书到用时方恨少,鞋里有垫才不硌脚——组策略之软件限制.docx

《书到用时方恨少,鞋里有垫才不硌脚——组策略之软件限制.docx》由会员分享，可在线阅读，更多相关《书到用时方恨少,鞋里有垫才不硌脚——组策略之软件限制.docx（11页珍藏版）》请在第壹文秘上搜索。

1、书到用时方恨少,鞋里有垫才不珞脚一组策略之软件限制引言说原创稍有担当不起.而且这标题起的太玩世不恭了,各位情愿揍就揍吧=、其实本人觉得这个比方还是比较恰当的，上网好比走路，须要有个平安快捷的方式，方可酣畅淋漓；走路须要一双好鞋，配双好鞋垫才能步步为营乐不思蜀，当然了，也有裸奔的，也就是穿拖鞋或者光脚的，正是所谓的让脚趾自由伸展同时伴随着精神上的无限自由.其实开这个帖子我迟疑了很长很长的时间，一来现在HIPS的探讨都和最新的安防软件有关，新兴的H1.PS软件如雨后春笋般雀跃不已，不幸的是，组策略的帖子寥寥无几，发这个帖子有点炒冷饭的嫌疑；二来坛子里高手众多，本人水平也处于才疏学浅，说的不好难免贻

2、笑大方误人子弟，但算来算去最近倒是有些新人也常问一些相关问题，无奈迟迟找不到答案，翻置顶的帖子还束手无措，所以作为禁运党，本着BT的人人为我我为人人的精神，在感觉这个规则H渐成熟的状况下，就有义务把它挖掘整理出来，便利运用。先啰嗦下，假如各位上网时所做的只有单纯的听歌看电影，玩单机嬉戏，泡论坛，卜资料等一些无需美化的简洁操作，那么这个规则还比较适用，而且防护效果算是志向，不过往下看确定要细致，每部分都有须要留意的地方，我没有把这些都融合到一起去写，那样反而觉得乱，找不到源头；假如喜爱折腾软件或进行一些困难操作，那么还请细致阳酌或到此戛然而止干脆不看，还是那句话，平安性越高，可操作性越低，反之亦

3、然。=你看到一条分割线=正文本路径规则适用WindowsXP,系统盘默认C盘，老鸟远观。欲全面了解软件限制策略作用流程请看此帖=传送门拜读了置顶组策略相关帖子可以说阅读上面举荐的这个别的软件限制教程大可以粗略阅读即可，所要做的就是学习下他人规则的奇妙性来达到举一反三触类旁通，适当多搜寻一些关键字、多翻翻老帖，温故而知新（这非常重要）。本策略是在大众化的规则里新加了一些更为严厉的策略，力求做到日常运用不耽搁，恶意程序无法执行的特点，所谓终极禁运。不过作为软件限制策略的科普文，气流的帖子已经集大成之所在，让我好生觊做，在此也就不再赘述，唯一须要特殊强调几点的就是原文里须要重点看的，精简并无耻的引用

4、下：首先须要做的：打开注册表编辑器，绽开至HKEY_1.OCA1._MACHINESOFTWAREPo1.iciesMicrosoftWindowsSaferCodeIdentifiers新建一个DWORD值，命名为1.eve1.s,设成0x31000（即4131000）即可。或者干脆导入附件里的注册表文件safer,rar（279Bytes,下载次数：508）1.环境变量%SystemDrive%表示C:%1IUsersProfi1.e%表示C:DocumentsandSettingsVM1.Users%UserProfi1.e%表示C:DocumcntsandSettings当前用户名%p

5、pData%表示C:DocumentsandSettings当前用户名App1.icationData%Temp%和%Tmp%表示C:DocumentsandSettings当前用户名1.oca1.SettingsTemp%PrOgramFi1.es%表示C:ProgramFi1.es%CommonProgramFies%表示C:ProgramFi1.esXCommonFi1.es%WinDir%表示C:WINDOWS%ComSpec%表示C:WIND0WSsystem32cmd.exe2.通配符*：随意个字符（包括O个），但不包拈斜杠。9.1个或O个字符。3.优先级总的原则是：规则越匹配越优

6、先。.确定路径通配符全路径如C:Windowsexp1.orer.exe*Windowsexp1.orer.exe.文件名规则书目型规则如若a.exe在Windows书目中，那么a.exeC:Windows.环境变量=相应的实际路径=注册表键值路径如%ProgramFi1.es%=C:ProgramFi1.es=%HKEY-1.OC1.-MCHINESO11WREMicrosoftWindowsCurrentVersionProgramFi1esDi陶.对于同是书目规则，则能匹配的书目级数越多的规则越优先：对于同是文件名规则，优先级均相同。.若规则的优先级相同，按最受限制的规则为准。举例：确定

7、路径（如C:Windowssystem32cmd.exe）通配符全路径（如*Windows*cmd.exe）文件名规则（如cmd.exe）=通配符文件名规则（如*.*）部分确定路径（不包含文件名，如C:Windowssystem32）=部分通配符路径（不包含文件名，如C:*system32）C:Windows=*4.模板范例根书目规则：某书目*+某书目*书目规则（包含书目中全部文件）：某书目*或某书目或某书目含*的书目规则：某书目*（留意要加上斜杠）文件型规则：a.exe、*等确定路径规则：如C:Windowsexp1.orer.exe全局型规则:*5.其他须要留意的.软件限制策略只对指派的文

8、件类型列表中的格式起效。 .*.*的优先级比*的高，有.的不确定是文件,也可以是文件夹。 .一个程序所能获得的最终权限取决于：父进程权限和规则限定的权限的最低等级，也就是我们所说的最低权限原则。 .假如一个用户属于多个组，那么该用户所获得的权限是各个组的叠加：拒绝的优先级比允许要高，尽量不要运用拒绝，不然管理员权限下的程序也会受影响。everyone组的权限适用于任何人、任何程序，故everyone组的权限不能太高，至少要低于Users组。另外提示一下，在设置规则时.，留意要考虑以下4条系统默认规则的影响（可以考虑删除）：%HKEY.1.OC1.-MCHINESOFTOREMicrosoftW

9、indowsNTXCurrentVersionSystemRoot%路径不受限的%HKEY_1.OCA1._MACHINESOFTWREMicrosoftWindowsNTXCurrentVersionSystcmRoot%*.exe路径不受限的%HKEY_1.OCA1._MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionSystemRoot%System32*.exe路径不受限的%HKEY_1.OCA1._MACHINESOFTWAREMicrosoftWindowsCurrentVersionProgramFiIesDirS路径不受限的相当于规则

10、：%SystemRoot%不受限的整个WindOWS书目不受限%SystemRoot%*.exe不受限的Windows下的exe文件不受限%SystemRoot%System32*.exe不受限的System32下的exe文件不受限%ProgramFi1.es%不受限的整个ProgramFi1.es书目不受限关于规则，我不一一列举说明，把一些图片发上来，协作里面的策略简洁的介绍下，假如各位对此规则还比较感爱好，不妨感受一下。注：因规则的修第和更新，所以截图若与规则有出入，请按规则为准。一、插件、双后缀和U盘策略里添加了一些最常见的一些恶意插件的免疫（留意解除fOObar以防被*bar*.*误伤

11、），当然完全靠它来防插件的话是防不全的，还是建议安装防护软件，组策略的作用虽然强大，但不代表可以担心装防护软件。把快播列为恶意插件，是因为XX播放器实在太多=、至于vagaa,某些版本运行是会在系统盘根书目释放可疑文件，深有体会防双后缀扩展名病毒有新增，对比原规则更加严厉，唯一的问题走禁止*.?.exe会导致一些刚下载软件包无法安装（如TheNor1.d_3.1.3.9.exe）,解决方法很简洁，改名就成了。二、系统程序和书目的降权管制系统盘程序，这个没有太大的不同，改写环境变量成外WinDir%,排版看起来更宜观，查找更便利。三、用户程序的降权限制常用程序的访问令牌，基本用户策略里调整了一些

12、用户群较大的阅读器，并添加了一些压缩管理器、阅读工具（防止恶意捆绑）、下载工具（防止干脆从下载工具里安装软件感染恶意程序）、翻译工具、闲聊工具（防文件传输恶意程序）和邮件客户端，有其他须要的可以另行添加。四、高危文件和系统危急进程禁了绝大多数通常用不上的系统程序。前面的禁止打开危急文件总觉得写的有点牵强，不过有些小网站下来的软件，不管是封装的还是绿色H解压的，都会起一些诱惑你去点击的文件名（后缀多为.bat,.reg）,小则篡改主页，大则中毒瘫痪，所以上面的几条有时候还是可以派上用处的（reg等后缀只是防止被误打开，但可以通过Win+R调用的方式导入）；另外我本想把Verc1.sid和msht

13、a给处理掉，无奈写完规则后发觉搜寻功能无法运用，限制面板里的账户也无法切换，于是便爽性禁了hta,于是又想，一不做二不休，脚木也禁=、五、系统危急书目禁系统书目同上，没有太大的更改和细分。建议把IE缓存（TemporaryInternetEi1.es）还有其他阅读器的临时文件书目转移到其他磁盘书目，比如D:Tcmp（?:T?mp不允许来禁止从缓存启动程序）一来缩小C盘空间占用，二来削减磁盘碎片的增加以便提高运行速度。但不管怎么设置，%Temp%和与Tmp%可不受限，但TemporaijIn1.CrnetFi1.eS必需不允许，二者最好不要混放同一书目以防发生冲突。六、伪装系统进程相关禁止伪装系

14、统进程，多少能起一部分作用，主流规则黑名单、样本区样本、网络相关资料皆书编三绝。作为常见的，算是比较全的了吧，伪装系统进程的名字我写的比较严厉，可自行更改。七、伪装系统文件（夹）相关文件（夹）病毒仿佛牛仔裤，不是每年都流行，但基本随处可见。伪装系统文件和文件夹的规则也不多赘述，同样是希望能起一些作用。八、特殊书目和用户自定义书目?:Insta1.1.er为可安装软件的文件夹，可以建立在每个盘符的根书目下，?:XProgramFi1.es*是给一些安装软件不喜爱放在系统盘里的同学打算的，？:Gamc*和？:Study*归为嬉戏与学习类文件存放书目，有玩有学，寓教于乐，劳逸结合不喜爱可以删除，建立

15、臼己喜爱的书目。须要留意的是，*.bat的优先级要大于？:ProgramFi1.es*（文件名路径），假如允许指定书目下bat等后缀的执行可以修改？：ProgramFi1.es*为？：ProgramFi1.es*,比如允许EProgramFi1.esWOPti下执行bat文件，可以修改E:ProgramFi1.esWopti为E:ProgramFi1.esWopti*不受限。九、用户程序管制其实软件限制策略里不确定非得防恶意插件和病毒，完全可以依匏自己喜爱的方式来管制一些程序的运行，美其名日死策略的敏捷化，在此把QQ相关的一系列自启动程序（设置不自动更新仍旧会更新），搜狗的输入法F1.运行更新程序以及WPS自动更新程序（设置不自动更新仍旧会启动）一一列黑，其他的还请依据请个人口味酌情添加，活学活用依据指派的文件类型，添加常见文件类型保证其可以被正常打开。十、系统正常进程常用系统程序和书目的解除，不细说了。策略基本用图片表示的差不多了，并加入一些简洁遗漏的死角，假如非要说到通用性，自然和气流规则比沧海一粟了，终归在帖子