AppLocker-regels

De MMC-module (Microsoft Management Console) AppLocker is onderverdeeld in vier zogenaamde verzamelingen van regels. De vier beschikbare verzamelingen van regels hebben betrekking op uitvoerbare bestanden, scripts, Windows Installer-bestanden en DLL-bestanden. Aan de hand van deze verzamelingen kan de beheerder probleemloos onderscheid maken tussen de regels voor verschillende typen toepassingen. De volgende tabel bevat een lijst van de bestandsindelingen die deel uitmaken van elke verzameling van regels.

	Opmerking
	De verzameling van DLL-regels is standaard niet ingeschakeld. Raadpleeg AppLocker-regels handhaven als u wilt weten hoe u de verzameling van DLL-regels kunt inschakelen.

	Belangrijk
	Als u DLL-regels gebruikt, moet u een regel voor toestaan maken voor elk DLL-bestand dat wordt gebruikt door alle toegestane toepassingen.

	Waarschuwing
	Wanneer u DLL-regels gebruikt, moet AppLocker elk DLL-bestand controleren dat door een toepassing wordt geladen. Het is daarom mogelijk dat de prestaties verslechteren als DLL-regels worden gebruikt.

Regelvoorwaarden zijn criteria waarop de AppLocker-regel is gebaseerd. Primaire voorwaarden zijn vereist voor het maken van een AppLocker-regel. De drie primaire regelvoorwaarden zijn Uitgever, Pad en Bestands-hash.

Met AppLocker kunt u standaardregels genereren voor elk van de regeltypen.

Standaardregeltypen voor uitvoerbare bestanden:

• Toestaan dat leden van de lokale groep Administrators alle toepassingen uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen toepassingen in de Windows-map uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen toepassingen in de map Program Files uitvoeren.
  
  

Standaardregeltypen voor Windows Installer:

• Toestaan dat leden van de lokale groep Administrators alle Windows Installer-bestanden uitvoeren.
  
  
• Toestaan dat leden van de lokale groep Iedereen digitaal ondertekende Windows Installer-bestanden uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen alle Windows Installer-bestanden in de map Windows\Installer uitvoeren.
  
  

Standaardregeltypen voor scripts:

• Toestaan dat leden van de lokale groep Administrators alle scripts uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen scripts in de map Program Files uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen scripts in de Windows-map uitvoeren.
  
  

Standaardregeltypen voor DLL-bestanden:

• Toestaan dat leden van de lokale groep Administrators alle DLL-bestanden uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen DLL-bestanden in de map Program Files uitvoeren.
  
  
• Toestaan dat leden van de groep Iedereen DLL-bestanden in de Windows-map uitvoeren.
  
  

Zie Standaardregels voor AppLocker maken voor meer informatie.

Als er geen AppLocker-regels zijn voor een specifieke verzameling van regels, mogen alle bestanden met die bestandsindeling worden uitgevoerd. Wanneer u echter een AppLocker-regel maakt voor een specifieke verzameling van regels, mogen alleen de bestanden worden uitgevoerd die uitdrukkelijk worden toegestaan in een regel. Als u bijvoorbeeld een regel voor uitvoerbare bestanden maakt op grond waarvan EXE-bestanden in de map %SystemDrive%\FilePath mogen worden uitgevoerd, mogen alleen de uitvoerbare bestanden in dit pad worden uitgevoerd.

U kunt een regel voor toestaan of een regel voor weigeren maken:

• Toestaan. U kunt aangeven welke bestanden mogen worden uitgevoerd in uw omgeving en door welke gebruikers of groepen gebruikers. U kunt ook uitzonderingen opgeven voor bestanden waarvoor de regel niet moet gelden.
  
  
• Weigeren. U kunt aangeven welke bestanden niet mogen worden uitgevoerd in uw omgeving en door welke gebruikers of groepen gebruikers. U kunt ook uitzonderingen opgeven voor bestanden waarvoor de regel niet moet gelden.
  
  

	Belangrijk
	U kunt een combinatie van regels voor toestaan en regels voor weigeren gebruiken. Het is echter raadzaam regels voor toestaan te gebruiken in combinatie met uitzonderingen. Regels voor weigeren hebben namelijk in alle gevallen voorrang op regels voor toestaan. Bovendien kunnen regels voor weigeren worden omzeild.

U kunt AppLocker-regels toepassen op individuele gebruikers of een groep gebruikers. Als u een regel op een groep gebruikers toepast, geldt deze regel voor alle gebruikers in die groep. Als alleen een subset van een gebruikersgroep een toepassing mag gebruiken, kunt u voor die subset een speciale regel maken. Zo kunt u met de regel 'Toestaan dat Iedereen Windows uitvoert, met uitzondering van Register-editor' toestaan dat iedereen in de organisatie Windows uitvoert, met uitzondering van Register-editor. Deze regel belet gebruikers zoals helpdeskmedewerkers een programma uit te voeren dat ze nodig hebben voor het uitvoeren van hun ondersteuningstaken. U kunt dit probleem omzeilen door een tweede regel te maken die geldt voor de gebruikersgroep Helpdesk: 'Toestaan dat Helpdesk Register-editor uitvoert'. Als u een regel voor weigeren maakt die gebruikers belet Register-editor uit te voeren, heeft deze regel voorrang op de tweede regel die toestaat dat de gebruikersgroep Helpdesk Register-editor uitvoert.

U kunt op twee manieren aangepaste regels maken:

1. Met deze wizard Regels maken kunt u telkens één regel maken. Zie Een AppLocker-regel maken voor meer informatie.
   
   
2. Met de wizard Automatisch regels genereren kunt u een map selecteren, een gebruiker of groep selecteren waarvoor de regel geldt en vervolgens voor die map meerdere regels tegelijk maken. Standaard worden met deze wizard alleen regels voor toestaan gegenereerd. Zie Automatisch AppLocker-regels genereren voor meer informatie.
   
   

Aanvullende overwegingen

• Standaard staan AppLocker-regels niet toe dat gebruikers bestanden openen of uitvoeren die niet uitdrukkelijk zijn toegestaan. Beheerders doen er goed aan een lijst van toegestane toepassingen bij te houden.
  
  
• Er zijn twee typen AppLocker-voorwaarden die na een update niet worden gehandhaafd:
  
  
  • Bestands-hashvoorwaarde. Bestands-hashvoorwaarden kunnen worden gebruikt met een willekeurige toepassing omdat er een cryptografische hashwaarde voor de toepassing wordt gegenereerd wanneer de regel wordt gemaakt. De hashwaarde is echter specifiek voor die exacte versie van de toepassing. Als binnen de organisatie meerdere versies van de toepassing worden gebruikt, moet u voor elke versie die wordt gebruikt en voor nieuwe versies die worden uitgebracht bestands-hashvoorwaarden maken.
    
    
  • Een uitgevervoorwaarde waarvoor een specifieke productversie is ingesteld. Als u een uitgevervoorwaarde maakt op basis van de bestandsvoorwaardeoptie Exactly, kan de regel niet worden gehandhaafd als een nieuwe versie van de toepassing wordt geïnstalleerd. U moet dan een nieuwe uitgevervoorwaarde maken of de versie in de regel minder specifiek maken.
    
    
• Als een toepassing niet digitaal is ondertekend, kunt u geen uitgevervoorwaarde gebruiken.
  
  
• U kunt AppLocker-regels niet gebruiken om computers te beheren waarop een Windows-besturingssysteem wordt uitgevoerd dat ouder is dan Windows 7. In plaats daarvan moet u softwarerestrictiebeleid gebruiken.
  
  
• Als er AppLocker-regels zijn opgegeven in een groepsbeleidsobject, worden alleen die regels toegepast. Geef softwarerestrictiebeleid en AppLocker-regels op in verschillende groepsbeleidsobjecten om de interoperabiliteit tussen het softwarerestrictiebeleid en AppLocker-regels te waarborgen.
  
  
• Wanneer u een AppLocker-regel instelt op Alleen controle, wordt de regel niet toegepast. Wanneer een gebruiker een toepassing uitvoert die in de regel is opgenomen, wordt de toepassing geopend en op de normale manier uitgevoerd. Informatie over deze toepassing wordt toegevoegd aan het gebeurtenislogboek van AppLocker.
  
  
• U kunt een aangepaste URL opnemen in het bericht dat wordt weergegeven wanneer een toepassing wordt geblokkeerd.
  
  
• Het blokkeren van een toepassing kan in eerste instantie leiden tot een toename van het aantal vragen aan de helpdesk. Wanneer gebruikers eenmaal doorkrijgen dat ze niet-toegestane toepassingen niet kunnen uitvoeren, neemt het aantal vragen aan de helpdesk doorgaans af.
  
  

Aanvullende naslaginformatie

• AppLocker-regels configureren