क्या विंडोज़ (एक्सपी और ऊपर) को बताने के लिए फाइलों (* .exe फ़ाइलों) को निष्पादित करने का कोई तरीका नहीं है, जो कि कुछ फ़ोल्डर्स के अलावा ड्राइव / फ़ोल्डर में मौजूद हैं, जिनका मैं उल्लेख करता हूं? संक्षेप में, मैं चाहता हूं कि केवल एक ' श्वेतसूची ' से निष्पादन योग्य को निष्पादित किया जाए।
मुझे लगता है कि यह उपयोगकर्ताओं से यह पूछने से बेहतर है कि वे घर से जो भी कचरा सीडी लाते हैं, उसमें से कोई भी निष्पादन योग्य वस्तु न चलाएं।
जवाबों:
आप सॉफ़्टवेयर प्रतिबंध नीतियां चाहते हैं । आधुनिक विंडोज की यह रेखांकित विशेषता, प्रशासक को पथ के आधार पर या यहां तक कि क्रिप्टोग्राफिक हस्ताक्षर के आधार पर निष्पादनयोग्य को अनुमति देने या प्रतिबंधित करने की अनुमति देती है। वैसे, आप केवल EXE की तुलना में अधिक चाहते हैं। सॉफ़्टवेयर प्रतिबंध नीतियों में 30 या 40 अतिरिक्त प्रकार की फाइलें हैं, जिन्हें आपको प्रतिबंधित करने की आवश्यकता है, जैसे कि सीएमडी और एससीआर, स्क्रीनर्स। इसके अलावा, आप DLL को ब्लॉक कर सकते हैं।
मैं एंटी-वायरस की तुलना में इसकी प्रभावशीलता को काफी बेहतर मानूंगा। इसके अलावा, उपयोगकर्ताओं को सोशल इंजीनियरिंग हमलों के बारे में शिक्षित करना मुश्किल है जो आधुनिक मैलवेयर का उपयोग करते हैं, जैसे कि ListenToThisMusic.mp3.exe पर क्लिक करने के लिए उपयोगकर्ता प्राप्त करना।
मैं इससे सावधान रहूंगा। आप सब कुछ 100% लॉक नहीं कर पाएंगे और आप उपयोगकर्ताओं के उपयोग के लिए मशीनों को लगभग असंभव बना देंगे। आपको अपने उपयोगकर्ताओं को शिक्षित करने और प्रक्रिया, नीति और शिक्षा को लागू करने पर ध्यान देना चाहिए। आपको क्रियाओं को प्रतिबंधित करने और उपयोगकर्ता की उत्पादकता के बीच सही संतुलन खोजने की आवश्यकता है।
मैं कंपनियों में बर्बाद $ $ का एक बहुत कुछ देखता हूं, जहां वे उपयोगकर्ताओं को पूर्ण नरक में जीवन बसर करने में मदद करते हैं।
आप जीपीओ में सॉफ़्टवेयर प्रतिबंध नीतियों का उपयोग करके श्वेत सूची बना सकते हैं लेकिन मुझे यकीन नहीं है कि यह कितना प्रभावी है। मैं इस पर एक छोटा सा डोनट शर्त लगाऊंगा जो ज्यादातर गैर-दुर्भावनापूर्ण उपयोगकर्ताओं के साथ काम कर रहा है, लेकिन मैं अपने कैरियर को दांव पर नहीं लगाऊंगा कहीं भी काम कर रहा हूं और मैं उन जगहों पर इसकी गिनती नहीं करूंगा जहां मुझे हमले की आशंका थी ( उदाहरण के लिए शैक्षिक वातावरण)।
आप निश्चित रूप से एसीएल और सॉफ्टवेयर प्रतिबंधों के संयोजन के साथ कुछ उपकरणों और डिस्क के क्षेत्रों से चलने से कोड को ब्लॉक कर सकते हैं और यह एक उपयोगी सुरक्षा उपकरण है, लेकिन मैं इसे एक सुरक्षा नीति का एक छोटा हिस्सा बनाऊंगा, न कि एक की आधारशिला ।
व्हाइटलिस्ट की तुलना में इसकी ब्लैकलिस्ट के लिए बहुत आसान है। सबसे अधिक संभावना है कि आपको उपयोगकर्ताओं को चलाने के लिए क्या चाहिए, इसका अंदाजा नहीं है। आपके GPO में सॉफ़्टवेयर प्रतिबंध नीतियों के माध्यम से Windows इसे संभालता है। सॉफ़्टवेयर प्रतिबंध नीतियों का उपयोग सॉफ़्टवेयर को चलाने से इनकार करने के साथ-साथ चलाने के लिए भी किया जा सकता है। उपयोग करने के लिए चार अलग-अलग विधियाँ उपलब्ध हैं और वे हैं: हैश नियम, प्रमाणपत्र नियम, पथ नियम और इंटरनेट ज़ोन नियम।
हैश रूल्स के नियम अपने मैच में किसी फाइल के MD5 या SHA-1 हैश का उपयोग करते हैं। यह एक कठिन लड़ाई हो सकती है। सिर्फ एक हैश नियम का उपयोग करके pwdump जैसी किसी चीज़ को ब्लॉक करने की कोशिश करने से Pwdump के प्रत्येक भिन्न संस्करण के लिए प्रविष्टियों के बहुत सारे परिणाम प्राप्त होने वाले हैं। और जब एक नया संस्करण सामने आता है तो आपको उसे भी जोड़ना होगा।
पथ नियम फ़ाइल सिस्टम पर फ़ाइल के स्थान पर आधारित होते हैं। इसलिए आप उदाहरण के लिए "\ program files \ aol \ aim.exe" को प्रतिबंधित कर सकते हैं, लेकिन यदि उपयोगकर्ता इसे "\ myapps \ aol \ aim.exe" में स्थापित करना चुनता है, तो इसे अनुमति दी जाएगी। आप अधिक निर्देशिकाओं को कवर करने के लिए वाइल्डकार्ड का उपयोग कर सकते हैं। रजिस्ट्री पथ का उपयोग करना भी संभव है यदि सॉफ़्टवेयर में एक रजिस्ट्री प्रविष्टि है, लेकिन आपको नहीं पता कि यह कहाँ स्थापित किया जाएगा।
प्रमाणपत्र नियम सॉफ्टवेयर के लिए उपयोगी होते हैं जिसमें एक प्रमाणपत्र शामिल होता है। जिसका मतलब ज्यादातर कमर्शियल सॉफ्टवेयर है। आप उन Certs की सूची बना सकते हैं जिन्हें आपके सिस्टम पर चलने और बाकी सब चीज़ों को अस्वीकार करने की अनुमति है।
इंटरनेट ज़ोन नियम केवल Windows इंस्टालर पैकेज पर लागू होते हैं। मैंने कभी इसका इस्तेमाल नहीं किया है इसलिए मैं इस पर ज्यादा टिप्पणी नहीं कर सकता।
एक उचित GPO इन नियमों में से कई का उपयोग करेगा सब कुछ कवर करने के लिए। सॉफ्टवेयर को प्रतिबंधित करने के लिए आपको वास्तव में यह सोचना होगा कि आप इसे सही होने के लिए क्या रोकना चाहते हैं। फिर भी, शायद यह अभी भी सही नहीं है। सॉफ्टवेयर प्रतिबंध नीतियों का उपयोग करने पर टेक्नेट के पास कुछ अच्छे लेख हैं, और मुझे यकीन है कि आपके खोज इंजन के माध्यम से Microsoft की साइट से अन्य अच्छे डॉक्स मिले हैं।
शुभ लाभ!