโปรแกรมทั้งหมดถูกติดตั้งในไดเรกทอรี Program Files แต่ฉันต้องการ จำกัด บางโปรแกรมฉันจะทำสิ่งนี้ด้วย Software Restrictions ได้อย่างไร

คำถามที่สำคัญเท่าเทียมกันคือข้อ จำกัด ของซอฟต์แวร์ที่ดีอะไรยกเว้นโปรแกรมหรือไฟล์ปฏิบัติการที่ไม่ได้อยู่ในไฟล์โปรแกรม


0

ฉันจะตรวจสอบ ACL ทางลัดที่คุณสร้างขึ้นสำหรับผู้ใช้ ตามนโยบายข้อ จำกัด ซอฟต์แวร์แนวทางปฏิบัติที่ดีที่สุด: นโยบายความปลอดภัย; บริการรักษาความปลอดภัย ,

ผู้ใช้อาจพยายามหลีกเลี่ยงนโยบาย จำกัด ซอฟต์แวร์โดยการเปลี่ยนชื่อหรือย้ายไฟล์ที่ไม่อนุญาตหรือโดยการเขียนทับไฟล์ที่ไม่ จำกัด ดังนั้นขอแนะนำให้คุณใช้รายการควบคุมการเข้าถึง (ACLs) เพื่อปฏิเสธการเข้าถึงที่จำเป็นสำหรับผู้ใช้ในการทำงานเหล่านี้


ผู้ใช้ไม่มีสิทธิ์เข้าถึงเพื่อดำเนินการดังนั้นฉันจึงไม่คิดว่าจะมีผล ขอบคุณ
joeqwerty

0

คุณอาจต้องการลองลบ LNK เป็นประเภทไฟล์ที่กำหนด แม้ว่าพวกเขาจะได้รับการปฏิบัติเหมือนเป็นปฏิบัติการ แต่ก็ไม่ควรเป็นเช่นนั้น วิธีนี้ข้อ จำกัด ของซอฟต์แวร์ควรจะถูกนำไปใช้กับไฟล์ที่ปฏิบัติการได้ซึ่งกำหนดเป้าหมายโดยไฟล์ LNK ไม่ใช่ไฟล์ LNK


อืม ... ฉันไม่คิดว่าจะลอง ฉันจะให้มันหมุนและแจ้งให้คุณทราบว่ามันทำงาน
joeqwerty

0

ฉันพบสิ่งที่คุณพูดถึง - มันน่ารำคาญมาก ฉันค่อนข้างมั่นใจว่าผู้ใช้ของคุณจะได้รับอนุญาตให้เรียกใช้แอพที่ติดตั้งในไฟล์โปรแกรม

คุณลอง จำกัด การเข้าถึงแอพพลิเคชั่นด้วยสิทธิ์ NTFS และรายชื่อสีขาวอย่างนั้นหรือไม่?

จากนั้นผู้ใช้สามารถมีทางลัดไปยังสิ่งที่พวกเขาต้องการและมันจะไม่ช่วยให้พวกเขาเพราะพวกเขาจะไม่สามารถเข้าถึงโปรแกรม

Ref: http://www.virtualizationadmin.com/articles-tutorials/terminal-services/security/locking-down-windows-terminal-services.html

โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.