要想节制运行在营业环境中的所有益用听起来仿佛像是不成能完成的任务，并且平心而论，达成这一方针确切需要投进大年夜量精力。我们需要拟定治理政策以限制软件安装与履行，并操纵东西确保这些政策获得切实贯彻，而不至于像行政治理工作那样“蜻蜓点水”般一带而过。全部流程需要以摸索的立场组织实验、发现弊端，然后才能慢慢推开。不外只要能从实践中堆集经验，如许的措置编制也将给我们带来诸多回报，此中包含：
歹意软件几近会获得完全肃除。但凡没有获得核准或列进白名单的利用法度都不承诺履行。
由用户安装未受审核的利用(例如iTunes与Dropbox)所激发的桌面系统撑持坚苦将大年夜幅削减。
针对数据泄漏的呵护机制获得加强，因为用户没法利用那些没有与组策略设定相匹配的利用法度，也就没法绕开企业预先拟定好的安然政策。
在本文中，我将带大年夜家一同体味如安在Windows客户计较机中对软件安装及履行实施节制。除非特别申明，不然我提到的一切把持编制都基于Windows Server2008及后续版本，是以各位没必要担忧因为利用第三方东西而带来额外的许可开支。别的，我还会为大年夜家总结各套方案的优势与错误谬误。
限制Windows安装法度
假定您是一名二八开原则的忠厚拥戴者，完全可以操纵20%的精力对Windows安装法度做出简单限制，从而获得80%的治理节制成效。我们最多见的措置编制凡是是借助组策略。成立一个组策略对象(group policy object，GPO)，右键点击进行编纂，并在弹出的组策略对象编纂器窗口中顺次找到计较机建设——>治理模板——>Windows组件——>Windows安装法度。
双击窗口右边的“禁用Windows安装法度”选项，为了包管Windows安装法度只能接管组策略中所列出的利用法度对象，请点击“只针对未治理利用”。大年夜家也能够直接点击“始终有效”来避免Windows安装法度措置包含获得许可的利用在内的所有软件。
这套方案的短处在于只能影响到经由过程Windows安装法度进行安装的软件。良多驰名软件都具有自力的安装东西，在这类环境下治理政策将没法有效节制其安装与履行。除此以外，GPO在针对营业环境下特定设备子集时结果也不睬想，特别是在某些用户具有本地治理员权限时——此类权限意味着我们信赖其安装利用法度的把持。话说回来，当然存在各类局限，这类措置编制起码可谓“聊胜于无”，并且确切可以预防某些用户的背规把持。
不外我小我还没见过哪一种病毒或歹意软件会经由过程Windows安装法度进行传播，是以假定大年夜家希看能在匹敌这类威胁时具有额外的防御机制，这套方案生怕帮不上甚么忙。
软件限制策略
软件限制策略(简称SRP)承诺我们经由过程奉行组策略来节制特定法度的履行。除能感化于现有营业环境以外，SRP仍是一套很是合适终端办事器或公共资讯撑持设备的治理方案。在它的帮忙下，用户将只能利用特定的某一项功能，且没法操纵治理软件或下载来自互联网的利用法度与合用东西。
Windows可以或许经由过程不合编制准确辨认软件的限制与放行尺度。Hash法则就是此中之一，它会辨认法度中文件与可履行文件的特点，而后为其生成一套hash算法。
Hash机制对辨认同款法度的特定版本方面表示超卓，因为hash值会跟着文件的变动而有所不合(法度新旧版本之间必定存在文件差别)。
验证法则会经由过程数字签名辨认软件，这一点在呵护授权脚本方面极其首要。Windows系统还能经由过程软件的路径与互联网区域(IE浏览器内部)辨认软件身份，进而严格节制软件下载勾当的安然性。
最后，Windows系统可以成立法则、帮我们揪出那些没法经由过程受信列表或其它治理法则明白界定的软件对象。Windows将法度与法则相对比以确认对方是不是合适软件限制GPO要求，假定统一款法度合适多套治理法则，系统会为其匹配最核心的法则。
这些策略功能强大年夜，但正如我在本文开首所提到，每套方案都有本身的弱点：除非大年夜家能精心为用户可能需要的每个Windows可履行文件成立例外法则(包含其利用法度)，不然SRP的介入会令整套营业系统变得相当痴钝。
SRP还可能给成立安然环境所需要的用户登录脚本带来麻烦。假定大年夜家决意采纳这套方案，那就必需在尝试环境下提早对所有限制策略与例外清单进行周全测试。别的还要提示各位：当我们为特定软件成立限制GPO时，请务必确保将域治理员组加进GPO的拜候节制清单傍边，并且GPO不成具有益用组策略的权限。这么做是为了将策略本身的节制权交给治理员，而不至于在关上门以后才发现本身也被锁在了外面。
在做好成立策略的预备工作后，请遵守以下步调：
为每套限制策略成立新的GPO，一旦我们在实际利用中发现限制过严，便可以轻松禁用对应策略。
经由过程计较机建设或用户建设将限制法则利用至设备或用户端，具体流程为策略——>Windows设定——>安然设定——>软件限制策略。
右击软件限制策略，在弹出的功能菜单当选择新的软件限制策略。
设定一套默熟谙别法则：在窗口左边点击“安然级别”，右击某一安然级别然后在弹出的功能菜单当选择“设为默许”。
此刻，我们需要成立一套鉴定软件是不是合适限制束缚尺度的法则。右键点击窗口左边的“额外法则”，点选“新验证法则”后从“新Hash法则”及其文件审计模式、“新互联网区域法则”及其区域审计模式、“新路径法则”及其文件模式或注册表项等方案中做出选择。
在窗口右边，双击“履行”选项。此刻我们来看看这些限制事实若何生效。保举大年夜家利用以下选项：“全数软件文件例外库”将帮忙我们避免关头性系统及利用法度功能文件遭到阻断。“全数本地治理员例外用户”则暗示Windows系统只会在本地治理员组以外的用户傍边严格履行限制策略。
接下来在窗口右边双击“指定文件类型”，我们需要在此中审查并添加软件限制策略中触及到的利用法度文件扩大名。这份列表需要很是完全，并且在需要的环境下请大年夜家确保企业所利用的脚本说话也具有对应的文件扩大名联系关系。
最后，在窗口右边双击“受信发布者”。在这里我们可以指定通俗用户、本地治理员或企业治理员是不是有权决定开放数字签名法度的可托性并对其进行节制。
大年夜家可以在任何版本的WindowsXP、Windows Vista、Windows7或Windows8系统中利用SRO，不外作为厥后续方案，AppLocker的功能无疑更加丰硕——这也恰是我们接下来要会商的重点。AppLocker今朝只在售价最高的Windows7或Windows8把持系统客户端中呈现。
AppLocker
微软公司将AppLocker描述为“WindowsServer2008R2与Windows7中呈现的一项新机制，为软件限制策略带来功能与特点上的周全晋升。AppLocker包含的新功能与扩大能力承诺用户按照独一无二的文件验证手段成立利用法度节制法则，并可以指定哪些用户或群组有权运行这些利用法度。”
但简单来讲，AppLocker根基就是颠末健身操练的SRP。或许此中最出彩的两项特点要数按照今朝已安装的软件主动成立法则和AppLocker的“纯审计”运行模式。这意味着它可以或许在无需治理人员手动设定策略的前提下自立鉴定一款利用法度可以放行仍是该被关禁闭。在初始设置与故障排查等环境下，如许的功能明显很是贴心。
我们可以在组策略中利用AppLocker。起首成立新GPO，对其右键点击以进行编纂，然后遵循计较机建设——>Windows设定——>安然设定——>利用法度节制策略与AppLocker的流程找到这项新机制。
以下截图显示了AppLockerGPO的利用界面，此中显示了法则履行建设和哪些法则正处于合用状况。
Windows Server 2008 R2中的AppLocker组策略对象界面
AppLocker与SRP比拟更等闲从白名单起步加以摆设，这是因为它可以或许对相干设备进行自立建设。举例来讲，我们方才搭建好一套设备环境，此中还没有设定任何限制、也没有安装任何营业环境中的常常利用软件。只要完成最根基的计较机设置(例如企业环境下必不成少的流程——摆设镜像)，我们便可让AppLocker主动为其生成法则，而法则本身又能经由过程信息汇集辨认系统中可托的软件可履行文件。最后，大年夜家只要将这些法则导进出产组策略环境中以备法则收集利用便可。
AppLocker的短处在哪里？起首，它只能运行于Windows7旗舰版、Windows7企业版或Windows8专业版傍边，所以假定大年夜家还在利用WindowsXP——乃至在跟Vista打交道——那么AppLocker生怕没法帮到您了。不外我们可以先从已采取了Windows7的设备长进手，先行体验AppLocker的实际表示;而后再渐渐迁徙，让新系统主动采取来自组策略的治理法则。在这类环境下，安然性只取决于我们甚么时辰周全摆设Windows7或Windows8。
总结
只要听到“白名单”这个字眼，大年夜家的第一反应很多是：这仿佛是份麻烦的活儿。事务也的确如斯。不外对未经授权的软件进行安装与履行限制能带来诸多回报——正如我在前文所提到，并且也能免往在收集及营业环境中不竭进行补丁安装与软件进级的麻烦。(一旦限制机制过分松散，用户很可能随便下载并安装软件，从而导致营业环境中的软件版本光怪陆离。别的，以Java为代表的‘顽劣’利用常常存在安然缝隙，而IT部门对未经核准的软件很难供给集中化的补丁安装方案。)
依托Windows自带的东西，再加上一点点智慧才干，大年夜家完全可以不花一分钱让本身的系统安然性更上一层楼。
国外有句鄙谚，叫做“但凡值得做的事都值得做好”，诚不我欺也。