实训利用软件限制策略限制客户端安装和运行软件

第2章操作系统安全

实训2-4：利用软件限制策略限制客户端安装和运行软件（学时）本次课要点学习目标重点难点实训目的理解软件限制策略的作用掌握限制用户使用指定软件的配置方法掌握限制用户安装软件的方法掌握只允许用户使用某些软件的方法实训背景在企业网络中，企业管理员不允许用户使用未授权软件，而有些用户使用QQ等聊天工具。此时，管理员要求网络人员限制用户使用非授权软件。其实，限制用户安装和使用未授权软件，对于整个企业的网络安全也是有好处的，做了限制以后，有些病毒程序也不能运行了。下面我们就来看看怎样通过组策略来限制用户安装和使用软件。实训拓扑实训设备设备数量服务器（安装windows2000/2003操作系统）1台实训步骤1.使用“不要运行指定的Windows应用程序”限制用户使用未授权软件2.使用哈希规则来限制用户使用未授权软件3.只允许开通公司允许的软件运行4.限制用户安装软件1.使用“不要运行指定的Windows应用程序”限制用户使用未授权软件1.使用“不要运行指定的Windows应用程序”限制用户使用未授权软件（1）在运行窗口中输入命令“gpedit.msc”，打开“组策略编辑器”，如所示。1.使用“不要运运行指定的Windows应用程序”限限制用户使用用未授权软件件（2）选择【用户配置】【管理模板】【系统】，然后双击右右面板上的““不要运行指指定的Windows应用程序”，，在打开的对对话框中，选选择，然后后单击按钮钮，如所示。。1.使用“不要运运行指定的Windows应用程序”限限制用户使用用未授权软件件（3）在“显示内内容”对话框框中，添加要要限制的程序序，比如，如如果我们要限限制使用记事事本，那么就就添加notepad.exe，如所示。1.使用“不要运运行指定的Windows应用程序”限限制用户使用用未授权软件件（4）单击按按钮，然然后单击按按钮钮，完成组策策略的设置，，如所示。1.使用“不要运运行指定的Windows应用程序”限限制用户使用用未授权软件件（5）然后到客户户端做测试，，双击“Notepad.exe”，会打开限制制窗口，如所所示。1.使用“不要运运行指定的Windows应用程序”限限制用户使用用未授权软件件（6）由于这种方方式是根据程程序名的，如如果把程序名名改一下就会会不起作用了了，比如我们们把Notepad.exe改为notepad1.exe，再登录，如如所示，又可可以使用该软软件了。2.使用哈希规则则来限制用户户使用未授权权软件2.使用哈希规则则来限制用户户使用未授权权软件（1）打开“组策策略”编辑器器。（2）选择【用户配置】【Windows设置】【安全设置】【软件限制策略略】，右击【软件限制策略略】，选择“创建建软件限制策策略”，如所所示。2.使用哈希规则则来限制用户户使用未授权权软件（3）右击【软件限制策略略】下的【其他规则】，选择“新建建哈希规则””，在打开的的对话框中，，单击按按钮，，找到要限制制的软件“Notepade.exe”，如所示。2.使用哈希规则则来限制用户户使用未授权权软件（4）单击按按钮后，，新建的哈希希规则如所示示。2.使用哈希规则则来限制用户户使用未授权权软件（5）关闭组策略略编辑器，哈哈希规则限制制软件使用就就已经建好了了。我们到客客户端去测试试打开记事本本，出现如下下提示。2.使用哈希规则则来限制用户户使用未授权权软件（6）不过，这种种方式也不是是绝对的有效效，如果软件件版本更新，，那么我们就就必须对新的的版本做一次次哈希规则，，之前做的哈哈希规则只能能对配置时的的软件版本有有效。如果这这样每次有软软件更新都做做哈希规则的的话，管理员员的任务是很很重的，所以以这种方法虽虽然有用，不不过不能算好好的方法。3.只允许许开通通公司司允许许的软软件运运行3.只允许许开通通公司司允许许的软软件运运行（1）打开开“组组策略略编辑辑器””，选选择““用户户配置置”->““管理模模板””->““系统””，在在右面面板上上双击击“只只运行行许可可的Windows应用程序”，，如所示。2.使用哈希规则则来限制用户户使用未授权权软件（2）在“只运行行许可的Windows应用程序属属性”对话框框中，选择““已启用”，，然后单击按按钮，如所所示。2.使用哈希规则则来限制用户户使用未授权权软件（3）在“显示内内容”对话框框中，添加公公司允许使用用的软件，如如所示。单击击按按钮，关闭组组策略编辑器器，完成组策策略的设置。。2.使用哈希规则则来限制用户户使用未授权权软件（4）在客户端，，随便找一个个非允许的软软件，双击都都会出现如所所示对话框。。OK，现在我们就就已经做到限限制软件的使使用了。这种种方法比前一一种方法更为为实用。4.限制用户安装装软件4.限制用户安装装软件由于我们域中中有些用户具具有PowerUser权限，而拥有有该权限的用用户是可以安安装软件了，，为了防止用用户未经授权权自行安装软软件。我们必必须对用户做做安装软件的的限制。（1）打开“组策策略编辑器””4.限制用户安装装软件（2）选择【计算机配置】【Windows设置】【安全设置】【软件限制策略略】【安全级别】，然后在右侧侧列表中右击击“不允许的的”项，选择择【设置为默认】菜单，将默认认的安全级别别改为“不允允许的”，