windows xp 客戶(hù)端的軟件限制策略

1、WindowsXP客戶(hù)端的軟件限制策略更新日期：2004年03月01日chinatechsecurityguidancesecmod65.mspx本頁(yè)內(nèi)容本頁(yè)內(nèi)容本模塊內(nèi)容目標(biāo)適用范圍如何使用本模塊軟件限制策略軟件限制策略體系結(jié)構(gòu)軟件限制策略選項(xiàng)軟件限制策略的設(shè)計(jì)和部署摘要本模塊內(nèi)容本模塊內(nèi)容MicrosoftWindowsXPProfessional和MicrosoftWindowsServer?2003提供了“軟件限制策略”功能，管

2、理員可用來(lái)控制軟件在本地計(jì)算機(jī)上運(yùn)行的能力。通過(guò)此功能，管理員可以防止用戶(hù)運(yùn)行未經(jīng)授權(quán)的軟件，并提供了其他保護(hù)措施以防病毒和特洛伊木馬程序的攻擊。由于軟件限制策略已集成到組策略中，因此可將其部署在MicrosoftActiveDirecty目錄服務(wù)域中。此外，還可將軟件限制策略部署在獨(dú)立計(jì)算機(jī)中。返回頁(yè)首目標(biāo)目標(biāo)使用本模塊可以實(shí)現(xiàn)下列目標(biāo)：?設(shè)計(jì)和部署軟件限制策略?選擇正確的規(guī)則類(lèi)型并使用它來(lái)標(biāo)識(shí)軟件?控制軟件限制策略使用的檢查級(jí)別?將

3、軟件限制策略配置為始終允許管理員運(yùn)行軟件返回頁(yè)首適用范圍適用范圍本模塊適用于下列產(chǎn)品和技術(shù)：軟件限制策略體系結(jié)構(gòu)軟件限制策略體系結(jié)構(gòu)軟件限制策略體系結(jié)構(gòu)提供了下列強(qiáng)大功能：?基于域或本地計(jì)算機(jī)的策略實(shí)施基于域或本地計(jì)算機(jī)的策略實(shí)施。管理員創(chuàng)建該策略，然后定義哪些應(yīng)用程序是受信任的應(yīng)用程序，哪些不是受信任的應(yīng)用程序。該策略在運(yùn)行時(shí)強(qiáng)制實(shí)施，用戶(hù)不會(huì)收到允許其選擇是否運(yùn)行可執(zhí)行文件的提示。?應(yīng)用范圍并不僅局限于可執(zhí)行文件的策略應(yīng)用范圍并不僅

4、局限于可執(zhí)行文件的策略。軟件的構(gòu)成尚無(wú)明確定義。該策略可以控制MicrosoftVisualBasicingEdition(VB)、MicrosoftJ以及其他腳本語(yǔ)言。它還與WindowsInstaller功能集成在一起，以控制可以在客戶(hù)端上安裝哪些程序包。此功能包含一個(gè)應(yīng)用程序編程接口(API)，用于協(xié)調(diào)策略運(yùn)行時(shí)與其他運(yùn)行時(shí)。?可縮放的策略可縮放的策略。該策略在擁有多種計(jì)算機(jī)類(lèi)型和應(yīng)用程序的大型企業(yè)中必須具有可管理性，但同時(shí)它還必

5、須在單獨(dú)的環(huán)境中運(yùn)行。軟件限制策略利用ActiveDirecty和組策略實(shí)現(xiàn)可管理性。該策略存儲(chǔ)在GPO中。還可以通過(guò)將GPO存儲(chǔ)為本地計(jì)算機(jī)策略對(duì)象，在單獨(dú)的非域聯(lián)接環(huán)境中使用此策略功能。?靈活策略靈活策略。管理員可以靈活地禁止未授權(quán)腳本的運(yùn)行，并可調(diào)整MicrosoftActiveX控件或鎖定客戶(hù)端。?啟用嚴(yán)格加密以標(biāo)識(shí)軟件的策略啟用嚴(yán)格加密以標(biāo)識(shí)軟件的策略。該策略可以使用哈希、證書(shū)或簽名標(biāo)識(shí)軟件。實(shí)現(xiàn)軟件限制策略體系結(jié)構(gòu)的過(guò)程包括

6、三個(gè)階段：1.管理員或委托機(jī)構(gòu)使用組策略Microsoft管理控制臺(tái)(MMC)管理單元為ActiveDirecty容器站點(diǎn)、域或OU創(chuàng)建策略。Microsoft建議為軟件限制策略創(chuàng)建單獨(dú)的GPO。注意：注意：要為本地獨(dú)立計(jì)算機(jī)新建軟件限制策略，您必須是本地計(jì)算機(jī)中Administrats組的成員。要配置這些設(shè)置，請(qǐng)單擊“Windows設(shè)置”、“安全設(shè)置”，然后單擊“軟件限制策略”。2.計(jì)算機(jī)級(jí)策略在啟動(dòng)時(shí)下載并生效。用戶(hù)策略在用戶(hù)登錄到

7、系統(tǒng)或域時(shí)生效。要更新策略，請(qǐng)使用gpupdate.exefce命令訪問(wèn)該策略。3.當(dāng)用戶(hù)啟動(dòng)程序或腳本、操作系統(tǒng)或腳本主機(jī)時(shí)，該策略將根據(jù)強(qiáng)制實(shí)施的優(yōu)先規(guī)則來(lái)確定它是否可以運(yùn)行。不受限或不允許設(shè)置不受限或不允許設(shè)置軟件限制策略由兩部分組成：?用于確定哪些程序可以運(yùn)行的默認(rèn)規(guī)則。?默認(rèn)規(guī)則的例外清單。可以將用于標(biāo)識(shí)軟件的默認(rèn)規(guī)則設(shè)置為“不受限的”或“不允許的”（實(shí)際上是指運(yùn)行還是不運(yùn)行）。將默認(rèn)規(guī)則設(shè)置為“不受限的”允許管理員定義例外內(nèi)