2012 TS - AppLocker

[Leuchtkondom 17]

Hallo Leute,

 

haben jetzt einen neuen 2012 TS.

Da auf unseren bisherigen Terminalservern immer wieder portable Apps genutzt wurden (Dropbox, etc.) wollte ich den neuen Server mal mit AppLocker konfigurieren um dieser Sache entgegen zuwirken.

 

Bisher habe ich überall gelesen das der Applocker automatisch ein "Deny All" hat und man sozusagen Whitelistet ... aber irgendwie kann ich das nicht nachvollziehen.

Ich habe für Ausführbare Dateien die Standartregeln erstellen lassen (was ja bedeutet alles unter Programme und unter Windows ist ausführbar, für Administratoren ist alles ausführbar).

 

Ich kann dann aber als Benutzer trotzdem noch .exe´n unter z.b. Downloads ausführen. Also gibt es ja scheinbar doch keine "interne" Deny all Regel?!?

Dann versteh ich aber gar nicht wozu es diese Standartregeln gibt wenn grundsätzlich eh alles erlaubt ist und Verweigerungen eh Vorrang vor Berechtigungen haben?!?!?!?!?!?!?!

 

Vielen Dank für eure Gedankenhilfen..

[jarazul 10]

Unter 2008 R2 musstest du den Application Identity Dienst auf dem Client (Namen habe ich nicht im Kopf, frag google :) aktivieren, damit Applocker aktiviert wurde.

[Leuchtkondom 17]

das ist nicht das Problem, AppLocker läuft.... (wenn ich z.b. was explizit sperre)

Ich kapiere nur das ganze System nicht ... ohne Regeln ist das ja wie als wäre Applocker nicht an ... wozu als dann diese Standartregeln die für bestimmte Pfade den Zugriff Erlauben wenn es eh alles erlaubt ist?

 

Wenn ich die Sitauation "Alles Sperren bis auf explizit erlaubtes" will, muss ich eine Regel erstellen die * verbietet, und dann in dieser Regel alle Ausnahme konfigurieren, da Verweigerungen ja Vorrang haben ...

Letztendlich muss ich mein ganzes System ja fast mit einer Regel bauen...!?!?