组策略之软件限制策略.docx

组策略之软件限制策略——完全教程与规则示例 理论部分： 软件限制策略的路径规则的优先级问题 在路径规则中如何使用通配符 规则的权限继承问题 软件限制策略如何实现 3D 部署（配合访问控制，如 NTFS 权限），软件限制策略的精髓在于权限，部署策略同时，往往也需要学会设置权限 规则部分： 如何用软件限制策略防毒（也就是如何写规则） 规则的示例与下载 其中，1、2、3 点是基础，很多人写出无效或者错误的规则出来都是因为对这些内容没有搞清楚；第 4 点可能有点难，但如果想让策略有更好的防护效果并且不影响平时正常使用的话， 这点很重要。如果使用规则后发现有的软件工作不正常，请参考这部分内容，注意调整 NTFS 权限 理论部分 软件限制策略包括证书规则、散列规则、Internet 区域规则和路径规则。我们主要用到的是散列规则和路径规则，其中灵活性最好的就是路径规则了，所以一般我们谈到的策略规则， 若没有特别说明，则直接指路径规则。 或者有人问：为什么不用散列规则？散列规则可以防病毒替换白名单中的程序，安全性不是更好么？ 一是因为散列规则不能通用，二是即使用了也意义不大 —— 防替换应该要利用好 NTFS 权限，而不是散列规则，要是真让病毒替换了系统程序，那么再谈规则已经晚了 一.环境变量、通配符和优先级 关于环境变量（假定系统盘为 C 盘） %USERPROFILE% 表示 C:\Documents and Settings\当前用户名 %HOMEPATH% 表示 C:\Documents and Settings\当前用户名 %ALLUSERSPROFILE% 表 示 C:\Documents and Settings\All Users %ComSpec% 表示 C:\WINDOWS\System32\cmd.exe %APPDATA% 表示 C:\Documents and Settings\当前用户名\Application Data %ALLAPPDATA% 表 示 C:\Documents and Settings\All Users\Application Data %SYSTEMDRIVE% 表 示 C: %HOMEDRIVE% 表示 C: %SYSTEMROOT% 表 示 C:\WINDOWS %WINDIR% 表示 C:\WINDOWS %TEMP% 和 %TMP% 表示 C:\Documents and Settings\当前用户名\Local Settings\Temp %ProgramFiles% 表 示 C:\Program Files %CommonProgramFiles% 表 示 C:\Program Files\Common Files 关于通配符： Windows 里面默认 * ：任意个字符（包括 0 个），但不包括斜杠 ? ：1 个或 0 个字符 几个例子 *\Windows 匹配 C:\Windows、D:\Windows、E:\Windows 以及每个目录下的所有子文件 夹。 C:\win* 匹配 C:\winnt、C:\windows、C:\windir 以及每个目录下的所有子文件夹。 *.vbs 匹配 Windows XP Professional 中具有此扩展名的任何应用程序。 C:\Application Files\*.* 匹配特定目录（Application Files）中的应用程序文件，但不包括Application Files 的子目录 关于优先级: 总的原则是:规则越匹配越优先 绝对路径通配符全路径 如 C:\Windows\explorer.exe *\Windows\explorer.exe 文件名规则目录型规则 如若 a.exe 在 Windows 目录中，那么 a.exe C:\Windows 3.环境变量 = 相应的实际路径 = 注册表键值路径如 %ProgramFiles% = C:\Program Files = %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFile sDir% 对于同是目录规则，则能匹配的目录级数越多的规则越优先 对于同是文件名规则，优先级均相同 散列规则比任何路径规则优先级都高 若规则的优先级相同，按最受限制的规则为准 举例说明，例如 cmd 的全路径是 C:\Windows\system32\cmd.exe 那么，优先级顺序是： 绝对路径(如 C:\Windows\system32\cmd.exe) 通配符全路径(如*\Windows\*\cmd.exe) 文件名规则(如 cmd.exe) = 通配符文件名规则(如*.*)部分绝对路径