APPLOCKER SOUS WINDOWS 7

Transcription

1 APPLOCKER SOUS WINDOWS 7 LES INFORMATIONS CONTENUES DANS CET ARTICLE S'APPLIQUENT AUX PRODUITS SUIVANTS: Microsoft Windows 7 édition Entreprise Microsoft Windows 7 édition Ultimate TABLE DES MATIERES Créé le 21/04/2011 Page 1 de 10

2 AppLocker est une nouvelle fonctionnalité de Windows 7 qui vous permet de restreindre l'exécution de programmes via les stratégies de groupe. Il est comparable aux fonctions de stratégies de restriction logicielle (Software Restriction Policy) des anciennes versions de Windows toujours supportées par Windows 7 et Windows Server 2008 R2. Les stratégies de restriction logicielle ne sont pas vraiment populaires à cause du temps consacré à leur déploiement, de plus ceux-ci peuvent être facilement contournés. AppLocker promet donc de traiter tous les inconvénients des logiciels de restrictions de stratégie. Pour information : Si vos postes Windows 7 sont intégrés à un domaine Microsoft Windows 2008, vous pouvez gérer les Règles APPLOCKER à l aide des stratégies de domaine. Dans un premier temps, vous devez paramétrer le service «Identité de l'application» pour qu il s exécute automatiquement au démarrage de WINDOWS 7. Exécutez la console d administration des services en saisissant «services.msc». Sélectionnez le service «Identité de l application» pour le paramétrer. Créé le 21/04/2011 Page 2 de 10

3 Sélectionnez «Automatique» en type de démarrage. Démarrez le service en cliquant sur «Démarrer». Cliquez sur «appliquer». Cliquez sur «OK». Fermez la console d administration des services. Exécutez «l éditeur de stratégies de groupe locales» (GPEDIT.MSC). Créé le 21/04/2011 Page 3 de 10

4 Déployez le nœud «Configuration Ordinateur\Paramètres Windows\Paramètres de sécurité\stratégie de contrôle de l application\applocker» et Ensuite faites un clic droit sur «Applocker» puis sélectionner «propriètès», puis cocher les trois types de règles comme ci-dessous. La configuration d Applocker se découpe en 3 modules: Le verrouillage des exécutables Le verrouillage des installations basées sur Windows Installer Le verrouillage de l exécution de scripts Maintenant configurez les règles par défaut de chaque module (Règles de l'exécutable, Windows installer, script et dll). Pour cela cliquez sur chaque module avec le bouton droit de la souris et «sélectionnez «Créer les règles par défaut». Créé le 21/04/2011 Page 4 de 10

5 Maintenant que les règles par défaut sont créées, vous pouvez créer vos propres règles pour interdire les applications non autorisées. Exemple pour interdire l exécution de toutes versions d Acrobat Reader : Cliquez sur «Règles de l exécutable» puis avec le bouton droit sélectionnez «Créer une règle..». Créé le 21/04/2011 Page 5 de 10

6 Cliquez sur «Suivant». Cliquez sur «refuser», sélectionnez les utilisateurs ou groupes concernés, puis sur «suivant». Créé le 21/04/2011 Page 6 de 10

7 Trois possibilités s offrent à vous : Editeur : pour les applications disposant d'une signature numérique de l'éditeur. Chemin d accès : pour un fichier ou un répertoire spécifique (si un répertoire est sélectionné, la règle s'applique à tous les fichiers se trouvant dans le répertoire). Hachage du fichier : cette option permet de créer une règle pour les applications non-signées (ne disposant pas de signature numérique). Sélectionnez «Editeur», puis cliquez sur «Suivant». Créé le 21/04/2011 Page 7 de 10

8 Sélectionnez le nom du programme à interdire en cliquant sur «Parcourir», puis sélectionnez le niveau d interdiction à l aide du curseur vertical et enfin cliquez sur «Suivant». La nouveauté qu'apporte AppLocker dans ce domaine est sans nul doute le niveau de contrôle des différentes versions d'une application donnée. Vous pouvez néanmoins, créer des exceptions sur l exécutable de votre règle personnelle. Dans notre cas, on veut interdire l exécution de toutes les versions d Acrobat Reader. Nous n avons donc pas d exception. Cliquez sur «Suivant». Créé le 21/04/2011 Page 8 de 10

9 Donnez un nom et une description à votre règles, puis cliquez sur «Créer». La règle pour interdire l exécution de toutes les versions d Acrobate Reader est désormais créée. Fermez l éditeur de stratégie de groupe locale. Maintenant vous devez forcer l application de cette stratégie en exécutant la ligne de commande suivante : Gpupdate /force Désormais la stratégie est active. Créé le 21/04/2011 Page 9 de 10

10 Vérifions en exécutant Acrobat Reader X Voilà le résultat. Créé le 21/04/2011 Page 10 de 10