Блокируем приложение в домене на примере программы Ammyy Admin

Коллеги, приветствую. Сегодня поговорим о том, как же все-таки запретить пользоваться программой, которая не по нраву администратору. Написать эту статью меня побудили две беды, с которыми я столкнулся у себя в рабочей среде. Связаны они прежде всего с информационной безопасностью:

1. Программы удаленного управления. Их развелось довольно много в последнее время. Наиболее распространенные из коммерческих Radmin, из условно-бесплатных Ammyy Admin, Teamviewer. Программы очень хорошие и  имеют богатый функционал. Механизм работы проще простого – клиент подключается к компьютеру через http/https – протокол и может им управлять удаленно. Возможно, у некоторых свой протокол. Не скажу по Radmin, у этой программы свой порт, но протокол все же гипертекстовый скорее всего. Не важно в принципе. Отсюда возникает вопрос – как обезопасить свою рабочую сеть от проникновения? Заблокировать весь протокол нереально, без интернета сейчас никуда. Заблокировать доступ по адресам можно, но их надо узнать, да и они ж могут меняться. Убрать на компьютерах права администратора само собой (но см. 2 проблему), но не всегда это помогает, к тому же всегда есть те, у кого права должны быть. В общем, методов борьбы много, но они не эффективны на 100 %
2. Портативные программы. Также очень удобны в плане того, что программу вы не устанавливаете, а “заливаете” все сразу в память. После выхода из приложения все очищается. К тому же Portable Edition-программы не требуют прав администратора. Программы типа Ammyy admin и teamviewer как раз такие.

Решил я как-то побороться с этими бедами. Придумал пока такое решение: заблокирую с помощью групповых политик программу Ammyy Admin (затем Teamviewer). Аутсорсинговые компании, которые работают у нас в фирме заставлю пользоваться стандартной программой Удаленный помощник и Удаленный рабочий стол, в перспективе закупим Radmin, который можно разворачивать и администрировать централизованно. Или как злой админ заставлю из приезжать на рабочие места клиентов. Думаю, во многих организациях, где защита инфомарции критичный сервис, именно так и поступают. В общем, время покажет. пока же стоит задача заблокировать использование программы Ammy Admin.

Прежде всего немного теории, буквально очень кратко. Стандартными средствами заблокировать программу (далее “залочить”) можно двумя известными мне способами:

• Для старых ОС типа Windows XP (хотя должно работать и на новых) это механизм политик ограничения использования программ. Работает блокировка по сертификату приложения/пути/хэшу/зоны сети. Я выбрал сертификат программы, остальные способы мне кажутся наименее действенными. Создаем политику, заходим в свойства. идем по нужному пути (см скриншот) и создаем новое дополнительное правило по сертификату:

Далее через Обзор добавляем exe-файл программы. Чтобы удостовериться можно затем нажать конпку “Подробности”:

На этом все. Видим, что все в порядке и сохраняем.

Недостаток у этого есть и он очень существенен: как только что-то меняется в программе, в т.ч. версия, скорее всего сертификат тоже, поэтому создавать новые правила придется постоянно. Именно поэтому механизм ограничения использования программ не прижился в IT-сообществе. Но мы все же понаблюдаем. Теперь второй, более эффективный способ:

• Для ОС версии 7 и выше механизм Applocker. Чем он отличается мы скоро поймем. Рассмотрим Applocker подробно.

Видим 4 пункта: исполняемые правила, правила установщика Windows  и т.д. Нажимаем на каждый пункт правой кнопкой и выбираем “Создать правила по умолчанию”, это необходимо. Везде создается 3 правила по умолчанию, не рекомендую их трогать:

Теперь после того, как появились разрешающие правила, добавим явно запрещающее правило для программы Ammyy Admin. В разделе “исполняемые правила” создаем новое правило. Запускается мастер, нажимаем “Далее”. Выбираем запрещающее правило для всех:

Далее пусть будет “издатель”. А дальше самое важное и интересное. После того, как выбрали через “Обзор” наше приложение, видим уровни взаимодеqствия Applocker. Т.к. программы постоянно обновляются, то смысла блокировать версию  нет, пусть лочатся любые приложения от издателя Ammyy:

Исключений у нас не будет, поэтому пропускаем шаг и нажимаем “создать”. Вот и все, видим наше правило:

Самое главное чуть не забыл: необходимо еще запустить службу “удостоверение приложения” (по-английски по-моему Application Identity). На скриншоте видно, где она включается:

Теперь осталось применить политику на клиентских машинах. Давайте проверим на XP. Для чистоты эксперимента тестить будем 2 версии. После команды gpupdate /force пробуем запустить нашу программу и видим такое:

Причем работало под администратором домена, версии программы разные (3.4 и 3.5), но сработало запрещающее правило все равно. Благодаря сертификату. Мне повезло, что он один на все продукты Ammyy. Но периодически мониторить этого издателя придется и это существенный недостаток. Теперь глянем на машину с Windows 8.1:

Примерно так. В любом случае скорее всего есть механизмы для обхода этих запретов. Говорят, что работает это дело нестабильно и не всегда срабатывает. Вы должны понимать, что любая групповая политика (а особенно такая жесткая) довольно сильно нагружает клиентский компьютер. Одни логи Applocker чего стоят, этот журнал постоянно заполняется при запуске любого приложения. Так что принимайте решение и внедряйте у себя, если это действительно того стоит.

Вам так же понравится:

Перестали открываться программы. Слетели ассоциации ярлыков. Базы на Касперского – новая версия программы Приложение Яндекс.Диск пыталось удалить системные файлы из-за ошибки разработчиков Начальная настройка CISCO девайса (на примере Catalyst 3560G) Знакомимся с прокси-сервером Squid (часть 1. Блокируем домены) Блокируем внешний Интернет при подключении к внутреннему серверу