In diesem Tutorial werde ich Ihnen erklären Active Directory, wie Sie mithilfe von Gruppenrichtlinien (GPO) in einer Umgebung den Start von Programmen blockieren und die Installation bestimmter Software mithilfe der Softwareeinschränkungsrichtlinie verhindern können.
Standardmäßig ist es Benutzern, die keine (lokalen) Administratoren des Computers sind, normalerweise nicht möglich, Programme zu installieren; sie können jedoch portable Anwendungen starten, die sie aus dem Internet herunterladen.
Die Gruppenrichtlinie, die ich Ihnen vorstellen werde, ermöglicht es, dies zu unterbinden.
Neben Programmen (EXE/MSI) können wir mit der Gruppenrichtlinie auch die Ausführung von Skripten (bat/PowerShell…) blockieren.
Dazu nutzen wir die Richtlinien zur Softwareeinschränkung, die sich in den Sicherheitseinstellungen befinden.
Die Richtlinien zur Softwareeinschränkung sind auf den Ebenen „Computerkonfiguration“ und „Benutzerkonfiguration“ verfügbar; in diesem Tutorial werde ich sie auf der Ebene „Computer“ anwenden.
Bevor Sie eine solche Richtlinie einrichten, empfehle ich Ihnen, zunächst eine Testphase in einer Organisationseinheit durchzuführen, da eine fehlerhafte Konfiguration alle Programme blockieren kann.
Um die Nutzung von Software einzuschränken, kann auch AppLocker verwendet werden; hierfür sind jedoch Windows-Enterprise-Clients (10/11) oder Windows Server erforderlich.
Inhaltsverzeichnis
Gruppenrichtlinie erstellen
Um eine fehlerhafte Anwendung der Gruppenrichtlinie zu vermeiden, erstellen wir diese im Container „Gruppenrichtlinienobjekte“ und verknüpfen sie anschließend mit der Organisationseinheit, auf die sie angewendet werden soll.
Ich empfehle Ihnen, diese Methode für alle Ihre Gruppenrichtlinien zu verwenden.
Klicken Sie in der Konsole „Gruppenrichtlinienverwaltung“ mit der rechten Maustaste auf den Ordner „Gruppenrichtlinienobjekte“ 1 und wählen Sie „Neu“ 2.
Benennen Sie die Gruppenrichtlinie 1 und klicken Sie anschließend auf die Schaltfläche „OK“ 2.
Klicken Sie mit der rechten Maustaste 1 auf das Objekt und wählen Sie „Bearbeiten“ 2.
Konfiguration der Software-Einschränkungsrichtlinie
Navigieren Sie im Gruppenrichtlinien-Editor zum folgenden Pfad: Computerkonfiguration / Richtlinien / Windows-Einstellungen / Sicherheitseinstellungen / Richtlinien zur Softwarebeschränkung 1.
Klicken Sie mit der rechten Maustaste auf „Softwarebeschränkungsrichtlinien“ 1 und wählen Sie „Neue Softwarebeschränkungsrichtlinien“ 2.
Nachdem Sie auf „Neue Richtlinien zur Softwareeinschränkung“ geklickt haben, sehen Sie, dass der Richtlinie Elemente hinzugefügt wurden.
Ich werde Ihnen nun erklären, wie Sie die Elemente konfigurieren.
Unter „Sicherheitsstufe“ 1 finden Sie das Verhalten der Richtlinie zur Softwarebeschränkung; standardmäßig ist die Konfiguration auf „uneingeschränkt“ gesetzt (die Auswahl ist unten links am Symbol zu erkennen). Wir werden nun auf „Standardbenutzer“ umstellen, um die Sperre zu aktivieren.
Klicken Sie auf „Standardbenutzer“ 1.
Klicken Sie auf die Schaltfläche „Standard“ 1.
Bestätigen Sie die Änderung der Sicherheitsstufe, indem Sie auf „Ja“ 1 klicken.
Bestätigen Sie die Einstellungen, indem Sie auf die Schaltflächen „Übernehmen“ 1 und „OK“ 2 klicken.
Die Stufe ist nun auf „Nicht zulässig“ gesetzt.
Wechseln Sie zum Ordner „Zusätzliche Regeln“. Hier sehen Sie, dass zwei Ausnahmen erstellt wurden, um die Ausführung von Programmen in den Ordnern „C:\Windows“ und „C:\Program Files“ zu ermöglichen.
Sollten beim Testen Probleme beim Starten von Programmen auftreten, fügen Sie die folgenden Pfade hinzu:
– C:\Program Files (x86)
– C:\Program
Files- C:\Windows
Kehren Sie zum Ordner „Richtlinien zur Softwareeinschränkung“ zurück, um die Konfiguration weiter zu verfeinern.
Klicken Sie auf „Erzwungene Kontrolle 1“.
Mit dieser Eigenschaft können lokale Administratoren von der Richtlinie 1 ausgeschlossen werden.
Öffnen Sie anschließend die Eigenschaft: „Festgelegte Dateitypen“.
Hier können Sie die Dateiendungen der gesperrten Dateien konfigurieren.
Die Gruppenrichtlinie ist fertig.
Die Gruppenrichtlinie mit der Organisationseinheit verknüpfen
Nun muss die Gruppenrichtlinie nur noch mit der Organisationseinheit verknüpft werden, auf die sie angewendet werden soll.
Klicken Sie mit der rechten Maustaste auf die OE 1 und wählen Sie „Vorhandenes Gruppenrichtlinienobjekt verknüpfen“ 2.
Zur Erinnerung: Die Richtlinie wurde auf Computerebene konfiguriert, daher verknüpfe ich die Richtlinie mit einer Organisationseinheit, die die Computer enthält.
Wählen Sie die Gruppenrichtlinie 1 aus und klicken Sie auf „OK“ 2.
Die Richtlinie ist nun mit der Organisationseinheit verknüpft.
Testen der Software-Einschränkungsrichtlinie
Um die Gruppenrichtlinie zu testen, verwende ich Firefox Portable und versuche, das Programm sowohl mit einem Konto, das lokaler Administrator des Computers ist, als auch mit einem Domänenbenutzerkonto zu starten. Die ausführbare Datei von Firefox befindet sich auf dem Desktop.
Mit dem Administratorkonto lässt sich Firefox problemlos starten:
Mit einem Standardbenutzer wird die Anwendung blockiert:
Um die Blockierung weiter zu veranschaulichen, habe ich AnyDesk über MS Edge heruntergeladen, und beim Starten erhalte ich ebenfalls die Fehlermeldung:
Fazit
Anhand dieser Software haben Sie gesehen, wie sich die Ausführung und Installation von Software auf Computern blockieren lässt.
Diese Vorgehensweise ermöglicht eine bessere Kontrolle über Programme, indem die Ausführung portabler Anwendungen verhindert und die Installation blockiert wird, da manche Software die fehlenden Berechtigungen des Benutzers umgeht, indem sie Programme im AppData-Ordner des Benutzers installiert.
In Unternehmen ist dies auch interessant, um Fernsteuerungstools zu blockieren, die von Dienstleistern oder den Benutzern selbst verwendet werden könnten.
Zudem erhöht dies das Sicherheitsniveau, indem die Ausführung von Skripten blockiert wird, die potenziell bösartig sein könnten.
