Как запретить запуск .exe для системы?

Question

[Didier Lord]

Я уже пытался заблокировать запуск программ через реестр и с помощью некоторых программ вроде, AskAdmin. И вроде все работает, программы не запускаются даже от имени администратора. Но если система решит запустить .exe или, если например воспользоваться программой PowerRun, которая открывает файлы от имени системы, то никакие правила установленные на запрет, не работают. Возможно ли запретить системе запускать .exe файлы?

З.Ы. Я не собираюсь запрещать жизненно важные системные exe, только внешние и не отвечающие за работоспособность самой системы, но запущенные от имени системы. Например запрет антивирусу и т.д.

Comments

[Сослан Хлоев]

Я думаю в тот же момент система умрёт)

Answer 1

[АртемЪ]

Как запретить запуск .exe для системы?

Система не запускает программы, их запускают пользователи.

А для пользователя запрет настраивается элементарно -
gpedit.msc -> Конфигурация компьютера -> Конфигурация Windows -> Параметры безопасности -> Политики ограниченного использования программ

Это нормальная практика настройки на рабочих местах.
После грамотной настройки у пользователя запускаются только те программы которые уже установил администратор.
Больше пользователь сделать ничего не может - ни установить программу, ни запустить исполняемый файл.

Comments

[Алексей Харченко]

Да, можно в доменной политике настроить, или в локальной на каждом компе, где нужно.
Сам так делал и доменной политикой, и отдельно на компах без домена. Хорошо помогает от некоторых типов вирусов, которые используют определённые имена исполняемых файлов. Однако сама защита от запуска по имени не очень надёжна - достаточно переименовать файл, и всё спокойно запускается. Для непродвинутых юзеров прокатит.
Надёжнее по хэшу программы, но и тут пользователи могут обойти. Я так обходил запуск psexec, путём правки бинарника (да, просто в заголовке текст чуть исправил - сработало), но это блокировал не SRP, а KES, специально настроенный на запрет этого файла.

[ru6ak]

Алексей Харченко, Ставишь правило по умолчании запретить, далее делаешь исключения на системные папки windows и program files (они уже есть кроме x86), пользователь сидит под пользователем и нечего запустить не может.

[АртемЪ]

Алексей Харченко,

Однако сама защита от запуска по имени не очень надёжна - достаточно переименовать файл

Переименовать это как? В смысле чем поможет?
Разрешен запуск любых исполняемых файлов из папок Windows, Program Files.
Пока в эту папку файл не поместишь - не запустишь.
А прав на запись и изменение файлов в этих папках у пользователя нет.

[Алексей Харченко]

АртемЪ, это если запрещён, например, hl.exe, без указания полного пути (т.е. по любому пути), то юзер может переименовать файл в notepad.exe, и запускать. Конечно, правильнее запретить всё, кроме нужных папок, но мне что-то всё попадались места, где и права админа нужны, и запуск разных sfx архивов часто нужен (ну, присылают в таком виде, это вопрос скорее к организации работ и взаимодействию с другими подразделениями и/или руководителями в организации). P.S. было это давно, и сейчас уже всё иначе, приучили, и не нужны такие жёсткие ограничения, ну, в моих случаях.

[АртемЪ]

Алексей Харченко, Да по отдельности нет смысла.
Если пользователю необходимы права на установку и запуск программ - тут ничего не сделаешь.
Надо, значит надо.

А вот когда не надо - отрезаешь все.
Например оператор сидит, первичку в бухгалтерию заносит -там штук пять программ установлено, и кроме них пользователю вообще ничего не нужно по работе.
Или скажем юрист - там Word, Консультант+, мессенджер, архиватор и браузер.

запуск разных sfx архивов часто нужен

SFX архив можно открыть архиватором.
А запустить - зачем?

[Алексей Харченко]

АртемЪ, я же говорю, у меня это всё было давно - уровень грамотности бабулек на компом был ниже плинтуса, и сложно было объяснить, что и как распаковать архиватором. Иногда проще было запретить запуск всяких игрулек, которые они таскали флешками, а потом им надоело, и вроде устаканилось. Да кстати, кроме архивов, часто прислылали всякие обновления рабочих программ, именно в виде exe файлов, которые сам пользователь и должен быть запустить.

[rionnagel]

АртемЪ, если редакция ниже pro... Как-то мутил киоск на home sl.... Было печально... пришлось решать реестр (оф документация из азур + книг 5 по этой теме), где половину ключей не работают, остальная половина deprecated..(
Публичный терминал Windows 10?

[АртемЪ]

Алексей Харченко, Я же говорю, есть рабочие места, где даже права пользователю невозможно ограничить - так и работают под локальным админом.

Но есть места, где можно и нужно ограничивать. Там пользователю запрещено запускать любые исполняемые программы кроме установленных. В смысле начальник явно запрещает.
А задача админа - исключить возможность.
Если нужно запустить присланный по почте файл - нужно идти к начальству, объяснять необходимость, и если это действительно нужно, то администратор запустит этот файл.

Answer 2

[senior_serg]

Возможно, если запретить системе запускать exe, то система не сможет загрузиться и будет быстро падать?

Comments

[Didier Lord]

Мне не нужно запрещать системе запускать все exe файлы. Я собираюсь делать это выборочно, и только для тех файлов, которые не относятся к системе. Кроме того, вопрос не от том, будет ли запускаться система, а о том, как запретить системе запуск exe. Я думаю, что в самом крайнем случае, пара испорченных виртуальных систем мне ни как не навредят)