In questo tutorial vi spiegherò come, tramite i Criteri di gruppo (GPO) in un ambiente Active Directory , bloccare l’avvio di programmi e impedire l’installazione di determinati software utilizzando i criteri di restrizione software.
Per impostazione predefinita, se gli utenti non sono amministratori (locali) del computer, normalmente non è possibile installare programmi; tuttavia, è possibile avviare applicazioni portatili scaricate da Internet.
La politica di gruppo che vi presenterò consente di impedire tutto ciò.
Oltre ai programmi (EXE / MSI), la politica di gruppo ci consentirà di bloccare l’esecuzione di script (bat/powershell…).
A tal fine, ci avvaleremo delle politiche di restrizione software presenti nelle Impostazioni di sicurezza.
Le politiche di restrizione software sono disponibili a livello di Configurazione computer e Configurazione utente; in questo tutorial le applicherò a livello di computer.
Prima di implementare questo tipo di politica, vi consiglio di effettuare una fase di test su un’unità organizzativa; una configurazione errata potrebbe bloccare tutti i programmi.
Per limitare l’utilizzo dei software, è possibile ricorrere anche ad AppLocker ; tuttavia, è necessario disporre di client Windows (10/11) Enterprise o Windows Server.
Creazione del criterio di gruppo
Per evitare qualsiasi errata applicazione del criterio di gruppo, lo creeremo nel contenitore “Oggetti dei criteri di gruppo” e poi lo collegheremo all’unità organizzativa (OU) a cui desideriamo applicarlo.
Vi consiglio di utilizzare questo metodo per tutti i vostri criteri di gruppo.
Dalla console Gestione criteri di gruppo, fare clic con il tasto destro sulla cartella «Oggetti criteri di gruppo» 1 e selezionare «Nuovo» 2 .
Assegnare un nome alla strategia di gruppo 1 , quindi fare clic sul pulsante OK 2 .
Fare clic con il tasto destro del mouse 1 sull’oggetto e selezionare Modifica 2 .
Configurazione della politica di restrizione software
Dall’editor di gestione dei criteri di gruppo, accedere al percorso: Configurazione computer / Criteri / Impostazioni di Windows / Impostazioni di sicurezza / Criteri di restrizione software 1 .
Fare clic con il tasto destro del mouse su Criteri di restrizione software 1 e selezionare Nuovi criteri di restrizione software 2 .
Dopo aver cliccato su Nuove politiche di restrizione software, si noterà che sono stati aggiunti alcuni elementi alla politica.
Ora vi spiegherò come configurare gli elementi.
In Livello di sicurezza 1 si trova il comportamento della politica di restrizione software; per impostazione predefinita la configurazione è “senza restrizioni” (la selezione è visibile in basso a sinistra sull’icona). Quello che faremo è passare a Utente standard per attivare il blocco.
Fare clic su «Utente standard» 1 .
Fare clic sul pulsante «Predefinito» 1 .
Confermare la modifica del livello cliccando su «Sì» 1 .
Confermare le impostazioni cliccando sui pulsanti «Applica» 1 e «OK» 2 .
Il livello è ora «Non autorizzato».
Andare alla cartella «Regole aggiuntive»; qui è possibile vedere che sono state create due eccezioni per consentire l’esecuzione dei programmi nelle cartelle C:\Windows e C:\Program Files.
Se si riscontrano problemi nell’avviare i programmi durante i test, aggiungere i seguenti percorsi:
- C:\Program Files (x86)
- C:\Program
Files- C:\Windows
Tornare alla cartella “Criteri di restrizione software” per continuare a perfezionare la configurazione.
Fare clic su Controllo obbligatorio 1 .
Questa proprietà consente di escludere gli amministratori locali dal criterio 1 .
Aprire quindi la proprietà: Tipi di file specificati.
Qui è possibile configurare le estensioni dei file bloccati.
Il criterio di gruppo è pronto.
Collegare la politica di gruppo all’OU
Ora non resta che collegare la politica di gruppo all’unità organizzativa (OU) a cui deve essere applicata.
Fare clic con il tasto destro sull’OU 1 e selezionare “Collega un oggetto Criteri di gruppo esistente” 2 .
Ricordiamo che la politica è stata configurata a livello di computer, quindi la associo a un’unità organizzativa che contiene i computer.
Selezionare la strategia di gruppo 1 e fare clic su OK 2 .
La politica è ora associata all’unità organizzativa.
Testare la politica di restrizione del software
Per testare la politica di gruppo, utilizzerò Firefox Portable e proverò ad avviarlo con un account che è amministratore locale del computer e con un account utente del dominio. L’eseguibile di Firefox si troverà sul desktop.
Con l’account amministratore, Firefox si avvia senza problemi:
Con un utente standard, l’applicazione viene bloccata:
Sempre per illustrare il blocco, ho scaricato AnyDesk da MS Edge e, quando lo avvio, ricevo anch’io il messaggio di errore:
Conclusione
Attraverso questo software, avete visto come bloccare l’esecuzione e l’installazione di software sui computer.
Questa strategia consente di controllare meglio i programmi, impedendo l’esecuzione di applicazioni portatili e bloccandone l’installazione, poiché alcuni software aggirano la mancanza di autorizzazioni dell’utente installando i programmi nella cartella AppData dell’utente.
In ambito aziendale, è utile anche per bloccare gli strumenti di controllo remoto che potrebbero essere utilizzati dai fornitori di servizi o dagli utenti stessi.
Ciò aumenta inoltre il livello di sicurezza bloccando l’esecuzione di script potenzialmente dannosi.
