In questo tutorial vi spiegherò come, tramite i Criteri di gruppo (GPO) in un ambiente Active Directory, bloccare l’avvio di programmi e impedire l’installazione di determinati software utilizzando i criteri di restrizione software.
Per impostazione predefinita, se gli utenti non sono amministratori (locali) del computer, normalmente non è possibile installare programmi; tuttavia, è possibile avviare applicazioni portatili scaricate da Internet.
La politica di gruppo che vi presenterò consente di impedire tutto ciò.
Oltre ai programmi (EXE / MSI), la politica di gruppo ci consentirà di bloccare l’esecuzione di script (bat/powershell…).
A tal fine, ci avvaleremo delle politiche di restrizione software presenti nelle Impostazioni di sicurezza.
Le politiche di restrizione software sono disponibili a livello di Configurazione computer e Configurazione utente; in questo tutorial le applicherò a livello di computer.
Prima di implementare questo tipo di politica, vi consiglio di effettuare una fase di test su un’unità organizzativa; una configurazione errata potrebbe bloccare tutti i programmi.
Per limitare l’utilizzo dei software, è possibile ricorrere anche ad AppLocker; tuttavia, è necessario disporre di client Windows (10/11) Enterprise o Windows Server.
Sommario
Creazione del criterio di gruppo
Per evitare qualsiasi errata applicazione del criterio di gruppo, lo creeremo nel contenitore “Oggetti dei criteri di gruppo” e poi lo collegheremo all’unità organizzativa (OU) a cui desideriamo applicarlo.
Vi consiglio di utilizzare questo metodo per tutti i vostri criteri di gruppo.
Dalla console Gestione criteri di gruppo, fare clic con il tasto destro sulla cartella «Oggetti criteri di gruppo» 1 e selezionare «Nuovo» 2.
Assegnare un nome alla strategia di gruppo 1, quindi fare clic sul pulsante OK 2.
Fare clic con il tasto destro del mouse 1 sull’oggetto e selezionare Modifica 2.
Configurazione della politica di restrizione software
Dall’editor di gestione dei criteri di gruppo, accedere al percorso: Configurazione computer / Criteri / Impostazioni di Windows / Impostazioni di sicurezza / Criteri di restrizione software 1.
Fare clic con il tasto destro del mouse su Criteri di restrizione software 1 e selezionare Nuovi criteri di restrizione software 2.
Dopo aver cliccato su Nuove politiche di restrizione software, si noterà che sono stati aggiunti alcuni elementi alla politica.
Ora vi spiegherò come configurare gli elementi.
In Livello di sicurezza 1 si trova il comportamento della politica di restrizione software; per impostazione predefinita la configurazione è “senza restrizioni” (la selezione è visibile in basso a sinistra sull’icona). Quello che faremo è passare a Utente standard per attivare il blocco.
Fare clic su «Utente standard» 1.
Fare clic sul pulsante «Predefinito» 1.
Confermare la modifica del livello cliccando su «Sì» 1.
Confermare le impostazioni cliccando sui pulsanti «Applica» 1 e «OK» 2.
Il livello è ora «Non autorizzato».
Andare alla cartella «Regole aggiuntive»; qui è possibile vedere che sono state create due eccezioni per consentire l’esecuzione dei programmi nelle cartelle C:\Windows e C:\Program Files.
Se si riscontrano problemi nell’avviare i programmi durante i test, aggiungere i seguenti percorsi:
– C:\Program Files (x86)
– C:\Program
Files- C:\Windows
Tornare alla cartella “Criteri di restrizione software” per continuare a perfezionare la configurazione.
Fare clic su Controllo obbligatorio 1.
Questa proprietà consente di escludere gli amministratori locali dal criterio 1.
Aprire quindi la proprietà: Tipi di file specificati.
Qui è possibile configurare le estensioni dei file bloccati.
Il criterio di gruppo è pronto.
Collegare la politica di gruppo all’OU
Ora non resta che collegare la politica di gruppo all’unità organizzativa (OU) a cui deve essere applicata.
Fare clic con il tasto destro sull’OU 1 e selezionare “Collega un oggetto Criteri di gruppo esistente” 2.
Ricordiamo che la politica è stata configurata a livello di computer, quindi la associo a un’unità organizzativa che contiene i computer.
Selezionare la strategia di gruppo 1 e fare clic su OK 2.
La politica è ora associata all’unità organizzativa.
Testare la politica di restrizione del software
Per testare la politica di gruppo, utilizzerò Firefox Portable e proverò ad avviarlo con un account che è amministratore locale del computer e con un account utente del dominio. L’eseguibile di Firefox si troverà sul desktop.
Con l’account amministratore, Firefox si avvia senza problemi:
Con un utente standard, l’applicazione viene bloccata:
Sempre per illustrare il blocco, ho scaricato AnyDesk da MS Edge e, quando lo avvio, ricevo anch’io il messaggio di errore:
Conclusione
Attraverso questo software, avete visto come bloccare l’esecuzione e l’installazione di software sui computer.
Questa strategia consente di controllare meglio i programmi, impedendo l’esecuzione di applicazioni portatili e bloccandone l’installazione, poiché alcuni software aggirano la mancanza di autorizzazioni dell’utente installando i programmi nella cartella AppData dell’utente.
In ambito aziendale, è utile anche per bloccare gli strumenti di controllo remoto che potrebbero essere utilizzati dai fornitori di servizi o dagli utenti stessi.
Ciò aumenta inoltre il livello di sicurezza bloccando l’esecuzione di script potenzialmente dannosi.
