Закрыть доступ исполняемым файлам через контроллер домена как сделать?

Question

[Drawn]

хочу дополнительно добавить защиту от возможного исполнения запускаемых файлов через контроллер домена на компах у пользователей. К примеру, сотрудник скачал с почты .bat думая что это документ, открывает его. Как ограничить запуск подобного с помощью AD и какой путь для исполняемого файла нужно закрыть к примеру %appdata%.exe (не точно насчет прописания такого пути), а так о том какие расширения помимо .exe, bat, vbs нужно закрыть?

Comments

[CityCat4]

.com, .dll, .scr

[Виктор]

AppLocker - гуглим и блочим выполнение исполняемых файлов. Только протестировать в "песочнице", а не сразу правила на весь домен применять.

[ZERGeich]

Вы уверены, что после закрытия права на запуск подобных приложений (по расширению) - работать на компьютере будет ещё возможно?

[Виктор]

ZERGeich, возможно будет работать. Работали уже с такими ограничениями. Но ОБЯЗАТЕЛЬНО надо сначала тестировать, а потом уже применять на весь домен.
P.S. данные политики не затрагивают Program Files, Windows и подобные необходимые для работы Винды каталоги... ну если конечно админ не криворукий)))

[Роман Безруков]

какие расширения помимо .exe, bat, vbs нужно закрыть?

- например, взять за основу список расширений, которые блокируются Outlook

Answer 1

[Alexey Dmitriev]

Вам нужно настроить соответствующие политики AppLocker в GPO.

Answer 2

[9999_dk]

Плохая идея закрывать исполняемые файлы. Времена софта с единственным исполняемым файлом давно канули в лету. под истерики юзеров и громы с молниями от руководства сдашься не пройдя и половины пути формирования белого списка.
Сделай в домене группу подопытных кроликов (по одному безобидному человеку от подразделения) и через gp на максималку UAC - сможешь ощутить на 1 % то, что ожидает.
Закрой лучше почту от исполняемых файлов и rar-архивов.

Answer 3

[Роман Безруков]

Б = Безопасность
Самый первый шаг - это закрепить на бумаге текущее состояние инфраструктуры и то, что вы хотите получить в результате ваших действий.
Далее должен родиться план мероприятий, по которому вы будете внедрять те или иные инструменты контроля/управления и вводить ограничения и т.д.
По идее - вам надо сначала заняться контролем и ограничением "причин" (точки проникновения подозрительного контента в вашу сеть - почта, флешки и т.д.), средств для этого существует достаточно (GPO, тулзы от Касперского, например).
Далее - внутренний контроль (собственно, то, что вы хотите сделать) с максимальным закручиваем гаек в отношении рядовых пользователей: UAC, GPO, AppLocker, Software Restrictions Policy, тулзы от Касперского и т.д.
Естественно, не забываем про разграничение доступов, полномочий, использование разных учеток для выполнения административных задач и обычной работы и т.д.

Answer 4

[fpir]

Запрет исполняемых файлов из директории пользователя
Следующий вопрос будет как права на папки разовать?