Consentire la registrazione dell'oggetto COM in un criterio Controllo app per le aziende

Microsoft Component Object Model (COM) è un sistema indipendente dalla piattaforma, distribuito e orientato agli oggetti per la creazione di componenti software binari che possono interagire. COM specifica un modello a oggetti e i requisiti di programmazione che consentono agli oggetti COM di interagire con altri oggetti.

Configurabilità di oggetti COM nei criteri di Controllo app

Controllo app per le aziende applica un elenco di autorizzazioni predefinito per la registrazione dell'oggetto COM. Anche se questo elenco funziona per gli scenari di utilizzo delle applicazioni più comuni, potrebbe essere necessario consentire a più oggetti COM di supportare le app usate nell'organizzazione. È possibile specificare gli oggetti COM consentiti tramite il relativo GUID nei criteri di Controllo app, come descritto in questo articolo.

• Windows 10, 1809 18 giugno 2019-KB4501371 (build del sistema operativo 17763.592)
• Windows 10, 1607 18 giugno 2019-KB4503294 (build del sistema operativo 14393.3053)

Ottenere il GUID dell'oggetto COM

È possibile ottenere il GUID dell'applicazione COM dagli eventi di blocco dell'oggetto COM 8036 in Visualizzatore eventi in Registri applicazioni e servizi > Microsoft > Windows > AppLocker > MSI and Script ed estrarre il GUID dai dati dell'evento.

Impostazione dei criteri di creazione per consentire o negare il GUID dell'oggetto COM

Tre elementi:

• Provider: piattaforma in cui è in esecuzione il codice (i valori sono PowerShell, WSH, IE, VBA, MSI o un carattere jolly "AllHostIds")
• Chiave: GUID per il programma da eseguire, nel formato Key="{33333333-4444-4444-1616-161616161616}"
• ValueName: deve essere impostato su "EnterpriseDefinedClsId"

Un attributo:

• Valore: deve essere "true" per allow e "false" per deny

  Nota

  Deny funziona solo nei criteri di base, non nei criteri supplementari

• L'impostazione deve essere posizionata nell'ordine dei valori ASCII (prima da Provider, quindi da Key e quindi da ValueName)

Considerazioni su più criteri

Analogamente ai file eseguibili, gli oggetti COM devono passare tutti i criteri di Controllo app applicati nel sistema per l'esecuzione. Ad esempio, se l'oggetto COM sottoposto a valutazione supera la maggior parte ma non tutti i criteri di Controllo app, l'oggetto COM viene bloccato. Se si usa una combinazione di criteri di base e supplementari, l'oggetto COM deve solo essere incluso nell'elenco consentiti nei criteri di base o in uno dei criteri supplementari.

Esempi

Esempio 1: consente la registrazione di tutti i GUID degli oggetti COM in qualsiasi provider

<Setting Provider="AllHostIds" Key="AllKeys" ValueName="EnterpriseDefinedClsId">
  <Value>
    <Boolean>true</Boolean>
  </Value>
</Setting>

Esempio 2: blocca la registrazione di un oggetto COM specifico tramite Internet Explorer (IE)

<Setting Provider="IE" Key="{00000000-4444-4444-1616-161616161616}" ValueName="EnterpriseDefinedClsId">
  <Value>
    <Boolean>false</Boolean>
  </Value>
</Setting>

Esempio 3: consente a un oggetto COM specifico di eseguire la registrazione in PowerShell

<Setting Provider="PowerShell" Key="{33333333-4444-4444-1616-161616161616}" ValueName="EnterpriseDefinedClsId">
  <Value>
    <Boolean>true</Boolean>
  </Value>
</Setting>

Come configurare le impostazioni per i CLSID

Di seguito è riportato un esempio di errore nella Visualizzatore eventi disponibile in Log applicazioni e servizi > Microsoft > Windows > AppLocker > MSI and Script:

Nome log: Microsoft-Windows-AppLocker/MSI e script
Origine: Microsoft-Windows-AppLocker
Data: 11/11/2020 13:18:11
ID evento: 8036
Categoria attività: Nessuna
Livello: Errore
Parole chiave:
Utente: S-1-5-21-3340858017-3068726007-3466559902-3647
Computer: contoso.com
Descrizione: {f8d253d9-89a4-4daa-87b6-1168369f0b21} non è stato eseguito a causa dei criteri di configurazione ci.

XML evento:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-AppLocker" Guid="{cbda4dbf-8d5d-4f69-9578-be14aa540d22}" />
    <EventID>8036</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x4000000000000000</Keywords>
    <TimeCreated SystemTime="2020-11-11T13:18:11.4029179Z" />
    <EventRecordID>819347</EventRecordID>
    <Correlation ActivityID="{61e3e871-adb0-0047-c9cc-e761b0add601}" />
    <Execution ProcessID="21060" ThreadID="23324" />
    <Channel>Microsoft-Windows-AppLocker/MSI and Script</Channel>
    <Computer>contoso.com</Computer>
    <Security UserID="S-1-5-21-3340858017-3068726007-3466559902-3647" />
  </System>
  <EventData>
    <Data Name="IsApproved">false</Data>
    <Data Name="CLSID">{f8d253d9-89a4-4daa-87b6-1168369f0b21}</Data>
  </EventData>
</Event>

Per aggiungere questo CLSID ai criteri esistenti, seguire questa procedura:

1. Aprire PowerShell ISE con privilegi amministrativi.

2. Copiare e modificare questo comando, quindi eseguirlo dall'amministratore di PowerShell ISE. Considerare il nome del criterio come AppControl_policy.xml.

   PS C:\WINDOWS\system32> Set-CIPolicySetting -FilePath <path to policy xml>\AppControl_policy.xml -Key "{f8d253d9-89a4-4daa-87b6-1168369f0b21}" -Provider WSH -Value true -ValueName EnterpriseDefinedClsId -ValueType Boolean
   

   Dopo l'esecuzione del comando, trovare la sezione seguente aggiunta al codice XML dei criteri.

   <Settings>
     <Setting Provider="WSH" Key="{f8d253d9-89a4-4daa-87b6-1168369f0b21}" ValueName="EnterpriseDefinedClsId">
       <Value>
         <Boolean>true</Boolean>
       </Value>
     </Setting>
   

Elenco di elementi consentiti dell'oggetto COM predefinito

La tabella seguente descrive l'elenco di oggetti COM intrinsecamente attendibili in Controllo app per le aziende. Non è necessario che gli oggetti in questo elenco siano consentiti nei criteri di Controllo app. È possibile negarlo creando regole di negazione esplicite nei criteri di Controllo app.