组策略软件限制策略.doc

组策略——软件限制策略 导读实际上，本教程主要为以下内容：理论部分：1.软件限制策略的路径规则的优先级问题2.在路径规则中如何使用通配符3.规则的权限继承问题4.软件限制策略如何实现3D部署（难点是NTFS权限），软件限制策略的精髓在于权限，如何部署策略也就是如何设置权限规则部分：5.如何用软件限制策略防毒（也就是如何写规则）6.规则的示例与下载理论部分软件限制策略包括证书规则、散列规则、Internet 区域规则和路径规则。我们主要用到的是散列规则和路径规则，其中灵活性最好的就是路径规则了，所以一般我们谈到的策略规则，若没有特别说明，则直接指路径规则。 一.环境变量、通配符和优先级关于环境变量（假定系统盘为 C盘） %USERPROFILE%?? 表示 C:\Documents and Settings\当前用户名 %HOMEPATH% 表示 C:\Documents and Settings\当前用户名%ALLUSERSPROFILE%?? 表示 C:\Documents and Settings\All Users%ComSpec%?? 表示 C:\WINDOWS\System32\cmd.exe %APPDATA%?? 表示 C:\Documents and Settings\当前用户名\Application Data %ALLAPPDATA%?? 表示 C:\Documents and Settings\All Users\Application Data %SYSTEMDRIVE% 表示 C:%HOMEDRIVE% 表示 C:%SYSTEMROOT%?? 表示 C:\WINDOWS %WINDIR% ?? 表示 C:\WINDOWS %TEMP% 和 %TMP%?? 表示 C:\Documents and Settings\当前用户名\Local Settings\Temp %ProgramFiles%?? 表示 C:\Program Files %CommonProgramFiles%?? 表示 C:\Program Files\Common Files 关于通配符：Windows里面默认* ：任意个字符（包括0个），但不包括斜杠? ：1个或0个字符几个例子*\Windows 匹配 C:\Windows、D:\Windows、E:\Windows 以及每个目录下的所有子文件夹。C:\win* 匹配 C:\winnt、C:\windows、C:\windir 以及每个目录下的所有子文件夹。*.vbs 匹配 Windows XP Professional 中具有此扩展名的任何应用程序。C:\Application Files\*.* 匹配特定目录（Application Files）中的应用程序文件，但不包括Application Files的子目录关于优先级:1.绝对路径 通配符相对路径 如 C:\Windows\explorer.exe *\Windows\explorer.exe??2.文件型规则 目录型规则 ?? 如若a.exe在Windows目录中，那么 a.exe C:\Windows3.环境变量 = 相应的实际路径 = 注册表键值路径如 %ProgramFiles% = C:\Program Files = %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%4.散列规则比任何路径规则优先级都高总的来说，就是规则越匹配越优先注：1. 通配符 * 并不包括斜杠 \。例如*\WINDOWS 匹配 C:\Windows，但不匹配 C:\Sandbox\WINDOWS2. * 和 ** 是完全等效的，例如 **\**\abc = *\*\abc3. C:\abc\*?? 可以直接写为 C:\abc\ 或者 C:\abc，最后的* 是可以省去的，因为软件限制策略的规则可以直接匹配到目录。4. 软件限制策略只对“指派的文件类型”列表中的格式起效。例如 *.txt 不允许的，这样的规则实际上无效，除非你把TXT格式也加入“指派的文件类型”列表中。 5. * 和 *.* 是有区别的，后者要求文件名或路径必须含有“.”，而前者没有此限制，因此，*.* 的优先级比 * 的高6. ?:\* 与 ?:\*.* 是截然不同的，前者是指所有分区下的每个目录下的所有子文件夹，简单说，就是整个硬盘；而 ?:\*.* 仅包括所有分区下的带“.”的文件或目录，一般情况下，指的就是各盘根目录下