如何将软件限制策略发挥大作用

 如何将软件限制策略发挥大作用根本在于规则设置，当然首先增加权限用户。它的方法是：当然基本用户 、受限的、不信任的 这三个安全等级是要手动打开的，开注册表编辑器，展开HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsSaferCodeIdentifiers新建一个DOWRD，命名为Levels，其值可以为设成0x31000（即4131000）即可，这样每条规则下多了基本用户 、受限的、不信任的权限。然后增加和删除文件类型：加dat 删除lnk.


     接着我们来写规则。首先，写系统盘的规则这个容易。新建散列规则找到系统盘根目录的文件NTDETECT.COM设置为不受限，然后加一路径规则NTDETECT.COM不允许，再加路径规则C： *.*不允许。第二我们写的windows根目录规则，把windows根目录下所有的*.exe *.dat  *.bat *.com  先写散列规则不受限再写,路径规则不允许如regedit.*（注意摄像程序不要加路径不允许），把以下windows根目录下的文件夹设为路径不允许：C:WINDOWSConfig  C:WINDOWSDownloaded Program Files C:WINDOWSSoftwareDistributionDownload  C:WINDOWSsystem C:WINDOWSTasks C:WINDOWStemp ，好windws根目录下规则做好。第三，我们写system32的规则，把常用的system32根目录下文件做散列不受限再做不允许这些文件是csrss.exe ctfmon.exe lsass.exe smss.exe services.exe svchost.exe  taskmgr.exe runas .exe  RUNDLL.EXE  userinit.exe winlogon.exe user.exe ，system32根目录下有些文件需要限制arp.exe at.exe attrib.exe cacls.exe net.exe 把他们设为散列不允许路径不允许，再把system32根目录下的com文件设为散列基本用户路径不允许，C:WINDOWSsystem32wbem 下 wmiprvse.exe wmiapsrv.exe 散列不受限路径不允许再C:WINDOWSsystem32wbem*.*   路径  ，  C:WINDOWSsystem32下文件夹设为不允许drivers不允许。


第四做以下规则


*.*.*.* 路径 不允许的  
*.3qp.* 路径 不允许的  
*.asf.* 路径 不允许的  
*.avi.* 路径 不允许的  
*.bmp.* 路径 不允许的  
*.doc.* 路径 不允许的  
*.exe.* 路径 不允许的  
*.iso.* 路径 不允许的  
*.jpg.* 路径 不允许的  
*.mp3.* 路径 不允许的  
*.mp4.* 路径 不允许的  
*.mpeg.* 路径 不允许的  
*.mpg.* 路径 不允许的  
*.pif 路径 不允许的  
*.ppt.* 路径 不允许的  
*.qsed.* 路径 不允许的  
*.rar.* 路径 不允许的 
*.rm.* 路径 不允许的  
*.rmvb.* 路径 不允许的  
*.torrent.* 路径 不允许的  
*.txt.* 路径 不允许的  
*.wav.* 路径 不允许的  
*.wm.* 路径 不允许的  
*.wm?.* 路径 不允许的  
*.zip.* 路径 不允许的


  第五做以下规则：


?:RECYCLER 路径 不允许的  
?:System Volume Information 路径 不允许的


C:*.* 路径 不允许的  2009-5-13  10:26:47
C:Documents and Settings**「开始」菜单程序启动 路径 不允许的  2009-5-13  8:10:50
C:Documents and Settings**Application Data*.* 路径 不允许的  2009-6-23  9:33:50
C:Documents and Settings**Cookies 路径 不允许的  2009-5-13  8:21:23
C:Documents and Settings**Favorites 路径 不允许的  2009-5-13  8:21:44
C:Documents and Settings**Local SettingsHistory 路径 不允许的  2009-5-13  8:22:04
C:Documents and Settings**Local SettingsTemp 路径 不允许的  2009-7-5  8:50:58
C:Documents and Settings**Local SettingsTemporary Internet Files 路径 不允许的  2009-5-22  14:08:58
C:Documents and Settings**桌面 路径 不允许的  2009-5-13  8:23:03
C:Documents and Settings*.* 路径 不允许的  2009-5-13  8:24:16
C:Program Files*.* 路径 不允许的  2009-5-13  8:34:08。


 


一个免费的hips做好了，重启。当然要加强保护软件限制策略，方法为C:WINDOWSsystem32GroupPolicyMachineRegistry.pol文件安全权限设为只读，打开注册表编辑器HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsSafer权限设为只读