Windows XP 客户端的软件限制策略二
软件限制策略优先权规则
规则按特定顺序进行评估。与程序匹配程度较高的规则比与同一程序匹配程度较低的规则优先。如果为同一软件建立了两个不同安全级别的相同规则，则安全级别最高的规则优先。例如，如果将两个哈希规则（一个哈希规则的安全级别为“不允许的”，另一个的安全级别为“不受限的”）应用于同一软件程序，则安全级别为“不允许的”的规则优先，程序将不会运行。以下列表定义了规则的优先权顺序（从具体到一般）：
1.哈希规则
2.证书规则
3.路径规则
4.区域规则
5.默认规则
软件限制策略选项
本部分讨论了影响软件限制策略行为的各种强制选项。这些选项将改变数字签名文件的 Microsoft Authenticode信任设置的强制行为范围。有两个强制选项：“动态链接库 （DLL） 检查”和“跳过管理员”。
DLL 检查
大多数程序都由可执行文件和许多支持 DLL 组成。默认情况下，不会对 DLL 强制实施软件限制策略规则。这是针对大多数客户的推荐选项，下面列出了这样做的三个原因：
不允许主要可执行文件可以阻止程序运行，因此无需再阻止构成程序的 DLL.
由于 DLL 检查必须检查链接到应用程序的所有库，因此会降低系统性能。例如，如果用户在登录会话中运行了 10 个程序，则软件限制策略将评估每个程序。打开 DLL 检查后，软件限制策略将评估每个程序中的每个 DLL 负载。如果每个程序使用 20 个 DLL，这将导致 10 个可执行程序检查以及 200 个 DLL 检查，因此软件限制策略必须执行 210 次评估。
Internet Explorer 之类的程序由可执行文件、iexplore.exe 和多个支持 DLL 组成。
将默认安全级别设置为“不允许的”将强制系统不仅要标识主要可执行文件（在允许该程序运行之前），还要标识作为 .exe 文件组成部分的所有 DLL，这将加重系统负担。
如果要最高限度地确保环境中运行的程序的安全性，则建议您使用“DLL 检查”选项。这是因为尽管病毒主要攻击可执行文件，但某些病毒却专门攻击 DLL.
要确保程序中不包含病毒，可以使用一组哈希规则来标识可执行文件以及构成该文件的所有 DLL.
要关闭“DLL 检查”选项，请执行下列操作：
在“强制属性”对话框中，选择“除去库文件（如 Dll）之外的所有软件文件” .
图 6.9
“强制属性”对话框显示了文件和用户强制选项
最新相关文章发表评论