Windows - 阻止所有子目录中的 exe 文件的软件限制策略

Question

如何阻止 %APPDATA% 中的所有可执行文件？

我读过 CryptoLocker 这是一个很好的政策：

C:\Users\User\AppData\Roaming\*\*.exe  

但这显然不会保护超过一层。

但是有什么可以阻止某人深入另一层，例如 C:\Users\User\AppData\Roaming\dir\dir\trojan.exe

是否可以创建一个策略来阻止 appdata 中的每个 exe，无论有多深？

你是如何处理这些问题的？谢谢

Answer 1

根据 Microsoft 关于 GPO 软件限制的指南：

\n\n

http://technet.microsoft.com/en-us/library/bb457006.aspx

\n\n

\n

路径规则

\n\n

路径规则可以指定文件夹或程序的完全限定路径。\n 当路径规则指定文件夹时，它会匹配该文件夹中包含的任何程序以及子文件夹中包含的任何程序。支持本地\n 和 UNC 路径。

\n\n

在路径规则中使用环境变量。

\n\n

路径规则可以使用环境变量。由于路径规则是在客户端环境中评估的，因此使用环境变量（例如 %WINDIR%）的能力允许规则适应特定用户的环境。

\n\n

重要提示：环境变量不受访问控制列表 (ACL) 的保护。如果用户可以启动命令提示符，他们可以将环境变量重新定义为他们选择的路径。

\n\n

在路径规则中使用通配符。路径规则可以包含 \'?\' 和\n \'*\' 通配符，从而允许“*.vbs”等规则匹配所有 Visual\n Basic\xc2\xae 脚本文件。一些例子：

\n\n

\xe2\x80\xa2"\\\\DC-??\\login$" 匹配 \\\\DC-01\\login$、\\\\DC-02\\login$

\n\n

\xe2\x80\xa2"*\\Windows" 匹配 C:\\Windows、D:\\Windows、E:\\Windows

\n\n

\xe2\x80\xa2"c:\\win*" 匹配 c:\\winnt、c:\\windows、c:\\windir

\n

\n\n

因此，由于用户可以重新定义 %APPDATA% 指向的位置，因此请考虑APPDATA在路径规则中使用环境变量，而不是实际的完全限定文件系统路径。

\n\n

更多文档：

\n\n

\n

以下示例显示将环境变量应用到路径规则的实例：

\n\n

\xe2\x80\xa2 \xe2\x80\x9c%UserProfile%\xe2\x80\x9d 匹配 C:\\Documents and Settings\\User 以及该目录下的所有子文件夹。

\n\n

\xe2\x80\xa2 \xe2\x80\x9c%ProgramFiles%\\Application\xe2\x80\x9d 匹配 C:\\Program Files\\Application\n 以及该目录下的所有子文件夹。

\n

\n