Software restrictions und ihre Tücken

[Gu4rdi4n 53]

Hi!

 

Ich hab da mal ein Problem.

Und zwar eines, dass jetzt zwar nicht gravierend ist, aber mich beschäftigt.

 

In diesem fall installiert sich Spotify bedingt durch Ninite unter %appdata%.

 

Jetzt würde ich das gerne erlauben, allerdings verweigert er trotzdem die Ausführung!

 

Jemand ne idee?

[Cybquest 36]

Ich würde ggf. vermuten, dass die Reihenfolge der Regeln ne Rolle spielen könnte?

[Gu4rdi4n 53]

Es gibt keine möglichkeit die regeln "nach oben" oder unten zu schieben :/

 

ich hab das gefühl dass sich die zweite und die dritte (spotify) regel beißt, weil deny > allow, hab aber keine idee wie ich das umgehen kann!

bearbeitet 2. März 2016 von Gu4rdi4n

[zahni 521]

Einfacher ist es die Sicherheitsstufe "nicht erlaubt" auf "Standard" zu stellen und dann unter "zusätzliche" Regeln alles eintragen, was erlaubt sein soll.

So ist es uns.

[daabm 1.185]

Schau mal hier vorbei: https://technet.microsoft.com/library/cc786941.aspx

Da gibt's ne Übersicht, wie SRP die Regeln "auswertet".

Ansonsten hat Zahni recht - entweder Whitelisting oder Blacklisting, aber nicht kombinieren...

[Gu4rdi4n 53]

@ zahni und daabm

 

habs mal so probiert wie ihr gesagt habt.

 

Nach der anleitung von ms:

• Default Security Level: Disallowed
   
• Apply software restriction policies to the following users: All users except administrators // nur ein computer angegeben zum test
   
• Path Rules: 
  • %WINDIR% Unrestricted
     
  • %PROGRAMFILES% Unrestricted

Jetzt lkann ich kein einziges programm mehr starten ausser cmd.

und aus der CMD raus kann ich dann alle programme starten, egal wo sie liegen. 

 

Also so wirklich funktionieren tut das nicht

[zahni 521]

Stelle mal die Default-Einträge wieder her:

 

https://technet.microsoft.com/en-us/library/cc785321(v=ws.10).aspx

 

Für Programme kannst Du auch "C:\Program Files (x86)" und "C:\Program Files"  verwenden (beide eintragen).

 

Du solltest diese Einschränkungen übrigens für Benutzer erstellen. Das Computer-Konto einzuschränken macht es deutlich komplizierter.

[Gu4rdi4n 53]

habs jetzt für den benutzer gemacht und scheint auch einigermaßen zu funktionieren

 

Alles verbieten außer ... (die im Bild)

 

gehe ich richtig der annahme, dass die beiden automatisch erstellten reg key freigaben jeweils %windir% und %programfiles% erlauben?

[zahni 521]

Vermutlich...

 

Du kannst auch richtige  Verzeichnisse dort eintragen. Ob Variablen immer funktionieren, weis ich nicht.

[Sunny61 773]

habs jetzt für den benutzer gemacht und scheint auch einigermaßen zu funktionieren

 

Alles verbieten außer ... (die im Bild)

Und Du kannst auch keine EXE oder .BAT im Tempverzeichnis ausführen? Kann der Benutzer noch ausführbare Dateien, die in den Eigenen Dokumenten liegen, ausführen?

[zahni 521]

Wenn es so eingerichtet ist, dann nicht. Im Anwendungs-Eventlog nach dem Event 865 suchen.

[Gu4rdi4n 53]

Danke, nun funktioniert es wie gewollt!

 

@ Sunny

Nein, nur in den spezifizierten pfaden! Klappt wunderbar.

 

@ Zahni

bisher haben die variablen funktioniert. Wenn ich was finde was nicht klappt werd ich den thread hier nochmal bemühen!

 

 

Habt ihr noch n paar tips für häufige fehlerquellen, die ich jetzt im startbetrieb noch nicht bemerke?

[Sunny61 773]

Programme die von Netzlaufwerken gestartet werden, könnten Probleme machen. Oder auch Links aus Mails heraus werfen eine Fehlermeldung, zumindest bei uns ist es so.

[zahni 521]

Programme auf Netzlaufwerken können erlaubt werden, in dem man den UNC-Pfad zum Programm erlaubt. Der verwendete LW-Buchstabe ist nicht relevant.

Z.B. kann man hier von allen DCs die Freigabe \\server\netlogon erlauben.

Bestimmte Dateitypen muss man u.U. global erlauben, wie *.lnk, *.mdb, etc.

 

Ist bei uns so und es klappt. Was Du für ein Mail-Problem hast, kann ich mit den Informationen leider nicht diagnostizieren

Der Event  865 ist hier hilfreich...

bearbeitet 3. März 2016 von zahni

[Sunny61 773]

Programme auf Netzlaufwerken können erlaubt werden, in dem man den UNC-Pfad zum Programm erlaubt. Der verwendete LW-Buchstabe ist nicht relevant.

Z.B. kann man hier von allen DCs die Freigabe \\server\netlogon erlauben.

Bestimmte Dateitypen muss man u.U. global erlauben, wie *.lnk, *.mdb, etc.

Ist mir auch klar, haben wir so konfiguriert. ;)

 

 

Ist bei uns so und es klappt. Was Du für ein Mail-Problem hast, kann ich mit den Informationen leider nicht diagnostizieren

Der Event  865 ist hier hilfreich...

Outlook in Kombination mit Exchange. Ist aber nicht weiter dramatisch, die Benutzer kopieren die URL in die Adresszeile vom Browser, das funktioniert dann und die User können damit leben.