Arbeiten mit AppLocker-Regeln

In diesem Artikel für IT-Experten werden AppLocker-Regeltypen und deren Verwendung für Ihre Anwendungssteuerungsrichtlinien beschrieben.

Regelsammlungen

AppLocker-Richtlinien sind in Regelsammlungen organisiert, einschließlich ausführbarer Dateien, Skripts, Windows Installer-Dateien, gepackte Apps und gepackte App-Installationsprogramme sowie DLL-Dateien. Diese Sammlungen bieten Ihnen eine einfache Möglichkeit, die Regeln für verschiedene Arten von Apps zu unterscheiden. In der folgenden Tabelle sind die Dateiformate aufgeführt, die in den einzelnen Regelsammlungen enthalten sind.

Die DLL-Regelsammlung ist standardmäßig nicht aktiviert. Informationen zum Aktivieren der DLL-Regelsammlung finden Sie unter DLL-Regelsammlungen.

Erzwingungsmodi

AppLocker-Richtlinien legen einen Erzwingungsmodus für jede Regelsammlung fest, die in der Richtlinie enthalten ist. Diese Erzwingungsmodi werden in der folgenden Tabelle beschrieben.

Wenn AppLocker-Richtlinien zusammengeführt werden, werden die Regeln aus allen Richtlinien der effektiven Richtlinie hinzugefügt, und für jede Regelsammlung wird ein einzelner Erzwingungsmodus ausgewählt. Wenn mehrere AppLocker-Richtlinien über Gruppenrichtlinie auf ein Gerät angewendet werden, wird die Einstellung des angewendeten Erzwingungsmodus basierend auf Gruppenrichtlinie Rangfolge ausgewählt. Wenn Sie eine AppLocker-Richtlinie lokal mithilfe des Set-AppLockerPolicy PowerShell-Cmdlets mit der Option -merge anwenden, wird der restriktivere Erzwingungsmodus zwischen der vorhandenen lokalen Richtlinie und der richtlinie ausgewählt, die zusammengeführt wird.

Regelbedingungen

Regelbedingungen sind Kriterien, die AppLocker dabei helfen, die Apps zu identifizieren, für die die Regel gilt. Die drei primären Regelbedingungen sind Herausgeber, Pfad und Dateihash.

• Herausgeber: Identifiziert eine App basierend auf ihrer digitalen Signatur
• Pfad: Identifiziert eine App anhand ihres Speicherorts im Dateisystem des Computers oder im Netzwerk.
• Dateihash: Stellt den vom System berechneten kryptografischen Authenticode-Hash der identifizierten Datei dar.

Herausgeber

Diese Bedingung identifiziert eine App basierend auf ihrer digitalen Signatur und erweiterten Attributen, sofern verfügbar. Die digitale Signatur enthält Informationen über das Unternehmen, das die App erstellt hat (den Herausgeber). Ausführbare Dateien, DLLs, Windows-Installer, gepackte Apps und gepackte App-Installationsprogramme enthalten auch erweiterte Attribute, die von der binären Ressource abgerufen werden. Diese Attribute enthalten häufig den Namen des Produkts, den ursprünglichen Dateinamen und die Versionsnummer der Datei, wie vom Herausgeber definiert. Wenn gepackte Apps und gepackte App-Installationsprogramme vorhanden sind, enthalten diese erweiterten Attribute den Namen und die Version des App-Pakets.

Wenn Sie eine Verweisdatei für eine Herausgeberbedingung auswählen, erstellt der Assistent eine Regel, die den Herausgeber, das Produkt, den Dateinamen und die Versionsnummer angibt. Sie können die Regel generischer gestalten, indem Sie den Schieberegler nach oben bewegen oder ein Platzhalterzeichen (*) in den Feldern "Produkt", "Dateiname" oder "Versionsnummer" verwenden.

Die Dateiversion und paketversion steuern, ob ein Benutzer eine bestimmte Version, frühere Versionen oder höhere Versionen der App ausführen kann. Sie können eine Versionsnummer auswählen und dann die folgenden Optionen konfigurieren:

• Genau. Die Regel gilt nur für diese Version der App.
• Und darüber hinaus. Die Regel gilt für diese Version und alle höheren Versionen.
• Und weiter unten. Die Regel gilt für diese Version und alle früheren Versionen.

In der folgenden Tabelle wird beschrieben, wie eine Herausgeberbedingung angewendet wird.

Pfad

Diese Regelbedingung identifiziert eine Anwendung anhand ihres Speicherorts im Dateisystem des Computers oder im Netzwerk.

AppLocker verwendet benutzerdefinierte Pfadvariablen für bekannte Pfade wie Programme und Windows.

In der folgenden Tabelle sind diese Pfadvariablen aufgeführt.

Dateihash

Wenn Sie die Dateihashregelbedingung auswählen, berechnet das System den kryptografischen Authenticode-Hash der identifizierten Datei. Der Vorteil dieser Regelbedingung besteht darin, dass eine Dateihashregelbedingung nur für eine Datei gilt, da jede Datei über einen eindeutigen Hash verfügt. Der Nachteil besteht darin, dass sich bei jeder Aktualisierung der Datei (z. B. ein Sicherheitsupdate oder Upgrade) der Hash der Datei ändert. Daher müssen Sie Dateihashregeln manuell aktualisieren.

AppLocker-Standardregeln

AppLocker-Richtlinien, die mit dem AppLocker-Gruppenrichtlinie-Editor erstellt wurden, können Standardregeln enthalten. Standardregeln sollen sicherstellen, dass die Dateien, die für den ordnungsgemäßen Betrieb von Windows erforderlich sind, in einer AppLocker-Regelsammlung zulässig sind. Hintergrundinformationen finden Sie unter Grundlegendes zu AppLocker-Standardregeln und schritte unter Erstellen von AppLocker-Standardregeln.

Ausführbare Standardregeltypen umfassen:

• Zulassen, dass Mitglieder der lokalen Administratorgruppe alle Apps ausführen können.
• Zulassen, dass Mitglieder der Gruppe Jeder Apps ausführen können, die sich im Windows-Ordner befinden.
• Mitgliedern der Gruppe Jeder das Ausführen von Apps erlauben, die sich im Ordner "Programme" befinden.

Zu den Standardregeltypen von Skripts gehören:

• Zulassen, dass Mitglieder der lokalen Administratorgruppe alle Skripts ausführen können.
• Zulassen, dass Mitglieder der Gruppe Jeder Skripts ausführen können, die sich im Ordner "Programme" befinden.
• Zulassen, dass Mitglieder der Gruppe Jeder Skripts ausführen können, die sich im Windows-Ordner befinden.

Zu den Standardregeltypen von Windows Installer gehören:

• Zulassen, dass Mitglieder der lokalen Administratorgruppe alle Windows Installer-Dateien ausführen können.
• Mitgliedern der Gruppe Jeder erlauben, alle digital signierten Windows Installer-Dateien auszuführen.
• Mitgliedern der Gruppe Jeder erlauben, alle Windows Installer-Dateien auszuführen, die sich im Ordner Windows\Installer befinden.

DLL-Standardregeltypen:

• Zulassen, dass Mitglieder der lokalen Administratorgruppe alle DLLs ausführen können.
• Mitgliedern der Gruppe Jeder das Ausführen von DLLs erlauben, die sich im Ordner "Programme" befinden.
• Zulassen, dass Mitglieder der Gruppe Jeder DLLs ausführen können, die sich im Windows-Ordner befinden.

Standardregeltypen für verpackte Apps:

• Zulassen, dass Mitglieder der Gruppe Jeder alle signierten gepackten Apps und App-Installationsprogramme installieren und ausführen können.

Verhalten von AppLocker-Regeln

Wenn keine AppLocker-Regeln für eine bestimmte Regelsammlung definiert sind, dürfen alle Dateien, die von dieser Regelsammlung abgedeckt werden, ausgeführt werden. Wenn jedoch eine Regel für eine bestimmte Regelsammlung vorhanden ist, werden nur die Dateien ausgeführt, die mindestens einer Zulassungsregel entsprechen, und keine Verweigerungsregeln. Wenn Sie beispielsweise eine ausführbare Regel erstellen, die die Ausführung .exe Dateien in %SystemDrive%\FilePath zulässt, dürfen nur ausführbare Dateien in diesem Pfad ausgeführt werden.

Eine Regel kann für die Verwendung von Zulassen- oder Ablehnungsaktionen konfiguriert werden:

• Zulassen Sie können angeben, welche Dateien in Ihrer Umgebung ausgeführt werden dürfen und für welche Benutzer oder Benutzergruppen. Sie können auch Ausnahmen konfigurieren, um Dateien zu identifizieren, die von der Regel ausgeschlossen sind.
• Leugnen. Sie können angeben, welche Dateien in Ihrer Umgebung nicht ausgeführt werden dürfen und für welche Benutzer oder Benutzergruppen. Sie können auch Ausnahmen konfigurieren, um Dateien zu identifizieren, die von der Regel ausgeschlossen sind.

Als bewährte Methode verwenden Sie Zulassen von Aktionen mit Ausnahmen. Obwohl Sie eine Kombination aus Zulassen- und Verweigern-Aktionen verwenden können, gewinnen Ablehnungsaktionen immer. Sie können keine andere Regel verwenden, um eine Datei zuzulassen, die einer Ablehnungsregel entspricht.

Regelausnahmen

Sie können AppLocker-Regeln auf einzelne Benutzer oder eine Gruppe von Benutzern anwenden. Wenn Sie eine Regel auf eine Gruppe von Benutzern anwenden, wirkt sich die Regel auf alle Benutzer in dieser Gruppe aus. Wenn Sie einer Teilmenge einer Benutzergruppe die Verwendung einer App erlauben müssen, können Sie eine spezielle Regel für diese Teilmenge erstellen. Die Regel "Jeder darf Windows mit Ausnahme von Registrierungs-Editor ausführen" erlaubt beispielsweise allen Personen im organization die Ausführung des Windows-Betriebssystems, erlaubt jedoch nicht, dass alle Benutzer die Registrierung Editor ausführen können.

Die Auswirkung dieser Regel würde verhindern, dass Benutzer wie Helpdeskmitarbeiter ein Programm ausführen, das für ihre Supportaufgaben erforderlich ist. Um dieses Problem zu beheben, erstellen Sie eine zweite Regel, die für die Helpdesk-Benutzergruppe gilt: "Helpdesk das Ausführen der Registrierung Editor erlauben". Wenn Sie stattdessen eine Ablehnungsregel verwenden, die alle Benutzer daran hindert, Die Registrierung Editor auszuführen, lässt die zweite Regel den Helpdeskbenutzern nicht das Ausführen der Registrierung Editor zu.

DLL-Regelsammlung

Da die DLL-Regelsammlung standardmäßig nicht aktiviert ist, müssen Sie das folgende Verfahren ausführen, bevor Sie DLL-Regeln erstellen und erzwingen können.

Die Mitgliedschaft in der lokalen Administratorgruppe oder einer entsprechenden Gruppe ist mindestens erforderlich, um dieses Verfahren abzuschließen.

So aktivieren Sie die DLL-Regelsammlung

1. Wählen Sie Start aus, geben Sie secpol.msc ein, und drücken Sie dann die EINGABETASTE.
2. Wenn das Dialogfeld Benutzerkontensteuerung angezeigt wird, vergewissern Sie sich, dass die angezeigte Aktion ihren Wünschen entspricht, und wählen Sie dann Ja aus.
3. Doppelklicken Sie in der Konsolenstruktur auf Anwendungssteuerungsrichtlinien, klicken Sie mit der rechten Maustaste auf AppLocker, und wählen Sie dann Eigenschaften aus.
4. Wählen Sie die Registerkarte Erweitert aus, aktivieren Sie das Kontrollkästchen DLL-Regelsammlung aktivieren , und wählen Sie dann OK aus.

AppLocker-Assistenten

Sie können Regeln mithilfe von zwei AppLocker-Assistenten erstellen:

1. Mit dem Assistenten zum Erstellen von Regeln können Sie jeweils eine Regel erstellen.
2. Mit dem Assistenten zum automatischen Generieren von Regeln können Sie mehrere Regeln gleichzeitig erstellen. Sie können einen Ordner auswählen und dem Assistenten das Erstellen von Regeln für alle gefundenen relevanten Dateien überlassen. Oder lassen Sie den Assistenten für gepackte Apps Regeln für alle gepackten Apps erstellen, die auf dem Computer installiert sind. Sie können auch den Benutzer oder die Gruppe angeben, auf den die Regeln angewendet werden sollen. Dieser Assistent generiert automatisch nur Zulassungsregeln.

Weitere Aspekte

• Standardmäßig erlauben AppLocker-Regeln Benutzern nicht, Dateien zu öffnen oder auszuführen, die nicht zulässig sind. Administratoren sollten eine liste der zulässigen Anwendungen auf dem neuesten Stand halten.
• Es gibt zwei Arten von AppLocker-Bedingungen, die nach einem Update einer App nicht beibehalten werden:
  • Eine Dateihashbedingung Dateihashregelbedingungen können mit jeder App verwendet werden, da zum Zeitpunkt der Erstellung der Regel ein kryptografischer Hashwert der App-Datei generiert wird. Der Hashwert ist jedoch spezifisch für die genaue Version der Datei. Wenn Sie mehrere Versionen der Datei zulassen müssen, benötigen Sie individuelle Dateihashbedingungen für jede Version der Datei.
  • Eine Herausgeberbedingung mit einer bestimmten Produktversion Wenn Sie eine Herausgeberregelbedingung erstellen, die die Option Genau Version verwendet, kann die Regel nicht beibehalten werden, wenn eine neue Version der App installiert ist. Es muss eine neue Herausgeberbedingung erstellt werden, oder die Version muss in der Regel bearbeitet werden, damit sie weniger spezifisch ist.
• Wenn eine App nicht digital signiert ist, können Sie keine Herausgeberregelbedingung für diese App verwenden.
• Wenn Regeln für die EXE-Regelsammlung erzwungen werden, müssen Sie Regeln in der Regelsammlung für gepackte Apps und gepackte App-Installationsprogramme erstellen. Andernfalls werden alle gepackten Apps und gepackten App-Installationsprogramme blockiert.
• Eine benutzerdefinierte konfigurierte URL kann in die Meldung aufgenommen werden, die angezeigt wird, wenn eine App blockiert wird.
• Erwarten Sie eine Erhöhung der Anzahl von Helpdeskanrufen, wenn Benutzer auf apps stoßen, die nicht zulässig sind.

Inhalt dieses Abschnitts