了解 AppLocker 规则条件类型

本文面向 IT 专业人员介绍了三种类型的 AppLocker 规则条件。

规则条件是 AppLocker 规则所基于的条件。 创建 AppLocker 规则需要满足主要条件。 三个主要规则条件是发布者、路径和文件哈希。

发布者

若要使用发布者条件，软件发布者必须对其应用文件进行数字签名，或者必须使用内部证书进行签名。 在发布文件的新版本时，可能需要更新指定到版本级别的规则。 有关此规则条件的详细信息，请参阅 了解 AppLocker 中的发布者规则条件。

路径

可以为任何文件分配此规则条件。 但是，由于路径规则指定文件系统中的位置，因此除非显式免除，否则该规则也会影响任何子目录。 有关此规则条件的详细信息，请参阅 了解 AppLocker 中的路径规则条件。

文件哈希

可以为任何文件分配此规则条件。 但是，每次发布新版本的文件时，都必须更新规则，因为 Authenticode 哈希值对于文件的每个版本都是唯一的。 有关此规则条件的详细信息，请参阅 了解 AppLocker 中的文件哈希规则条件。

注意事项

为每个规则选择适当的条件取决于组织的总体应用程序控制策略目标、AppLocker 规则维护目标以及现有 (或计划) 应用程序部署的条件。 以下问题可帮助你确定要使用的规则条件。

  1. 文件是否由软件发布者进行数字签名？

    如果软件发布者对文件签名，建议创建具有发布者条件的规则。 仍可为已签名文件创建文件哈希和路径条件。 但是，如果软件发布者未对文件进行签名，你可以：

    • 使用内部证书对文件进行签名。

    • 使用文件哈希条件创建规则。

    • 使用路径条件创建规则。

      注意

      若要确定引用计算机上有多少应用程序经过数字签名，可以对文件目录使用 Get-AppLockerFileInformation Windows PowerShell cmdlet。 例如， Get-AppLockerFileInformation -Directory C:\Windows\ -FileType EXE -recurse 显示 Windows 目录中所有 .exe 和.com文件的属性。

  2. 你的组织首选哪种规则条件类型？