Transkript

1 Seite 1 von 7 Verwendung von Richtlinien für Softwareeinschränkung in Windows Server 2003 Dieser Artikel beschreibt die Verwendung von Richtlinien für Softwareeinschränkung in Windows Server Wenn Sie Richtlinien für Softwareeinschränkung verwenden, können Sie die Software identifizieren und angeben, deren Ausführung zulässig sein soll, um Ihre Computerumgebung gegen nicht vertrauenswürdigen Code zu schützen. Sie können dazu für ein Gruppenrichtlinienobjekt die Standardsicherheitsstufe Nicht eingeschränkt oder Nicht erlaubt angeben und so festlegen, dass die Ausführung von Software standardmäßig zulässig oder nicht zulässig ist. Um Ausnahmen für diese Standardsicherheitsstufe zu definieren, können Sie für bestimmte Software Regeln erstellen. Sie können folgende Typen von Regeln erstellen: Hashregeln Zertifikatregeln Pfadregeln Internetzonenregeln Eine Richtlinie besteht aus der Standardsicherheitsstufe und allen Regeln, die auf ein Gruppenrichtlinienobjekt angewendet werden. Diese Richtlinie kann für alle Computer oder einzelne Benutzer gelten. Richtlinien für Softwareeinschränkung bieten eine Reihe von Möglichkeiten für die Identifizierung von Software. Außerdem bieten sie eine richtlinienbasierte Infrastruktur zum Erzwingen von Entscheidungen, ob die jeweilige Software ausgeführt werden darf. Wenn Richtlinien für Softwareeinschränkung eingesetzt werden, unterliegen die Benutzer bei der Ausführung von Programmen den von Administratoren festgelegten Richtlinien. Bei Verwendung von Richtlinien für Softwareeinschränkung haben Sie folgende Möglichkeiten: Sie können steuern, welche Programme auf Ihrem Computer ausgeführt werden dürfen. Sie können z.b. eine Richtlinie anwenden, die die Ausführung bestimmter Dateitypen im Ordner für -Anlagen Ihres -Programms nicht zulässt, wenn Sie befürchten, dass Benutzer per E- Mail Viren erhalten. Sie können festlegen, dass Benutzer auf Computern mit mehreren Benutzern nur bestimmte Dateien ausführen dürfen. Wenn Ihre Computer z.b. von mehreren Benutzern verwendet werden, können Sie Richtlinien für Softwareeinschränkung so einrichten, dass die Benutzer nur zu der Software für die speziellen Dateien Zugang haben, die sie für ihre Arbeit benötigen. Sie können festlegen, wer vertrauenswürdige Herausgeber auf Ihrem Computer hinzufügen darf. Sie können steuern, ob Richtlinien für Softwareeinschränkung für alle Benutzer eines Computers oder nur für bestimmte Benutzer gelten. Sie können die Ausführung beliebiger Dateien auf Ihrem lokalen Computer, in Ihrer Organisationseinheit, Ihrem Standort oder Ihrer Domäne verhindern. Wenn es z.b. einen bekannten Virus gibt, können Sie mit Richtlinien für Softwareeinschränkung verhindern, dass der Computer die Datei öffnet, die den Virus enthält. Wichtig: Microsoft empfiehlt, Richtlinien für Softwareeinschränkung nicht als Ersatz für Antivirus-Software zu verwenden. Starten der Richtlinien für SoftwareeinschränkungNur für den lokalen Computer 1. Klicken Sie auf Start, zeigen Sie auf Programme und auf Verwaltung, und klicken Sie dann auf Lokale Sicherheitsrichtlinie. 2. Erweitern Sie in der Konsolenstruktur Sicherheitseinstellungen und dann Richtlinien für Softwareeinschränkung. Für eine Domäne, einen Standort oder eine Organisationseinheit auf einem Mitgliedserver oder eine Arbeitsstation, die Mitglied einer Domäne ist 1. Öffnen Sie die Microsoft Management Console (MMC). Klicken Sie dazu auf Start, auf Ausführen, geben Sie mmc ein, und klicken Sie 2. Klicken Sie im Menü Datei auf Snap-in hinzufügen/entfernen und dann auf auf Hinzufügen.

2 Seite 2 von 7 3. Klicken Sie auf Gruppenrichtlinienobjekt-Editor und dann auf Hinzufügen. 4. Klicken Sie in Gruppenrichtlinienobjekt auswählen auf Durchsuchen. 5. Wählen Sie in Gruppenrichtlinienobjekt suchen ein Gruppenrichtlinienobjekt in der jeweiligen Domäne, dem Standort oder der Organisationseinheit aus, und klicken Sie auf Fertig stellen. Alternativ können Sie ein neues Gruppenrichtlinienobjekt erstellen und dann auf Fertig stellen klicken. 6. Klicken Sie auf Schließen und 7. Gehen Sie in der Konsolenstruktur zu folgendem Pfad: Gruppenrichtlinienobjekt Computername Richtlinie/Computerkonfiguration oder Benutzerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Richtlinien für Softwareeinschränkung Für eine Domäne oder Organisationseinheit auf einem Domänencontroller oder eine Arbeitsstation mit installiertem Administration Tools Pack 1. Klicken Sie auf Start, zeigen Sie auf Programme und anschließend auf Verwaltung, und klicken Sie anschließend auf Active Directory-Benutzer und -Computer. 2. Klicken Sie in der Konsolenstruktur mit der rechten Maustaste auf die Domäne oder Organisationseinheit, für die Sie die Gruppenrichtlinie festlegen möchten. 3. Klicken Sie auf Eigenschaften und anschließend auf die Registerkarte Gruppenrichtlinie. 4. Klicken Sie auf einen Eintrag in Gruppenrichtlinienobjekt-Verknüpfungen, um ein vorhandenes Gruppenrichtlinienobjekt auszuwählen. Klicken Sie anschließend auf Bearbeiten. Klicken Sie alternativ auf Neu, um ein neues Gruppenrichtlinienobjekt zu erstellen, und klicken Sie anschließend auf Bearbeiten. 5. Gehen Sie in der Konsolenstruktur zu folgendem Pfad: Gruppenrichtlinienobjekt Computername Richtlinie/Computerkonfiguration oder Benutzerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Richtlinien für Softwareeinschränkung Für Ihren Standort und einen Domänencontroller oder eine Arbeitsstation mit installiertem Administration Tools Pack 1. Klicken Sie auf Start, zeigen Sie auf Alle Programme und dann auf Verwaltung, und klicken Sie anschließend auf Active Directory-Standorte und -Dienste. 2. Klicken Sie in der Konsolenstruktur mit der rechten Maustaste auf den Standort, für den Sie die Gruppenrichtlinie festlegen möchten: Active Directory-Standorte und -Dienste [ Domänencontrollername. Domänenname] Standorte Standort 3. Klicken Sie auf Eigenschaften und anschließend auf die Registerkarte Gruppenrichtlinie. 4. Klicken Sie auf einen Eintrag in Gruppenrichtlinienobjekt-Verknüpfungen, um ein vorhandenes Gruppenrichtlinienobjekt auszuwählen. Klicken Sie anschließend auf Bearbeiten. Klicken Sie alternativ auf Neu, um ein neues Gruppenrichtlinienobjekt zu erstellen, und klicken Sie anschließend auf Bearbeiten. 5. Gehen Sie in der Konsolenstruktur zu folgendem Pfad: Gruppenrichtlinienobjekt Computername Richtlinie/Computerkonfiguration oder Benutzerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Richtlinien für Softwareeinschränkung Wichtig: Klicken Sie auf Benutzerkonfiguration, um Richtlinien festzulegen, die auf Benutzer

3 Seite 3 von 7 angewendet werden sollen, unabhängig von dem Computer, an dem diese Benutzer sich Klicken Sie auf Computerkonfiguration, um Richtlinien festzulegen, die auf Computer angewendet werden sollen, unabhängig von den Benutzern, die sich an diesen Computern Sie können Richtlinien für Softwareeinschränkung auch auf bestimmte Benutzer anwenden, die sich an einem bestimmten Computer anmelden, indem Sie eine erweiterte Gruppenrichtlinieneinstellung verwenden, die als "Loopback" bezeichnet wird. Verhindern der Anwendung von Richtlinien für Softwareeinschränkung auf lokale Administratoren 3. Doppelklicken Sie im Detailfenster auf Erzwingen. 4. Klicken Sie unter Richtlinien für Softwareeinschränkung auf folgende Benutzer anwenden auf Alle Benutzer außer den lokalen Administratoren. In der Regel sind Benutzer in Ihrer Organisation auf ihren Computern Mitglieder der Gruppe der Administratoren. Deshalb kann es sinnvoll sein, diese Einstellung nicht zu aktivieren. Richtlinien für Softwareeinschränkung gelten nicht für Benutzer, die Mitglieder ihrer lokalen Administratorengruppe sind. Wenn Sie eine Richtlinieneinstellung für Softwareinschränkung für Ihren lokalen Computer festlegen, verwenden Sie dieses Verfahren, um zu verhindern, dass Richtlinien für Softwareeinschränkung auf lokale Administratoren angewendet werden. Wenn Sie eine Richtlinieneinstellung für Softwareeinschränkung für Ihr Netzwerk festlegen, filtern Sie die Benutzerrichtlinieneinstellungen anhand der Mitgliedschaft in Sicherheitsgruppen über die Gruppenrichtlinie. Erstellen einer Zertifikatregel 3. Klicken Sie in der Konsolenstruktur oder im Detailfenster mit der rechten Maustaste auf Zusätzliche Regeln. Klicken Sie anschließend auf Neue Zertifikatregel. 4. Klicken Sie auf Durchsuchen, und wählen Sie ein Zertifikat aus. 5. Wählen Sie eine Sicherheitsstufe. 6. Geben Sie im Feld Beschreibung eine Beschreibung für die Regel ein, und klicken Sie auf OK. Informationen zum Starten von Richtlinien für Softwareeinschränkung in der MMC finden Sie in der entsprechenden Dokumentation in der Windows Server 2003-Hilfedatei. Standardmäßig sind Zertifikatregeln nicht aktiviert. Gehen Sie folgendermaßen vor, um Zertifikatregeln zu aktivieren: 1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie regedit ein, und klicken Sie 2. Suchen Sie nach folgendem Registrierungsschlüssel, und klicken Sie darauf: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers

4 Seite 4 von 7 3. Doppelklicken Sie im Detailfenster auf AuthenticodeEnabled, und ändern Sie den Wert von 0 auf 1. Nur die Dateitypen, die in Designierte Dateitypen aufgelistet sind, sind von Zertifikatregeln Erstellen einer Hashregel 3. Klicken Sie in der Konsolenstruktur oder im Detailfenster mit der rechten Maustaste auf Zusätzliche Regeln. Klicken Sie anschließend auf Neue Hashregel. 4. Klicken Sie auf Durchsuchen, um nach einer Datei zu suchen, oder fügen Sie einen zuvor berechneten Hashwert im Feld Dateihash ein. 5. Klicken Sie im Feld Sicherheitsstufe entweder auf Nicht erlaubt oder Nicht eingeschränkt. 6. Geben Sie im Feld Beschreibung eine Beschreibung für die Regel ein, und klicken Sie auf OK. Sie können eine Hashregel für einen Virus oder Trojander erstellen, um die Ausführung der schädlichen Software zu verhindern. Wenn andere Benutzer eine Hashregel verwenden sollen, um die Ausführung eines Virus zu verhindern, berechnen Sie den Hashwert des Virus mit Richtlinien für die Softwareeinschränkung, und senden Sie ihn per an andere Benutzer. Senden Sie niemals den Virus selbst per E- Mail. Wenn ein Virus per gesendet wurde, können Sie auch eine Pfadregel erstellen, um zu verhindern, dass Benutzer -Anlagen ausführen. Eine Datei, die umbenannt oder in einen anderen Ordner verschoben wird, ergibt weiterhin denselben Hashwert. Wenn eine Datei geändert wird, so ergibt sich ein anderer Hashwert. Nur die Dateitypen, die in Designierte Dateitypen aufgelistet sind, sind von Hashregeln Erstellen einer Internetzonenregel 3. Klicken Sie in der Konsolenstruktur auf Richtlinien für Softwareeinschränkung. 4. Klicken Sie in der Konsolenstruktur oder im Detailfenster mit der rechten Maustaste auf Zusätzliche Regeln. Klicken Sie anschließend auf Neue Internetzonenregel. 5. Klicken Sie in Internetzone auf eine Internetzone. 6. Klicken Sie im Feld Sicherheitsstufe entweder auf Nicht erlaubt oder Nicht eingeschränkt. Klicken Sie

5 Seite 5 von 7 Zonenregeln gelten nur für Windows Installer-Pakete. Nur die Dateitypen, die in Designierte Dateitypen aufgelistet sind, sind von Zonenregeln Erstellen einer Pfadregel 3. Klicken Sie in der Konsolenstruktur oder im Detailfenster mit der rechten Maustaste auf Zusätzliche Regeln. Klicken Sie anschließend auf Neue Pfadregel. 4. Geben Sie im Feld Pfad einen Pfad an, oder klicken Sie auf Durchsuchen, um nach einer Datei oder einem Ordner zu suchen. 5. Klicken Sie im Feld Sicherheitsstufe entweder auf Nicht erlaubt oder Nicht eingeschränkt. 6. Geben Sie im Feld Beschreibung eine Beschreibung für die Regel ein, und klicken Sie auf OK. Wichtig: In bestimmten Ordnern, z.b. dem Windows-Ordner, kann das Festlegen der Sicherheitsstufe auf Nicht erlaubt die Funktionsfähigkeit Ihres Betriebssystems beeinträchtigen. Stellen Sie sicher, dass Sie keine wichtige Komponente des Betriebssystems oder eines ihrer abhängigen Programme verbieten. Wenn Sie für ein Programm eine Pfadregel mit der Sicherheitsstufe Nicht erlaubt erstellen, kann ein Benutzer die Software weiterhin ausführen, indem er sie in einen anderen Pfad kopiert. Die von der Pfadregel unterstützten Platzhalter sind der Stern (*) und das Fragezeichen (?). Sie können in Ihrer Pfadregel Umgebungsvariablen wie z.b. "%programfiles%" oder "% systemroot%" verwenden. Wenn Sie eine Pfadregel erstellen möchten und nicht wissen, wo die betreffende Software auf einem Computer gespeichert ist, Sie jedoch den Registrierungsschlüssel dieser Software haben, können Sie eine Registrierungspfadregel erstellen. Um zu verhindern, dass Benutzer -Anlagen ausführen, können Sie eine entsprechende Pfadregel für den Anlagenordner Ihres -Programms anlegen. Nur die Dateitypen, die in Designierte Dateitypen aufgelistet sind, sind von Pfadregeln Erstellen einer Registrierungspfadregel 1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie regedit ein, und klicken Sie 2. Klicken Sie in der Konsolenstruktur mit der rechten Maustaste auf den Registrierungsschlüssel, für den Sie eine Regel erstellen möchten, und klicken Sie anschließend auf Schlüsselnamen

6 Seite 6 von 7 kopieren. 3. Notieren Sie den Wertnamen im Detailfenster. 4. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie mmc ein, und klicken Sie 5. Öffnen Sie die Richtlinien für Softwareeinschränkung. 6. Klicken Sie in der Konsolenstruktur oder im Detailfenster mit der rechten Maustaste auf Zusätzliche Regeln. Klicken Sie anschließend auf Neue Pfadregel. 7. Fügen Sie in Pfad den Namen des Registrierungsschlüssels und den Wertnamen ein. 8. Schließen Sie den Registrierungspfad in Prozentzeichen (%) ein. Beispiel: % HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PlatformSDK\Directories\InstallDir% 9. Klicken Sie im Feld Sicherheitsstufe entweder auf Nicht erlaubt oder Nicht eingeschränkt. 10. Geben Sie im Feld Beschreibung eine Beschreibung für die Regel ein, und klicken Sie auf OK. Sie müssen Mitlied der Administratorengruppe sein, um dieses Verfahren anwenden zu können. Formatieren Sie den Registrierungspfad folgendermaßen: % Registrierungsstruktur\ Name des Registrierungsschlüssels\ Wertname% Sie müssen den Namen der Registrierungsstruktur ausschreiben; Abkürzungen sind nicht zulässig. Sie können z.b. HKEY_CURRENT_USER nicht durch HKCU ersetzen. Die Registrierungspfadregel kann nach dem schließenden Prozentzeichen (%) ein Suffix enthalten. Verwenden Sie im Suffix keinen umgekehrten Schrägstrich (\). Sie können beispielsweise die folgenden Registrierungspfadregel verwenden: %HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache%OLK* Nur die Dateitypen, die in Designierte Dateitypen aufgelistet sind, sind von Pfadregeln Hinzufügen oder Löschen eines designierten Dateityps 3. Doppelklicken Sie im Detailfenster auf Designierte Dateitypen. 4. Führen Sie den jeweiligen Schritt durch: Geben Sie die Dateinamenerweiterung im Feld Dateierweiterung ein, und klicken Sie auf Hinzufügen, um einen Dateityp hinzuzufügen. Klicken Sie im Feld Designierte Dateitypen auf den Dateityp und dann auf Entfernen, um einen Dateityp zu löschen.

7 Seite 7 von 7 Die Liste der designierten Dateitypen wird von allen Regeln für jede Konfiguration verwendet. Die Liste der designierten Dateitypen für Computerrichtlinieneinstellungen unterscheidet sich von der Liste der designierten Dateitypen für Benutzerrichtlinieneinstellungen. Ändern der Standardsicherheitsstufe von Richtlinien für Softwareeinschränkung 3. Doppelklicken Sie im Detailfenster auf Sicherheitsstufen. 4. Klicken Sie mit der rechten Maustaste auf die Sicherheitsstufe, die Sie als Standard festlegen möchten, und klicken Sie anschließend auf Als Standard. Achtung: In bestimmten Ordnern kann das Festlegen der Sicherheitsstufe auf Nicht erlaubt die Funktionsfähigkeit Ihres Betriebssystems beeinträchtigen. Im Detailfenster wird die aktuelle Standardsicherheitsstufe durch einen schwarzen Kreis gekennzeichnet, der eine Markierung enthält. Wenn Sie mit der rechten Maustaste auf die aktuelle Standardsicherheitsstufe klicken, erscheint der Befehl Als Standard nicht im Menü. Regeln werden erstellt, um Ausnahmen von der Standardsicherheitsstufe festzulegen. Wenn die Standardsicherheitsstufe auf Nicht eingeschränkt festgelegt ist, geben die Regeln Software an, deren Ausführung nicht erlaubt ist. Wenn die Standardsicherheitsstufe auf Nicht erlaubt festgelegt ist, geben die Regeln Software an, deren Ausführung erlaubt ist. Wenn Sie die Standardstufe ändern, so wirkt sich dies auf alle Dateien auf dem Computer aus, auf die Richtlinien für Softwareeinschränkung angewendet werden. Bei der Installation ist die Standardsicherheitsstufe der Richtlinien für Softwareeinschränkung für alle Dateien auf Ihrem Computer auf Nicht eingeschränkt eingestellt. Einstellen von Optionen für vertrauenswürdige Herausgeber 3. Doppelklicken Sie auf Vertrauenswürdige Herausgeber. 4. Klicken Sie auf die Benutzer, die entscheiden sollen, welche Zertifikate als vertrauenswürdig gelten. Klicken Sie Sie können festlegen, wer vertrauenswürdige Herausgeber, Benutzer, Administratoren oder Organisationsadministratoren hinzufügen kann. Mit diesem Tool können Sie z.b. verhindern, dass Benutzer Entscheidungen über die Vertrauenswürdigkeit der Herausgeber von ActiveX- Steuerelementen treffen. Lokale Computeradministratoren sind berechtigt, vertrauenswürdige Herausgeber auf dem lokalen Computer anzugeben. Organisationsadministratoren sind berechtigt, vertrauenswürdige Herausgeber auf Ebene der Organisationseinheit anzugeben. Dieser Ausdruck stammt von der Win2000Helpline. Schauen Sie doch mal öfters auf unsere Webseite. URL dieser Seite: Copyright WinHelpline