Criar uma política de Controlo de Aplicações com um computador de referência

Esta secção descreve o processo de criação de uma política de Controlo de Aplicações para Empresas através de um computador de referência que já está configurado com o software que pretende permitir. Pode utilizar esta abordagem para dispositivos de carga de trabalho fixa dedicados a um objetivo funcional específico e partilhar atributos de configuração comuns com outros dispositivos que cumprem a mesma função funcional. Exemplos de dispositivos de carga de trabalho fixa podem incluir controladores de Domínio do Active Directory, estações de trabalho de Administração segura, equipamentos farmacêuticos de mistura de medicamentos, dispositivos de fabrico, caixas registadores, caixas multibanco, etc. Esta abordagem também pode ser utilizada para ativar o Controlo de Aplicações em sistemas "em estado selvagem" e quer minimizar o impacto potencial na produtividade dos utilizadores.

Conforme descrito em cenários comuns de implementação do Controlo de Aplicações para Empresas, vamos utilizar o exemplo da Lamna Healthcare Company (Lamna) para ilustrar este cenário. A Lamna está a tentar adotar políticas de aplicação mais fortes, incluindo a utilização do Controlo de Aplicações para impedir que aplicações indesejadas ou não autorizadas sejam executadas nos respetivos dispositivos geridos.

Alice Pena é a líder da equipa de TI encarregada da implementação do Controlo de Aplicações.

Criar uma política de base personalizada com um dispositivo de referência

Alice criou anteriormente uma política para os dispositivos de utilizador final totalmente geridos da organização. Agora, quer utilizar o Controlo de Aplicações para proteger os servidores de infraestrutura críticos da Lamna. A prática de processamento de imagens da Lamna para sistemas de infraestrutura é estabelecer uma imagem "dourada" como referência para o aspeto que um sistema ideal deve ter e, em seguida, utilizar essa imagem para clonar mais recursos da empresa. Alice decide utilizar estes mesmos sistemas de imagens "dourados" para criar as políticas de Controlo de Aplicações, o que resultará em políticas de base personalizadas separadas para cada tipo de servidor de infraestrutura. Tal como acontece com o processamento de imagens, terá de criar políticas a partir de vários computadores dourados com base no modelo, departamento, conjunto de aplicações, etc.

Alice identifica os seguintes fatores-chave para chegar ao "círculo de confiança" para os servidores de infraestrutura críticos da Lamna:

• Todos os dispositivos estão a executar o Windows Server 2019 ou superior;
• Todas as aplicações são geridas e implementadas centralmente;
• Sem utilizadores interativos.

Com base no acima, Alice define as pseudo-regras para a política:

1. Regras "O Windows funciona" que autorizam:

   • Windows
   • WHQL (controladores de kernel de terceiros)
   • Aplicações assinadas na Loja Windows

2. Regras para ficheiros analisados que autorizam todos os binários de aplicações pré-existentes encontrados no dispositivo

Para criar a política de Controlo de Aplicações, a Alice executa cada um dos seguintes comandos numa sessão de Windows PowerShell elevada, por ordem:

1. Inicializar variáveis.

   $PolicyPath=$env:userprofile+"\Desktop\"
   $PolicyName="FixedWorkloadPolicy_Audit"
   $LamnaServerPolicy=$PolicyPath+$PolicyName+".xml"
   $DefaultWindowsPolicy=$env:windir+"\schemas\CodeIntegrity\ExamplePolicies\DefaultWindows_Audit.xml"
   

2. Utilize New-CIPolicy para criar uma nova política de Controlo de Aplicações ao analisar as aplicações instaladas no sistema:

   New-CIPolicy -FilePath $LamnaServerPolicy -Level SignedVersion -Fallback FilePublisher,FileName,Hash -ScanPath c:\ -UserPEs -MultiplePolicyFormat -OmitPaths c:\Windows,'C:\Program Files\WindowsApps\',c:\windows.old\,c:\users\ 3> CIPolicyLog.txt
   

   Observação

   • Você pode adicionar o parâmetro -Fallback para capturar todos os aplicativos não detectados usando o nível de regra de arquivo primário especificado pelo parâmetro -Level. Para obter mais informações sobre as opções de nível de regra de ficheiro, veja Níveis de regras de ficheiros do Controlo de Aplicações para Empresas.
   • Para especificar que a política de Controlo de Aplicações analisa apenas uma unidade específica, inclua o parâmetro -ScanPath seguido de um caminho. Sem este parâmetro, a ferramenta analisará a unidade C por predefinição.
   • Quando especificar o parâmetro -UserPEs (para incluir executáveis no modo de utilizador na análise), a opção de regra 0 Ativada:UMCI é adicionada automaticamente à política de Controlo de Aplicações. Se não especificar -UserPEs, a política estará vazia de executáveis no modo de utilizador e terá apenas regras para binários do modo kernel, como controladores. Por outras palavras, a lista de permissões não incluirá aplicações. Se criar essa política e, mais tarde, adicionar a opção de regra 0 Ativada:UMCI, todas as tentativas de iniciar aplicações irão causar uma resposta do Controlo de Aplicações para Empresas. No modo de auditoria, a resposta será o registro de um evento em log e, no modo imposto, a resposta será o bloqueio do aplicativo.
   • Para criar uma política para Windows 10 1903 e superior, incluindo o suporte para políticas suplementares, utilize -MultiplePolicyFormat.
   • Para especificar uma lista de caminhos a excluir da análise, utilize a opção -OmitPaths e forneça uma lista delimitada por vírgulas de caminhos.
   • O exemplo anterior inclui 3> CIPolicylog.txt, que redireciona as mensagens de aviso para um arquivo de texto, CIPolicylog.txt.

3. Intercale a nova política com a política de WindowsDefault_Audit para garantir que todos os binários e controladores de kernel do Windows serão carregados.

   Merge-CIPolicy -OutputFilePath $LamnaServerPolicy -PolicyPaths $LamnaServerPolicy,$DefaultWindowsPolicy
   

4. Atribua um nome descritivo à nova política e o número da versão inicial:

   Set-CIPolicyIdInfo -FilePath $LamnaServerPolicy -PolicyName $PolicyName
   Set-CIPolicyVersion -FilePath $LamnaServerPolicy -Version "1.0.0.0"
   

5. Modifique a política intercalada para definir regras de política:

   Set-RuleOption -FilePath $LamnaServerPolicy -Option 3 # Audit Mode
   Set-RuleOption -FilePath $LamnaServerPolicy -Option 6 # Unsigned Policy
   Set-RuleOption -FilePath $LamnaServerPolicy -Option 9 # Advanced Boot Menu
   Set-RuleOption -FilePath $LamnaServerPolicy -Option 12 # Enforce Store Apps
   Set-RuleOption -FilePath $LamnaServerPolicy -Option 16 # No Reboot
   Set-RuleOption -FilePath $LamnaServerPolicy -Option 17 # Allow Supplemental
   Set-RuleOption -FilePath $LamnaServerPolicy -Option 19 # Dynamic Code Security
   

6. Se for apropriado, adicione mais regras de início de sessão ou de ficheiro para personalizar ainda mais a política para a sua organização.

7. Utilize ConvertFrom-CIPolicy para converter a política de Controlo de Aplicações num formato binário:

   [xml]$LamnaServerPolicyXML = Get-Content $LamnaServerPolicy
   $PolicyId = $LamnaServerPolicyXML.SiPolicy.PolicyId
   $LamnaServerPolicyBin = $PolicyPath+$PolicyId+".cip"
   ConvertFrom-CIPolicy $LamnaServerPolicy $LamnaServerPolicyBin
   

8. Carregue o XML da política base e o binário associado para uma solução de controlo de origem, como o GitHub ou uma solução de gestão de documentos, como Office 365 SharePoint.

Alice tem agora uma política inicial para os servidores de infraestrutura críticos da Lamna que está pronto para implementar no modo de auditoria.

Criar uma política base personalizada para minimizar o impacto do utilizador em dispositivos cliente em utilização

Alice criou anteriormente uma política para os dispositivos totalmente geridos da organização. A Alice incluiu a política de dispositivos totalmente gerida como parte do processo de compilação de dispositivos da Lamna, pelo que todos os novos dispositivos começam agora com o Controlo de Aplicações ativado. Ela está a preparar-se para implementar a política em sistemas que já estão a ser utilizados, mas está preocupada em causar perturbações na produtividade dos utilizadores. Para minimizar esse risco, Alice decide adotar uma abordagem diferente para esses sistemas. Continuará a implementar a política de dispositivos totalmente gerida no modo de auditoria nesses dispositivos, mas, para o modo de imposição, irá intercalar as regras de política de dispositivos totalmente geridas com uma política criada através da análise do dispositivo relativamente a todo o software instalado anteriormente. Desta forma, cada dispositivo é tratado como o seu próprio sistema "dourado".

Alice identifica os seguintes fatores-chave para chegar ao "circle-of-trust" para os dispositivos totalmente geridos em utilização da Lamna:

• Tudo descrito para os Dispositivos Totalmente Geridos da Lamna;
• Os utilizadores instalaram aplicações que precisam de continuar a executar.

Com base no acima, Alice define as pseudo-regras para a política:

1. Tudo incluído na política Dispositivos Totalmente Geridos
2. Regras para ficheiros analisados que autorizam todos os binários de aplicações pré-existentes encontrados no dispositivo

Para os dispositivos existentes e em utilização da Lamna, a Alice implementa um script juntamente com o XML da política Dispositivos Totalmente Geridos (não o binário da política de Controlo de Aplicações convertido). Em seguida, o script gera uma política personalizada localmente no cliente, conforme descrito na secção anterior, mas em vez de intercalar com a política DefaultWindows, o script intercala com a política Dispositivos Totalmente Geridos da Lamna. Alice também modifica os passos acima para corresponder aos requisitos deste caso de utilização diferente.