विंडोज 2003 GPO सॉफ्टवेयर प्रतिबंध

Question

हम Windows 2003 डोमेन में एक टर्मिनल सर्वर फ़ार्म चला रहे हैं, और मुझे सॉफ़्टवेयर प्रतिबंध GPO सेटिंग्स के साथ एक समस्या मिली जो हमारे TS सर्वरों पर लागू हो रही है। यहाँ हमारे विन्यास और समस्या का विवरण दिया गया है:

हमारे सभी सर्वर (डोमेन कंट्रोलर और टर्मिनल सर्वर) विंडोज सर्वर 2003 SP2 को चला रहे हैं और डोमेन और जंगल दोनों विंडोज 2003 के स्तर पर हैं। हमारे टीएस सर्वर एक ओयू में हैं जहां हमारे पास विशिष्ट जीपीओ जुड़ा हुआ है और वंशानुक्रम अवरुद्ध है, इसलिए केवल टीएस विशिष्ट जीपीओ इन टीएस सर्वरों पर लागू होते हैं। हमारे उपयोगकर्ता सभी दूरस्थ हैं और हमारे डोमेन में कार्यस्थान शामिल नहीं हैं, इसलिए हम लूपबैक नीति प्रसंस्करण का उपयोग नहीं करते हैं। हम उपयोगकर्ताओं को एप्लिकेशन चलाने की अनुमति देने के लिए "श्वेतसूची" दृष्टिकोण लेते हैं, इसलिए केवल वे एप्लिकेशन जिन्हें हम स्वीकृत करते हैं और पथ या हैश नियमों के रूप में जोड़ते हैं, चलाने में सक्षम हैं। हमारे पास डिस्लेगर्ड के लिए सेट किए गए सॉफ़्टवेयर प्रतिबंधों में सुरक्षा स्तर है और प्रवर्तन "पुस्तकालयों को छोड़कर सभी सॉफ़्टवेयर फ़ाइलों" के लिए सेट है।

मैंने पाया है कि यदि मैं किसी उपयोगकर्ता को किसी एप्लिकेशन का शॉर्टकट देता हूं, तो वे एप्लिकेशन को लॉन्च करने में सक्षम हैं, भले ही वह "श्वेतसूची" वाले एप्लिकेशन के अतिरिक्त नियम सूची में न हो। यदि मैं किसी उपयोगकर्ता को एप्लिकेशन के लिए मुख्य निष्पादन योग्य की एक प्रति देता हूं और वे इसे लॉन्च करने का प्रयास करते हैं, तो उन्हें "इस कार्यक्रम को प्रतिबंधित कर दिया गया है ..." संदेश मिलता है। ऐसा प्रतीत होता है कि सॉफ़्टवेयर प्रतिबंध वास्तव में काम कर रहे हैं, सिवाय इसके कि जब उपयोगकर्ता एप्लिकेशन को मुख्य निष्पादन योग्य से एप्लिकेशन लॉन्च करने के विपरीत शॉर्टकट का उपयोग करके लॉन्च करता है, जो सॉफ़्टवेयर प्रतिबंधों का उपयोग करने के उद्देश्य के विपरीत लगता है।

मेरे प्रश्न हैं: क्या किसी और ने इस व्यवहार को देखा है? क्या कोई और इस व्यवहार को पुन: पेश कर सकता है? क्या सॉफ्टवेयर प्रतिबंधों की मेरी समझ में कुछ छूट गया है? क्या यह संभव है कि मेरे पास सॉफ़्टवेयर प्रतिबंधों में कुछ गलत है?

संपादित करें

समस्या को थोड़ा स्पष्ट करने के लिए:

कोई उच्च स्तरीय GPO लागू नहीं किया जा रहा है। रनिंग gpresults से पता चलता है कि वास्तव में, केवल TS स्तर GPO को लागू किया जा रहा है और मैं वास्तव में अपने सॉफ़्टवेयर प्रतिबंधों को लागू होते हुए देख सकता हूं। कोई पथ वाइल्डकार्ड उपयोग में नहीं हैं। मैं एक ऐसे एप्लिकेशन के साथ परीक्षण कर रहा हूं जो "C: \ Program Files \ Application \ execable.exe" पर है और एप्लिकेशन निष्पादन योग्य किसी भी पथ या हैश नियम में नहीं है। यदि उपयोगकर्ता सीधे एप्लिकेशन के फ़ोल्डर से मुख्य एप्लिकेशन निष्पादन योग्य लॉन्च करता है, तो सॉफ़्टवेयर प्रतिबंध लागू किए जाते हैं। यदि मैं उपयोगकर्ता को एक शॉर्टकट देता हूं जो "C: \ Program Files \ Application \ निष्पादन योग्य.exe" पर निष्पादन योग्य है, तो वे प्रोग्राम लॉन्च करने में सक्षम हैं।

संपादित करें

इसके अलावा, एलएनके फाइलें नामित फाइल प्रकारों में सूचीबद्ध हैं, इसलिए उन्हें निष्पादन योग्य माना जाना चाहिए, जिसका मतलब है कि वे समान सॉफ़्टवेयर प्रतिबंध सेटिंग्स और नियमों से बंधे हैं।

Comments

क्या आपके पास उच्च स्तर के OUs या लागू किए गए डोमेन स्तर पर कोई GPO हैं? मैं उन रास्तों की भी जाँच करूँगा जिनमें वाइल्डकार्ड हैं या जो अन्यथा उस मार्ग से निष्पादन की अनुमति दे सकते हैं जो शॉर्टकट में है।

— क्रिस एस

@ क्रिस एस: मेरा संपादन देखें।

— जोवेवर्टी

क्या आपने "gpresult / z / user dom \ user" किया है और परिणामों को ध्यान से देखा है?

— टोनी रोटी

हाँ। मैं ऐसा कुछ नहीं देख रहा हूँ जो मुझे कारण के रूप में कोई भी जानकारी दे। सलाह के लिये धन्यवाद।

— joeqwerty

@joeqwerty, joeqwerty का क्या मतलब है?

— पचेरियर

Answer 1

तो मुझे आखिर में जवाब मिल गया। हमारे सॉफ़्टवेयर प्रतिबंध नियमों में इस तरह से एक पथ नियम है:

% HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ ProgramFilesDir%

यह प्रोग्राम फाइल्स डायरेक्टरी के अंदर किसी भी निष्पादन योग्य को अनुमति देता है और यह बिना रैंकेडरी को चलाने के लिए चाइल्ड डाइरेक्टरी है। जब आप सॉफ़्टवेयर प्रतिबंध कॉन्फ़िगर करते हैं तो यह पथ डिफ़ॉल्ट रूप से जोड़ा जाता है। इस पथ नियम को हटाने से सभी प्रोग्राम को अस्वीकार कर दिया जाता है, भले ही उनका निष्पादन स्पष्ट रूप से अप्रतिबंधित पथ के रूप में जोड़ा गया हो।

जो इस सवाल का जवाब देता है: यदि सभी प्रोग्राम का 99% प्रोग्राम फ़ाइल निर्देशिका में स्थापित है, लेकिन मैं कुछ कार्यक्रमों को प्रतिबंधित करना चाहता हूं, तो मैं सॉफ्टवेयर प्रतिबंधों के साथ इसे कैसे प्राप्त कर सकता हूं?

समान रूप से महत्वपूर्ण सवाल है, बिल्कुल क्या सॉफ्टवेयर प्रतिबंध उन कार्यक्रमों या निष्पादनों को छोड़कर प्रोग्राम फ़ाइल में स्थित नहीं हैं?

Answer 2

मैं उस ACL की जांच करूँगा जो आपके द्वारा उपयोगकर्ताओं के लिए बनाए गए शॉर्टकट पर है। के अनुसार सॉफ्टवेयर प्रतिबंध नीतियाँ उत्तम आचरण: सुरक्षा नीति; सुरक्षा सेवाएँ ,

उपयोगकर्ता अस्वीकृत फ़ाइलों का नाम बदलने या स्थानांतरित करके या अप्रतिबंधित फ़ाइलों को अधिलेखित करके सॉफ़्टवेयर प्रतिबंध नीतियों को दरकिनार करने का प्रयास कर सकते हैं। परिणामस्वरूप, यह अनुशंसा की जाती है कि आप उपयोगकर्ताओं को इन कार्यों को करने के लिए आवश्यक पहुँच से वंचित करने के लिए एक्सेस कंट्रोल लिस्ट (ACL) का उपयोग करें

Comments

उपयोगकर्ताओं के पास कार्यों को करने के लिए पहुँच नहीं है, इसलिए मुझे नहीं लगता कि यह लागू होता है। धन्यवाद।

— जोएक्विर्टी

Answer 3

आप निर्दिष्ट फ़ाइल प्रकार के रूप में LNK को हटाने का प्रयास करना चाह सकते हैं। भले ही उन्हें निष्पादनयोग्य के रूप में माना जा रहा हो, लेकिन उन्हें ऐसा नहीं करना चाहिए। इस तरह सॉफ्टवेयर प्रतिबंध LNK फ़ाइल द्वारा लक्षित निष्पादन योग्य पर लागू किया जाना चाहिए, और LNK फ़ाइल ही नहीं।

Comments

हम्म ... मुझे लगता है कि कोशिश नहीं की थी। मैं इसे दूंगा और आपको बता दूंगा कि क्या यह काम करता है।

— जोकेवार्ती

Answer 4

मैंने अनुभव किया है कि आप क्या बोल रहे हैं - यह बहुत कष्टप्रद है। मुझे पूरा यकीन है कि डिफ़ॉल्ट रूप से आपके उपयोगकर्ताओं को प्रोग्राम फ़ाइलों में इंस्टॉल किए गए एप्लिकेशन चलाने की अनुमति है।

क्या आपने एनटीएफएस अनुमतियों और इस तरह से सफेद लिस्टिंग के साथ अनुप्रयोगों तक पहुंच को प्रतिबंधित करने की कोशिश की है?

तब उपयोगकर्ता जो कुछ भी चाहते थे, उसके शॉर्टकट हो सकते थे और इससे उन्हें मदद नहीं मिलती थी क्योंकि वे कार्यक्रम तक नहीं पहुंच पाते थे।

रेफरी: http://www.virtualizationadmin.com/articles-tutorials/terminal-services/security/locking-down-windows-terminal-services.html