Grundlegendes zu den AppLocker-Aktionen „Zulassen“ und „Verweigern“ für Regeln

In diesem Artikel werden die Unterschiede zwischen Allow- und Deny-Aktionen für AppLocker-Regeln erläutert.

Zulassen von Aktionen im Vergleich zu Ablehnungsaktionen für Regeln

Jede AppLocker-Regelsammlung fungiert als explizite Positivliste von Dateien. Sie können nur Dateien ausführen, die von einer oder mehreren Zulassungsregeln innerhalb der Regelsammlung abgedeckt sind. Sie können auch Regeln erstellen, die die Ausführung einiger Dateien explizit verweigern. Alle anderen Dateien, die nicht durch eine explizite Zulassungs- oder Ablehnungsregel abgedeckt sind, werden implizit für die Ausführung blockiert. Wenn Sie diesen Block standardmäßig verstehen, ist das Verhalten von Zulassen nach Ausnahme wichtig, wenn Sie analysieren, wie sich Ihre Richtlinie auf Benutzer in Ihrer organization auswirkt.

Wenn AppLocker Regeln anwendet, überprüft es zunächst, ob explizite Ablehnungsaktionen in der Regelliste angegeben sind. Wenn Sie die Ausführung einer Datei in einer Regelsammlung verweigern, hat die Verweigerungsaktion Vorrang vor jeder Zulassen-Aktion und kann nicht überschrieben werden. Anschließend sucht AppLocker nach expliziten Zulassungsaktionen für die Datei. Da AppLocker standardmäßig als Positivliste fungiert und keine Regel die Ausführung einer Datei explizit zulässt oder verweigert, blockiert die AppLocker-Standardverweigerungsaktion die Datei.

Verwenden von AppLocker zum Implementieren einer Sperrliste

Obwohl Sie AppLocker verwenden können, um eine explizite Sperrlistenrichtlinie zu erstellen, lässt sich dieser Ansatz für die meisten Organisationen nicht gut skalieren und wird nicht als praktische Strategie für die Anwendungssteuerung empfohlen. Wenn Sie dies jedoch tun möchten, achten Sie darauf, die Regel "allow *" in die Regelsammlung einzuschließen, damit alle anderen Dateien ausgeführt werden.

Wichtig

Wenn Sie keine Zulassungsregeln für alle erforderlichen Apps, einschließlich Windows-Systemdateien, in eine Regelsammlung einschließen, führen Sie zu unerwarteten Ergebnissen, da Ihre Richtlinie die Ausführung aller anderen Dateien auf dem Computer implizit verweigert.