Возможно ли заблокировать установку Yandex браузера, Amigo, Mail и прочей нехорошей штуки через групповую политику доменной сети?

Question

[Nicelogin]

Возможно ли заблокировать установку Yandex браузера, Amigo, Mail и прочей нехорошей штуки через групповую политику доменной сети? Все это устанавливается без прав администратора, по этому "user" могут творить что хотят установив эти браузеры. Запретить локально через AppLocker невозможно так как большинство компьютеров на windows xp, да и это не совсем выход. Как запретить установку таких программ?

Comments

[xmoonlight]

Вангую, что следующий вопрос будет: как запретить установку других каких-то программ...

А ответ один:
нужно или совсем запрещать установку программ, или не запрещать вовсе....
или
не давать запускать никакие программы, кроме уже установленных в ОС и разрешить установку только из шары "надёжных" программ, которая централизовано управляется админами сети..

Answer 1

[Rsa97]

Возможно. Достаточно запретить пользователям запуск программ из любых каталогов, кроме C:\Windows, C:\Program Files и C:\Program Files (x86).
Для XP есть Software Restriction Policy (SRP).

Comments

[Nicelogin]

В таком случае перестанут запускаться и другие программы необходимые в работе, так как они тоже хранят свои файлики в скрытых каталогах и по другим адресам.

[Rsa97]

Nicelogin: Так добавьте разрешённые программы в белый список

[zzamzam]

Это самый правильный вариант - разрешать запуск программ только оттуда, где пользователь не имеет прав на запись. К тому же защитит от запуска криптолокера или подобного

[Rsa97]

SyavaSyava: Выше XP уже есть AppLocker, а под XP только SRP.

[mudatad]

Nicelogin:

В таком случае перестанут запускаться и другие программы необходимые в работе, так как они тоже хранят свои файлики в скрытых каталогах и по другим адресам.

Речь не о данных, а о программах.

Никакие программы не должны запускаться ни откуда еще кроме как из разрешенных администратором каталогов, куда их не может положить простой пользователь.

Данные все также могут лежать в профиле пользователя.
А вот положенный туда exe-файл не должен запускаться - в этом и идея.

[yosemity]

SyavaSyava: не 100%, шифрование может быть запущено через макросы или через любую другую брешь во вполне себе легитимном ПО, так что софт должен быть тоже ап ту дейт.

[yosemity]

SyavaSyava: все верно, но раз в год и палка стреляет. К тому же вы безаппеляционно заявляете, что SRP дает 100% гарантию от шифровальщиков, это не так. А если юзер захочет обойти SRP злонамеренно, то что его вообще остановит?

[yosemity]

SyavaSyava: Макрос может шифровать данные собственными механизмами, без использования стороннего исполняемого объекта. То, что пока таких нет или мало не говорит о том, что не появятся в дальнейшем. Вот, как пример - недавний шифровальщик, который вызывается через внешнюю обработку 1с. Если положить на 1с весь код зловреда, то ни одна SRP тут вообще не поможет, от слова никак. Конкретно в этом случае помогает только полный запрет на выполнение внешних обработок. 1с об этом позаботились и в поддерживаемых конфах запилили предупреждение с рекомендацией отключения внешних обработок. Но, во-первых, не все этой рекомендацией воспользовались, а во-вторых, есть 100500 устаревших или просто сторонних конфигураций, с которыми не все так просто.
> А если админ не умеет это делать, то причём тут политики?
Всё так, если админ не умеет использовать все средства защиты, то политики тут мало помогут.
В итоге, говорить, что SRP дает 100% защиту нельзя. Как один из отличных инструментов - да, но не панацея.

Answer 2

[vreitech]

с помощью встроенного механизма ACL файловой системы запретите пользователям создание файлов и папок везде, кроме собственно папки пользователя, а в папке пользователя запретите запуск файлов на исполнение.

Comments

[vreitech]

Собственно, для сетевой папки профилей пользователей я так и сделал у себя.
Можете для своей папки C:\Users выставить:

СОЗДАТЕЛЬ-ВЛАДЕЛЕЦ
Разрешить
Только для файлов
	[Содержание папки / чтение данных
	Чтение атрибутов
	Чтение дополнительных атрибутов
	Создание файлов / запись данных
	Создание папок / дозапись данных
	Запись атрибутов
	Запись дополнительных атрибутов
	Удаление подпапок
	Удаление
	Чтение разрешений]

СОЗДАТЕЛЬ-ВЛАДЕЛЕЦ
Разрешить
Только для подпапок
	[Траверс папок / выполнение файлов
	Содержание папки / чтение данных
	Чтение атрибутов
	Чтение дополнительных атрибутов
	Создание файлов / запись данных
	Создание папок / дозапись данных
	Запись атрибутов
	Запись дополнительных атрибутов
	Удаление подпапок
	Удаление
	Чтение разрешений]

СИСТЕМА
Разрешить
Для этой папки, ее подпапок и файлов
	[Полный доступ]

Администраторы
Разрешить
Для этой папки, ее подпапок и файлов
	[Полный доступ]

Пользователи
Разрешить
Только для этой папки
	[Траверс папок / выполнение файлов
	Содержание папки / чтение данных
	Чтение атрибутов
	Чтение дополнительных атрибутов
	Чтение разрешений]

Расставляете эти права для C:\Users, ставите галку "Заменить все записи разрешений дочернего объекта наследуемыми от этого объекта" и жмёте "ОК".

Answer 3

[Вадим Чопоров]

Почитаю ответы, но мне кажется единственный вариант - это блочить создание папок и файлов с соответствующими названиями, в профилях пользователей и соответствующих ветках реестра. Но они (названия) могут меняться со временем - нужно следить за актуальностью.

Comments

[Nicelogin]

Этот способ не подойдет к сожалению, так как, например, Mail установщик умеет переименовывать папки для установки, если они заняты или к ним нет доступа. То есть программка найдет куда себя положить на диске.

[Adamos]

Это как раз тот случай, когда, отчаявшись найти правильное и элегантное решение проблемы, нужно выдохнуть, расслабиться и понять, что дело просто в том, что ты решаешь не ту проблему.

Answer 4

[Alexey Chernyavskiy]

Не совсем блокировка, но утилита по снятию чекбоксов левых приложений при установке нужных. Uncheky https://unchecky.com

Comments

[Egor]

Это лучшее простейшее решение! Спасибо!

Answer 5

[LAG_LAGbI4]

applocker запрет установки программ от издателей yandex mail.

но какой в этом смыл я не очень понимаю.

Comments

[CityCat4]

Утечка данных через личную почту. У Вас никогда финансовые документы сотрудники себе на личную почту не отправляли?

[tartarelin]

CityCat4: это то тут причём, чтобы воспользоваться личной почтой устанавливать дополнительные программы не нужно

[LAG_LAGbI4]

CityCat4: что за чушь? ты можешь усраться с безопасностью на рабочем компе, а сотрудник сфоткает монитор мобильным телефоном

[mudatad]

LAG_LAGbI4:

что за чушь? ты можешь усраться с безопасностью на рабочем компе, а сотрудник сфоткает монитор мобильным телефоном

То что можно сфоткать - можно и на принтере распечатать, положить под стельку и вынести.
То, что можно сфоткать - можно и запомнить, в конце то концов.

Без файлов невозможно вынести большие объемы информации.

[LAG_LAGbI4]

mudatad: какая связь между программами от яндекса и мэйла и выносом информации?

[mudatad]

LAG_LAGbI4:

что за чушь? ты можешь усраться с безопасностью на рабочем компе, а сотрудник сфоткает монитор мобильным телефоном

какая связь между программами от яндекса и мэйла и выносом информации?

Я не знаю, какая моча вам в голову стукнула и вы про мобильный телефон написали в теме про запрет установки программ Яндекс/Майл

Сейчас же поняли что сморозили глупость и идете на попятную.

Сотрите тогда, не позорьтесь.

[Rsa97]

mudatad: Если информация действительно ценная - включаем телефон на видеозапись и просматриваем файлы.

[CityCat4]

tartarelin: Не нужно. Но mail.ru предлагает "повысить удобство" и всем навяливает свои расширения в браузер и т.д. Амиго этот как таракан - только избавишься - он снова заводится

[CityCat4]

LAG_LAGbI4: А я с Вами на брудершафт не пил, чтобы мне тыкали тут всякие. Пускай сфоткает. А потом помотается по судам за разглашение коммерческой тайны.

Answer 6

[Сергей]

На шлюзе фильтровать данные файлы при передаче. Запретить юзеру ставить программы в домашнюю папку. Запретить запускать за пределами системных папок. Запретить запускать все кроме разрешенных исполняемых файлов.

Comments

[pfg21]

не поможет эта хрень идет в комплекте других инсталеров :(

[Stalker_RED]

Павел: Вы не поняли. "Другие" инсталляторы тоже попадут под запрет. Пользователь вообще ничего не сможет установить.

Answer 7

[Kelv13]

Можно на максимальной версии Windows с помощью applocker. Вот тут подробно: https://wintech.net.ru/index.php?newsid=861