Wykorzystanie inspekcji do śledzenia aplikacji w użyciu

Opublikowano: 12 sierpnia 2010

Ustawienie wymuszenia Tylko inspekcja pomaga określić, które aplikacje są używane w organizacji. Kiedy zasady funkcji AppLocker dla zbioru reguł ustawione są na Tylko inspekcja, reguły z tego zbioru nie są wymuszone. Kiedy użytkownik uruchamia aplikację, której dotyczy reguła funkcji AppLocker, informacja na temat tej aplikacji zostaje dodana do dziennika zdarzeń funkcji AppLocker.

Jeśli reguły domyślne nie zostały utworzone i nie mają możliwości wykonywania zadań administracyjnych, uruchom ponownie komputer w trybie awaryjnym, dodaj reguły domyślne, usuń wszelkie reguły odmowy uniemożliwiające dostęp, a następnie ponownie uruchom komputer w trybie normalnym.

Niniejszy scenariusz składa się z następujących kroków:

Zawartość strony

	Krok 1: Konfigurowanie ustawienia wymuszenia inspekcji
	Krok 2: Uruchamianie usługi Tożsamość aplikacji
	Krok 3: Odświeżanie ustawień Zasad grupy na komputerze
	Krok 4: Przegląd dziennika funkcji AppLocker w Podglądzie zdarzeń

Krok 1: Konfigurowanie ustawienia wymuszenia inspekcji

Istnieją trzy tryby wymuszenia funkcji AppLocker. Gdy zasady funkcji AppLocker ulegają scaleniu, zarówno reguły, jak i tryby wymuszenia również się łączą. Podczas gdy wszystkie reguły z połączonych obiektów GPO są stosowane, w przypadku trybu wymuszenia używane jest najbliższe ustawienie obiektu GPO, z wyjątkiem ustawienia Nie skonfigurowano, które zostaje nadpisane przez inne połączone ustawienie.

Poniższa tabela wyszczególnia tryby wymuszenia.

Przed włączenie wymuszenia reguł, najpierw przetestuj reguły poprzez użycie ustawienia wymuszenia Tylko inspekcja.

Konfigurowanie ustawienia wymuszenia dla zbioru Reguł dla plików wykonywalnych na Tylko inspekcja

1. Aby otworzyć przystawkę Zasady zabezpieczeń lokalnych MMC, kliknij Start, w polu Wyszukaj programy i pliki wpisz secpol.msc, a następnie wciśnij ENTER.
2. W drzewie konsoli dwukrotnie kliknij Zasady sterowania aplikacjami, a następnie dwukrotnie kliknij AppLocker.
3. W okienku szczegółów przewiń w dół do nagłówka Konfiguruj wymuszanie reguł, a następnie kliknij Konfiguruj wymuszanie reguł.
4. W oknie dialogowym Właściwości funkcji AppLocker w Reguły dla plików wykonywalnych, kliknij Tylko inspekcja, a następnie kliknij OK.

Po utworzeniu reguł domyślnych oraz uruchomieniu trybu inspekcji, należy wdrożyć zasady testowania, w celu testowania obiektu GPO oraz określenia, które aplikacje są w użyciu.

  Do początku strony

Krok 2: Uruchamianie usługi Tożsamość aplikacji

Usługa Tożsamość aplikacji przeprowadza konwersję reguł dla zasad funkcji AppLocker. Aby można było ocenić zasady funkcji AppLocker na komputerze, uruchomiona musi zostać usługa Tożsamość aplikacji.

Aby uruchomić usługę Tożsamość aplikacji

1. Kliknij Start, w polu Wyszukaj programy i pliki wpisz services.msc, a następnie wciśnij ENTER.
2. W konsoli przystawki Usługi prawym przyciskiem myszy kliknij Tożsamość aplikacji, a następnie kliknij Właściwości.
3. W menu Typ uruchomienia kliknij Automatyczny, a następnie kliknij OK.
4. W konsoli przystawki Usługi prawym przyciskiem myszy kliknij Tożsamość aplikacji, a następnie kliknij Start, aby po raz pierwszy uruchomić usługę.

   Uwaga:
   Rozważ użycie Zasad grupy, w celu automatycznego uruchomienia usługi na wszystkich komputerach, na których planowane jest wdrożenia funkcji AppLocker. Więcej informacji na temat konfigurowania Zasad grupy znajduje się w artykuleKonfigurowanie Zasad grupy, w celu ustawienia zabezpieczeńUsług systemowych (j.ang.).

 Do początku strony

Krok 3: Odświeżanie ustawień Zasad grupy na komputerze

Po utworzeniu nowych reguł funkcji AppLocker, należy odświeżyć ustawienia Zasad grupy na komputerze, aby zagwarantować zastosowanie reguł funkcji AppLocker.

Aby odświeżyć ustawienia Zasad grupy

1. Kliknij Start, kliknij Wszystkie programy, kliknij Akcesoria, prawym przyciskiem myszy kliknij Wiersz polecenia, a następnie kliknij Uruchom jako administrator.
2. W wierszu polecenia wpisz gpupdate /force, a następnie wciśnij ENTER.
3. Zaczekaj na komunikaty potwierdzające, że zasady użytkownika oraz komputera zostały zaktualizowane, a następnie zamknij okno.

 Do początku strony

Krok 4: Przegląd dziennika funkcji AppLocker w Podglądzie zdarzeń

Dziennik funkcji AppLocker zawiera informacje na temat wszystkich aplikacji objętych regułami funkcji AppLocker. Dziennika można użyć do określenia, które aplikacje zostały objęte daną regułą. Każde zdarzenie w dzienniku operacyjnym funkcji AppLocker zawiera szczegółowe informacje na temat:

• tego, który plik jest objęty regułą oraz na temat ścieżki tego pliku.
• tego, czy plik jest dozwolony, czy zablokowany.
• typu reguły (ścieżki, skrótu pliku, lub wydawcy).
• nazwy reguły.
• Identyfikatora zabezpieczeń (SID) dla docelowego użytkownika, lub grupy.

Aby dokonać przeglądu dziennika funkcji AppLocker w Podglądzie zdarzeń

1. Kliknij Start, w polu Wyszukaj programy i pliki wpisz eventvwr.msc, a następnie wciśnij ENTER.
2. W konsoli drzewa Podglądu zdarzeń dwukrotnie kliknij Dzienniki aplikacji i usług, dwukrotnie kliknij Microsoft, dwukrotnie kliknij Windows, dwukrotnie kliknij AppLocker, a następnie kliknij EXE i DLL.
3. Przejrzyj wpisy w okienku wyników, aby sprawdzić, czy jakiekolwiek aplikacje nie zostały zawarte w regułach wygenerowanych automatycznie. Na przykład, niektóre aplikacje LOB instalowane są w niestandardowych lokalizacjach, takich jak poziom główny aktywnego dysku (C:\).

Poniższa tabela opisuje poziomy zdarzeń, jakie mogą znajdować się w dzienniku.

 Do początku strony