Windows AppLocker

AppLocker è una nuova funzionalità di Windows 7 e Windows Server 2008 R2 che consente di specificare gli utenti o i gruppi che possono eseguire determinate applicazioni sll'interno dell'organizzazione in base a identità univoche di file. Se si utilizza AppLocker, è possibile creare regole che consentono o negano l'esecuzione delle applicazioni.

Le organizzazioni moderne devono affrontare diverse sfide relative al controllo dell'esecuzione delle applicazioni incluse le seguenti:

  • Per quali applicazioni è consigliabile concedere l'accesso per l'esecuzione a un utente?

  • A quali utenti è consigliabile consentire l'installazione di nuovo software?

  • Quali versioni delle applicazioni è consigliabile consentire?

  • Come controllare le applicazioni con licenza?

Per risolvere questi problemi, AppLocker offre agli amministratori la possibilità di specificare gli utenti che possono eseguire applicazioni specifiche. AppLocker consente agli amministratori di controllare i tipi di applicazioni seguenti: file eseguibili (con estensione exe e com), script (con estensione js, ps1, vbs, cmd e bat), file di Windows Installer (con estensione msi e msp) e file DLL (con estensione dll e ocx). Questo riduce il costo di gestione delle risorse di elaborazione da parte dell'organizzazione, diminuendo il numero di chiamate al supporto tecnico da parte degli utenti che eseguono applicazioni non appropriate.

Negli argomenti seguenti sono contenute ulteriori informazioni su AppLocker:

  • Panoramica di Windows AppLocker

  • Configurare le regole di AppLocker

  • Configurare l'imposizione delle regole di AppLocker

  • Configurare le eccezioni alle regole di AppLocker

  • Proprietà delle regole di AppLocker

  • Versioni di Windows che supportano AppLocker


Panoramica di Windows AppLocker

AppLocker è una nuova funzionalità di Windows 7 e Windows Server 2008 R2 che sostituisce Criteri restrizione software. AppLocker contiene nuove capacità ed estensioni che riducono il sovraccarico amministrativo e aiutano gli amministratori a controllare l'accesso e l'utilizzo dei file, ad esempio file eseguibili, script, file di Windows Installer e DLL, da parte degli utenti. AppLocker consente di:

  • Definire regole basate su attributi file derivati dalla firma digitale, tra cui autore, nome prodotto, nome file e versione file. È possibile, ad esempio, creare regole basate sull'attributo dell'autore che è persistente nei vari aggiornamenti oppure creare regole per una determinata versione di un file.

  • Assegnare una regola a un gruppo di sicurezza o a un singolo utente.

  • Creare eccezioni alle regole. È possibile, ad esempio, creare una regola che consenta l'esecuzione di tutti i processi Windows ad eccezione dell'editor del Registro di sistema (Regedit.exe).

  • Utilizzare la modalità di solo controllo per distribuire il criterio e valutarne l'impatto prima di imporlo.

  • Importare ed esportare le regole. L'importazione e l'esportazione influiscono sull'intero criterio. Se, ad esempio, si esporta un criterio, vengono esportate tutte le regole contenute in tutte le raccolte di regole, incluse le impostazioni di imposizione relative a tali raccolte. Se si importa un criterio, il criterio esistente viene sovrascritto.

  • Semplificare la creazione e la gestione delle regole di AppLocker utilizzando i cmdlet PowerShell di AppLocker.

Per ulteriori informazioni sulle regole di AppLocker, vedere Informazioni sulle regole di AppLocker.

Quali sono le novità?

Nella tabella seguente AppLocker viene confrontato con Criteri restrizione software.

Funzionalità | Criteri restrizione software | AppLocker
Ambito della regola | Tutti gli utenti | Utente o gruppo specifico
Condizioni delle regole specificate | Regole di hash file, percorso, certificato, percorso del Registro di sistema e area Internet | Regole di hash file, percorso e autore
Tipi di regole specificati | Consenti e Nega | Consenti e Nega
Azione regola predefinita | Consenti o Nega | Nega
Modalità solo controllo | No | Sì
Procedura guidata per la creazione di più regole contemporaneamente | No | Sì
Importazione o esportazione criteri | No | Sì
Raccolta regole | No | Sì
Supporto PowerShell | No | Sì
Messaggi di errore personalizzati | No | Sì

Requisiti per AppLocker

AppLocker è disponibile in tutte le edizioni di Windows Server 2008 R2 e in Windows 7 Ultimate e Windows 7 Enterprise. Per utilizzare AppLocker, è necessario:

  • Un computer che esegue Windows Server 2008 R2, Windows 7 Ultimate, Windows 7 Enterprise o Windows 7 Professional per creare le regole di AppLocker. Per creare tali regole è possibile utilizzare Windows 7 Professional ma non è possibile imporle nei computer che eseguono Windows 7 Professional. Il computer può essere un controller di dominio.

  • Per la distribuzione dei criteri di gruppo, almeno un computer in cui sia installato Console Gestione criteri di gruppo o Strumenti di amministrazione remota del server per ospitare le regole di AppLocker.

  • Computer che eseguono Windows Server 2008 R2, Windows 7 Ultimate o Windows 7 Enterprise per imporre le regole di AppLocker create dall'utente.


Configurare le regole di AppLocker

In questa sezione vengono descritte procedure utili per configurare regole di AppLocker all'interno dell'organizzazione.

Gli argomenti contenuti nella sezione includono:

  • Informazioni sulle regole di AppLocker

  • Avviare il servizio Identità applicazione

  • Creare regole predefinite di AppLocker

  • Generare automaticamente regole di AppLocker

  • Creare una regola di AppLocker

  • Modificare una regola di AppLocker

  • Eliminare una regola di AppLocker


Informazioni sulle regole di AppLocker

Raccolte di regole

Lo snap-in Microsoft Management Console (MMC) di AppLocker è organizzato in quattro aree definite raccolte di regole e suddivise in file eseguibili, script, file di Windows Installer e file DLL. Grazie a tali raccolte l'amministratore può differenziare facilmente le regole per i diversi tipi di applicazioni. Nella tabella seguente sono elencati i formati di file inclusi in ogni raccolta di regole.

Nota

Per impostazione predefinita, la raccolta di regole DLL non è abilitata. Per informazioni su come abilitarla, vedere Imporre le regole di AppLocker.

Raccolta regole | Formati file associati
Eseguibile | exe com
Script | ps1 bat cmd vbs js
Windows Installer | msi msp
DLL | dll ocx
Importante

Se si utilizzano regole DLL, è necessario creare una regola di assenso DLL per ogni DLL utilizzata in tutte le applicazioni consentite.

Attenzione

Quando si utilizzano regole DLL, AppLocker deve controllare ogni DLL caricata in un'applicazione. È pertanto possibile che gli utenti rilevino un calo delle prestazioni se vengono utilizzate regole DLL.

Condizioni per le regole

Le condizioni per le regole sono criteri sui quali si basano le regole di AppLocker. Per creare una regola di AppLocker sono necessarie condizioni primarie. Le tre condizioni primarie per le regole sono autore, percorso e hash file.

Autore

Questa condizione identifica un'applicazione in base alla firma digitale e agli attributi estesi a essa associati. La firma digitale contiene informazioni sulla società che ha creato l'applicazione (autore). Gli attributi estesi, ottenuti dalla risorsa binaria, contengono il nome del prodotto di cui fa parte l'applicazione e il numero di versione dell'applicazione. L'autore può essere una società di sviluppo software, ad esempio Microsoft, o il reparto IT dell'organizzazione.

Nota

Se possibile, utilizzare una condizione di autore. Tali condizioni possono essere create per garantire il funzionamento delle applicazioni anche se la posizione dell'applicazione cambia o se l'applicazione viene aggiornata.

Quando si seleziona un file di riferimento per una condizione di autore, durante la procedura guidata viene creata una regola che specifica l'autore, il prodotto, il nome file e il numero di versione. È possibile rendere più generica la regola spostando il dispositivo di scorrimento verso il basso o utilizzando un carattere jolly (*) nel campo relativo al prodotto, al nome file o al numero di versione.

Nota

Per immettere valori personalizzati durante la creazione di una regola nella procedura guidata Crea regole, è necessario selezionare la casella di controllo Usa valori personalizzati. Quando si seleziona questa casella di controllo, non è possibile utilizzare il dispositivo di scorrimento per rendere la regola più o meno specifica.

La versione file controlla se un utente può eseguire una versione specifica, versioni precedenti o versioni successive. È possibile scegliere un numero di versione e quindi configurare le opzioni seguenti:

  • Corrispondenza esatta. La regola viene applicata solo alla versione corrente dell'applicazione.

  • E versioni successive. La regola viene applicata alla versione corrente e a tutte le versioni successive.

  • E versioni precedenti. La regola viene applicata alla versione corrente e a tutte le versioni precedenti.

Nella tabella seguente viene descritta la modalità di applicazione di una condizione di autore.

Opzione |  | La condizione di autore consente o nega…
Tutti i file firmati |  | Tutti i file firmati da un autore.
Solo autore |  | Tutti i file firmati dall'autore denominato.
Autore e nome di prodotto |  | Tutti i file del prodotto specificato firmati dall'autore denominato.
Autore, nome di prodotto e nome di file |  | Una versione del file denominato per il prodotto denominato firmato dall'autore.
Autore, nome di prodotto, nome di file e versione del file | Corrispondenza esatta | La versione specificata del file denominato per il prodotto denominato firmato dall'autore.
Autore, nome di prodotto, nome di file e versione del file | E versioni successive | La versione specificata del file denominato e tutte le nuove versioni del prodotto firmate dall'autore.
Autore, nome di prodotto, nome di file e versione del file | E versioni precedenti | La versione specificata del file denominato e tutte le versioni precedenti del prodotto firmate dall'autore.
Personalizzata |  | È possibile modificare i campi Autore, Nome prodotto, Nome file e Versione per creare una regola personalizzata.

Percorso

Questa condizione identifica un'applicazione in base alla relativa posizione nel file system del computer o nella rete.

In AppLocker vengono utilizzate variabili di percorso per le directory di Windows.

Nota

Sebbene due di queste variabili di percorso utilizzino un formato identico a quello delle variabili di ambiente di Windows, non sono variabili di ambiente. AppLocker è in grado di interpretare solo le variabili di percorso di AppLocker.

Nella tabella seguente sono contenute informazioni dettagliate sulle variabili di percorso.

Directory o unità di Windows | Variabile di percorso di AppLocker | Variabile di ambiente di Windows
Windows | %WINDIR% | %SystemRoot%
System32 | %SYSTEM32% | %SystemDirectory%
Directory di installazione di Windows | %OSDRIVE% | %SystemDrive%
File di programma | %PROGRAMFILES% | %ProgramFiles% e %ProgramFiles(x86)%
Supporti rimovibili, ad esempio CD o DVD | %REMOVABLE% |
Dispositivo di archiviazione rimovibile, ad esempio un'unità flash USB | %HOT% |
Importante

Le condizioni di percorso possono essere configurate in modo da includere un numero elevato di cartelle e file ed è pertanto consigliabile pianificarle con molta attenzione. Se, ad esempio, una regola di assenso con una condizione di percorso include un percorso di cartella in cui gli utenti non amministratori possono scrivere dati, è possibile che un utente effettui una copia di file non approvati in tale percorso ed esegua quindi i file. Per questo motivo è consigliabile non creare condizioni di percorso per posizioni scrivibili dagli utenti standard, ad esempio un profilo utente.

Hash file

Quando si sceglie una condizione di hash file, nel sistema viene calcolato un hash di crittografia del file identificato.

Regole di AppLocker predefinite

AppLocker consente di generare regole predefinite per ogni tipo di regola.

Tipi di regole eseguibili predefinite:

  • Consente ai membri del gruppo Administrators locale di eseguire tutte le applicazioni.

  • Consente ai membri del gruppo Everyone di eseguire le applicazioni memorizzate nella cartella Windows.

  • Consente ai membri del gruppo Everyone di eseguire le applicazioni memorizzate nella cartella Programmi.

Tipi di regole di Windows Installer predefinite:

  • Consente ai membri del gruppo Administrators locale di eseguire tutti i file di Windows Installer.

  • Consente ai membri del gruppo Everyone di eseguire tutti i file di Windows Installer firmati digitalmente.

  • Consente ai membri del gruppo Everyone di eseguire tutti i file di Windows Installer nella directory Windows\Installer.

Tipi di regole script predefinite:

  • Consente ai membri del gruppo Administrators locale di eseguire tutti gli script.

  • Consente ai membri del gruppo Everyone di eseguire gli script presenti nella cartella Programmi.

  • Consente ai membri del gruppo Everyone di eseguire gli script presenti nella cartella Windows.

Tipi di regole DLL predefinite:

  • Consente ai membri del gruppo Administrators locale di caricare tutte le DLL.

  • Consente ai membri del gruppo Everyone di caricare le DLL presenti nella cartella Programmi.

  • Consente ai membri del gruppo Everyone di caricare le DLL presenti nella cartella Windows.

Per ulteriori informazioni, vedere Creare regole predefinite di AppLocker.

Comportamento delle regole di AppLocker

Se per una determinata raccolta di regole non esistono regole di AppLocker, è consentita l'esecuzione di tutti i file con tale formato. Quando, tuttavia, si crea una regola di AppLocker per una specifica raccolta di regole, sarà possibile eseguire solo i file esplicitamente consentiti nella regola. Se, ad esempio, si crea una regola di eseguibile che consente l'esecuzione dei file exe nel percorso %SystemDrive%\FilePath, sarà consentita l'esecuzione solo dei file eseguibili contenuti nel percorso specificato.

È possibile configurare una regola per l'utilizzo di un'azione di assenso o negazione:

  • Consenti. È possibile specificare i file per i quali è consentita l'esecuzione nel proprio ambiente, nonché gli utenti o i gruppi di utenti che possono eseguirli. È inoltre possibile configurare eccezioni per identificare i file esclusi dalla regola.

  • Nega. È possibile specificare i file per i quali not è consentita l'esecuzione nel proprio ambiente, nonché gli utenti o i gruppi di utenti che non possono eseguirli. È inoltre possibile configurare eccezioni per identificare i file esclusi dalla regola.

Importante

È possibile utilizzare una combinazione di azioni di assenso e negazione. È tuttavia consigliabile utilizzare azioni di assenso con eccezioni in quanto le azioni di negazione sostituiscono le azioni di assenso in tutti i casi. Le azioni di negazione possono inoltre essere aggirate.

Eccezioni alle regole

È possibile applicare regole di AppLocker a singoli utenti o a un gruppo di utenti. Se si applica una regola a un gruppo di utenti, la regola avrà effetto su tutti gli utenti del gruppo. Se si desidera consentire l'utilizzo di un'applicazione a un sottoinsieme di un gruppo di utenti, è possibile creare una regola speciale per tale sottoinsieme. La regola "Consenti al gruppo Everyone di eseguire Windows tranne l'editor del Registro di sistema" consente, ad esempio, l'esecuzione di Windows a tutti gli utenti dell'organizzazione ma impedisce di eseguire l'Editor del Registro di sistema. Questa regola avrebbe come effetto quello di impedire a utenti come il personale del supporto tecnico di eseguire un programma indispensabile per le proprie attività di supporto. Per risolvere questo problema, è necessario creare una seconda regola applicabile al gruppo di utenti del supporto tecnico: "Consenti al supporto tecnico di eseguire l'editor del Registro di sistema". Se si crea una regola di negazione che non consente agli utenti di eseguire l'editor del Registro di sistema, tale regola sostituirà la seconda regola che ne consente invece l'esecuzione da parte del gruppo di utenti del supporto tecnico.

Procedure guidate di AppLocker

È possibile creare regole personalizzate in due modi diversi:

  1. La procedura guidata Crea regole consente di creare una regola alla volta. Per ulteriori informazioni, vedere Creare una regola di AppLocker.

  2. La procedura guidata Genera regole automaticamente consente di selezionare una cartella, un utente o un gruppo al quale applicare la regola e quindi creare molte regole contemporaneamente per tale cartella. Utilizzando tale procedura è possibile generare automaticamente solo regole di assenso. Per ulteriori informazioni, vedere Generare automaticamente regole di AppLocker.

Ulteriori considerazioni

  • Per impostazione predefinita, le regole di AppLocker non consentono agli utenti di aprire o eseguire file che non sono specificamente consentiti. Gli amministratori devono mantenere un elenco aggiornato delle applicazioni consentite.

  • Esistono due tipi di condizioni di AppLocker che non vengono mantenute in seguito a un aggiornamento:

    • Condizione di hash file. Le condizioni di hash file possono essere utilizzate con qualsiasi applicazione in quanto durante la creazione della regola viene generato un valore hash di crittografia dell'applicazione. Il valore hash è tuttavia specifico di quella determinata versione dell'applicazione. Se nell'organizzazione vengono utilizzate diverse versioni dell'applicazione, è necessario creare condizioni di hash file per ogni versione in uso e per tutte le eventuali nuove versioni rilasciate.

    • Una condizione di autore con una specifica versione di prodotto impostata. Se si crea una condizione di autore che utilizza l'opzione di condizione file Corrispondenza esatta, non è possibile rendere persistente la regola se viene installata una nuova versione dell'applicazione. Sarà necessario creare una nuova condizione di autore o modificare la versione della regola in modo da renderla meno specifica.

  • Se un'applicazione non dispone di una firma digitale, non è possibile utilizzare una condizione di autore.

  • Le regole di AppLocker non possono essere utilizzate per gestire i computer che eseguono un sistema operativo Windows precedente a Windows 7. In questi casi è necessario utilizzare Criteri restrizione software.

  • Se si definiscono regole di AppLocker in un oggetto Criteri di gruppo, verranno applicate solo queste regole. Per garantire l'interoperabilità tra le regole di Criteri restrizione software e le regole di AppLocker, definire le regole di Criteri restrizione software e le regole di AppLocker in oggetti Criteri di gruppo diversi.

  • Quando una regola di AppLocker è impostata su Controlla soltanto, la regola non viene imposta. Quando un utente esegue un'applicazione inclusa nella regola, l'applicazione viene aperta ed eseguita normalmente e vengono aggiunte informazioni sull'applicazione nel registro eventi di AppLocker.

  • È possibile includere nel messaggio un URL configurato personalizzato da visualizzare quando un'applicazione viene bloccata.

  • È prevedibile un incremento nel numero di chiamate al supporto tecnico relative alle applicazioni bloccate. Quando gli utenti cominciano a capire che non possono eseguire applicazioni non consentite, il numero di chiamate al supporto tecnico dovrebbe ridursi.

Ulteriori riferimenti

  • Configurare le regole di AppLocker


Avviare il servizio Identità applicazione

Prima di imporre i criteri di AppLocker, è necessario avviare il servizio Identità applicazione utilizzando la console snap-in Servizi.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per avviare il servizio Identità applicazione

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi.

  2. Nella console snap-in Servizi fare doppio clic su Identità applicazione.

  3. Nella finestra di dialogo Proprietà - Identità applicazione fare clic su Automatico nell'elenco Tipo di avvio, su Avvia e quindi su OK.
Nota

È inoltre possibile utilizzare un'impostazione di un oggetto Criteri di gruppo che configura il Tipo di avvio del servizio Identità applicazione su Automatico. Per informazioni sull'utilizzo dei Criteri di gruppo, vedere la pagina relativa alla pianificazione e alla distribuzione dei criteri di gruppo (http://go.microsoft.com/fwlink/?LinkId=143689).

Ulteriori riferimenti

  • Configurare le regole di AppLocker


Creare regole predefinite di AppLocker

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per creare regole predefinite

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Fare clic con il pulsante destro del mouse sul tipo di regola appropriata per la quale si desidera generare automaticamente regole predefinite. È possibile generare automaticamente regole per eseguibili, Windows Installer e script.

  5. Fare clic su Crea regole predefinite.

Ulteriori riferimenti

  • Configurare le regole di AppLocker


Generare automaticamente regole di AppLocker

AppLocker consente di generare automaticamente regole per tutti i file contenuti in una cartella eseguendo la scansione della cartella specificata e creando i tipi di condizione scelti per ogni file di tale cartella.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per generare regole automaticamente

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Fare clic con il pulsante destro del mouse sulla raccolta di regole appropriata per la quale si desidera generare regole automaticamente. È possibile generare automaticamente regole per eseguibili, Windows Installer e script.

  5. Fare clic su Genera regole automaticamente.

  6. Nella pagina Cartella e autorizzazioni fare clic su Sfoglia per scegliere la cartella da analizzare, che per impostazione predefinita è la cartella Programmi.

  7. Fare clic su Seleziona per scegliere il gruppo di sicurezza in cui applicare le regole predefinite. Per impostazione predefinita, tale gruppo è Everyone.

  8. Nella procedura guidata viene indicato un nome nella casella Nome per identificare il set di regole basato sul nome della cartella selezionata. Accettare tale nome o digitarne uno diverso e quindi fare clic su Avanti.

  9. Nella pagina Preferenze per le regole scegliere le condizioni che si desidera utilizzare durante la creazione delle regole e quindi fare clic su Avanti. Per ulteriori informazioni sulle condizioni delle regole, vedere Informazioni sulle regole di AppLocker.

    Note
    • Per impostazione predefinita, la casella di controllo Riduci il numero di regole create raggruppando file simili è selezionata. In questo modo è possibile organizzare le regole di AppLocker e ridurre il numero di regole create eseguendo le operazioni seguenti per la condizione della regola selezionata:
      • Per tutti i file che hanno lo stesso nome di autore e di prodotto viene creata una condizione di autore.

      • Per la cartella selezionata viene creata una condizione di percorso. Se, ad esempio, si seleziona C:\Program Files\ProgramName\ e i file contenuti in tale cartella non sono firmati, viene creata una regola per %programfiles%\ProgramName\*.

      • Viene creata una condizione di hash file contenente tutti gli hash file. Quando il raggruppamento delle regole è disabilitato, viene creata una regola di hash file per ogni file.

  10. Esaminare i file analizzati e le regole che verranno create automaticamente. Per apportare modifiche, fare clic su Precedente per tornare alla pagina in cui è possibile modificare le selezioni. Dopo aver esaminato le regole, fare clic su Crea.

Ulteriori riferimenti

  • Configurare le regole di AppLocker


Creare una regola di AppLocker

È possibile creare nuove regole utilizzando la procedura guidata Crea regole.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per creare una nuova regola

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Fare clic con il pulsante destro del mouse sulla raccolta di regole per la quale si desidera creare la regola e quindi scegliere Crea nuova regola.

  5. Nella pagina Prima di iniziare fare clic su Avanti.

  6. Fare clic su Consenti o su Nega per consentire o negare i file inclusi nella regola.

  7. Fare clic su Seleziona. Nella finestra di dialogo Seleziona gruppo o utente digitare il nome dell'utente o del gruppo e quindi fare clic su OK.

  8. Fare clic su Avanti.

  9. Fare clic sulla condizione appropriata per questa regola. È possibile scegliere tra Autore, Percorso o Hash file e quindi fare clic su Avanti.

  10. A seconda della condizione selezionata per la regola, vengono richiesti criteri diversi:

    • Condizione regola di autore. Fare clic su Sfoglia per selezionare il file per il quale si desidera estrarre le informazioni sull'autore. Per modificare tali informazioni, selezionare la casella di controllo Usa valori personalizzati e quindi modificare i valori. Fare clic su Avanti.

    • Condizione regola di percorso. Passare al file o alla cartella facendo clic su Sfoglia cartelle o su Sfoglia file. Se si desidera, è possibile digitare il percorso nella casella Percorso. Fare clic su Avanti.

    • Condizione regola di hash file. Passare al file o alla cartella facendo clic su Sfoglia cartelle o su Sfoglia file. Fare clic su Avanti.

  11. (Facoltativo) Nella pagina Eccezioni specificare l'autore o il percorso da escludere dalla regola e quindi fare clic su Avanti.

    Nota

    Non è possibile creare eccezioni per le regole di hash file.

  12. Nella casella Nome digitare un nome utilizzabile per identificare la regola.

  13. Nella casella Descrizione digitare una descrizione per spiegare lo scopo della regola.

  14. Fare clic su Crea.

Ulteriori riferimenti

  • Configurare le regole di AppLocker


Modificare una regola di AppLocker

È possibile utilizzare AppLocker per modificare le regole create.

Modificare una regola di autore

Nella procedura seguente viene descritto come modificare una regola di autore.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per modificare una regola di autore

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Fare clic sulla raccolta di regole appropriata.

  5. Nel riquadro Azione fare clic con il pulsante destro del mouse sulla regola di autore e quindi scegliere Proprietà.

  6. Fare clic sulla scheda appropriata per modificare le proprietà della regola.

    • Fare clic sulla scheda Generale per modificare il nome della regola, aggiungere una descrizione della regola, configurare la regola in modo che consenta o neghi l'esecuzione delle applicazioni e impostare il gruppo di sicurezza per il quale applicare la regola.

    • Fare clic sulla scheda Autore per configurare il nome comune del certificato, il nome di prodotto, il nome file o la versione del file dell'autore.

    • Fare clic sulla scheda Eccezioni per creare o modificare le eccezioni.

    • Al termine dell'aggiornamento della regola, fare clic su OK.

Modificare una regola di hash file

Nella procedura seguente viene descritto come modificare una regola di hash.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per modificare una regola di hash

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Scegliere la raccolta di regole appropriata.

  5. Nel riquadro Azione fare clic con il pulsante destro del mouse sulla regola di hash e quindi scegliere Proprietà.

  6. Fare clic sulla scheda appropriata per modificare le proprietà della regola.

    • Fare clic sulla scheda Generale per modificare il nome della regola, aggiungere una descrizione della regola, configurare la regola in modo che consenta o neghi l'esecuzione delle applicazioni e impostare il gruppo di sicurezza per il quale applicare la regola.

    • Fare clic sulla scheda Hash file per configurare i file da utilizzare per imporre la regola. È possibile utilizzare il pulsante Sfoglia file per aggiungere un file specifico o il pulsante Sfoglia cartelle per aggiungere tutti i file di una cartella specificata.

    • Al termine dell'aggiornamento della regola, fare clic su OK.

Modificare una regola di percorso

Nella procedura seguente viene descritto come modificare una regola di percorso.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per modificare una regola di percorso

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Scegliere la raccolta di regole appropriata.

  5. Nel riquadro Azione fare clic con il pulsante destro del mouse sulla regola di percorso e quindi scegliere Proprietà.

  6. Fare clic sulla scheda appropriata per modificare le proprietà della regola.

    • Fare clic sulla scheda Generale per modificare il nome della regola, aggiungere una descrizione della regola, configurare la regola in modo che consenta o neghi l'esecuzione delle applicazioni e impostare il gruppo di sicurezza per il quale applicare la regola.

    • Fare clic sulla scheda Percorso per configurare il percorso nel computer in cui imporre la regola.

    • Fare clic sulla scheda Eccezioni per creare eccezioni per file specifici di una cartella.

    • Al termine dell'aggiornamento della regola, fare clic su OK.

Ulteriori riferimenti

  • Informazioni sulle regole di AppLocker

  • Configurare le regole di AppLocker


Eliminare una regola di AppLocker

È consigliabile verificare periodicamente le regole AppLocker attive allo scopo di eliminare quelle che non sono più necessarie.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per eliminare una regola

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni e quindi su AppLocker.

  4. Fare clic sulla raccolta di regole appropriata per la quale si desidera eliminare la regola.

  5. Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sulla regola da eliminare, scegliere Elimina e quindi fare clic su Sì.

Ulteriori riferimenti

  • Configurare le regole di AppLocker


Configurare l'imposizione delle regole di AppLocker

Le procedure descritte in questa sezione consentono di configurare l'imposizione delle regole di AppLocker nell'organizzazione.

Gli argomenti contenuti nella sezione includono:

  • Informazioni sull'imposizione delle regole di AppLocker

  • Imporre le regole di AppLocker

  • Controllare le regole di AppLocker


Informazioni sull'imposizione delle regole di AppLocker

Nella tabella seguente sono descritte le tre modalità di imposizione di AppLocker.

Modalità di imposizione | Descrizione
Non configurata | Questa è l'impostazione predefinita. Se oggetti Criteri di gruppo collegati contengono un'impostazione diversa, viene utilizzata tale impostazione. Se l'imposizione non è configurata ma nella raccolta di regole corrispondente sono presenti regole, vengono imposte tali regole.
Imponi regole | Le regole vengono imposte.
Controlla soltanto | Le regole vengono controllate ma non imposte. La modalità di imposizione di solo controllo consente di stabilire quali applicazioni sono interessate dal criterio prima di imporlo. Quando il criterio AppLocker di una raccolta di regole è impostato su Controlla soltanto, le regole relative a tale raccolta non vengono imposte. Se un utente esegue un'applicazione su cui ha effetto una regola di AppLocker, al registro eventi di AppLocker vengono aggiunte informazioni su tale applicazione.

Quando si uniscono i criteri di AppLocker di vari oggetti Criteri di gruppo, vengono unite sia le regole che le modalità di imposizione. Per la modalità di imposizione viene utilizzata l'impostazione di Criteri di gruppo più simile. Vengono inoltre applicate tutte le regole degli oggetti Criteri di gruppo.

Per informazioni sugli oggetti Criteri di gruppo e sull'eredità dei Criteri d gruppo, vedere la guida alla pianificazione e alla distribuzione dei criteri di gruppo (http://go.microsoft.com/fwlink/?LinkId=143138).

Ulteriori riferimenti

  • Configurare l'imposizione delle regole di AppLocker


Imporre le regole di AppLocker

Dopo aver creato regole di AppLocker, è possibile imporle.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per imporre le regole

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni, fare clic con il pulsante destro del mouse su AppLocker e quindi scegliere Proprietà.

  4. Nella scheda Imposizione selezionare la casella di controllo Configurato per la raccolta di regole da imporre e quindi verificare che Imponi regole sia selezionato nell'elenco relativo a tale raccolta.

  5. Ripetere il passaggio 4 per configurare l'imposizione per altre raccolte di regole.

  6. Fare clic su OK.

Poiché la raccolta di regole DLL non è abilitata per impostazione predefinita, è necessario eseguire la procedura seguente per poter creare e imporre regole DLL.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per abilitare la raccolta di regole DLL

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni, fare clic con il pulsante destro del mouse su AppLocker e quindi scegliere Proprietà.

  4. Nella scheda Avanzate selezionare la casella di controllo Abilita raccolta regole DLL e quindi fare clic su OK.

    Importante

    Prima di imporre regole DLL, verificare l'esistenza di regole di assenso per ogni DLL utilizzata in una delle applicazioni consentite.

Ulteriori riferimenti

  • Configurare l'imposizione delle regole di AppLocker


Controllare le regole di AppLocker

È possibile configurare tutte le regole contenute in una raccolta regole specificata solo per l'attività di controllo ma non imporle. Questa operazione può risultare utile se si desidera testare le nuove regole prima di distribuirle.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per configurare la modalità di solo controllo

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, confermare che l'azione visualizzata è quella desiderata e quindi fare clic su Sì.

  3. Nell'albero della console fare doppio clic su Criteri di controllo delle applicazioni, fare clic con il pulsante destro del mouse su AppLocker e quindi scegliere Proprietà.

  4. Nella scheda Imposizione selezionare la casella di controllo Configurato per la raccolta di regole appropriata e quindi selezionare Controlla soltanto nell'elenco relativo a tale raccolta.

  5. Ripetere il passaggio 4 per configurare altre raccolte di regole.

  6. Fare clic su OK.

Ulteriori riferimenti

  • Configurare l'imposizione delle regole di AppLocker


Configurare le eccezioni alle regole di AppLocker

Le eccezioni alle regole consentono di specificare file o cartelle da escludere dalla regola.

L'appartenenza al gruppo locale Administrators o equivalente, è il minimo indispensabile per completare questa procedura.

Per configurare le eccezioni per una regola

  1. Fare clic sul pulsante Start, digitare secpol.msc nella casella Cerca programmi e file e quindi premere INVIO. È inoltre possibile:

    1. Fare clic sul pulsante Start e quindi scegliere Pannello di controllo.

    2. Fare clic su Sistema e sicurezza e quindi su Strumenti di amministrazione.

    3. Fare doppio clic su Criteri di sicurezza locali.

  2. Espandere Criteri di controllo delle applicazioni e quindi AppLocker.

  3. Espandere la raccolta di regole, fare clic con il pulsante destro del mouse sulla regola per la quale configurare eccezioni e quindi scegliere Proprietà.

  4. Fare clic sulla scheda Eccezioni.

  5. Nella casella Aggiungi eccezione selezionare il tipo di regola da creare e quindi fare clic su Aggiungi.

    • Nel caso di un'eccezione per un autore, fare clic su Sfoglia, selezionare il file contenente l'autore da escludere e quindi fare clic su OK.

    • Nel caso di un'eccezione per un percorso, scegliere il percorso del file o della cartella da escludere e quindi fare clic su OK.

    • Nel caso di un'eccezione per un hash file, scegliere il percorso del file o della cartella da escludere e quindi fare clic su OK.

Ulteriori riferimenti

  • Windows AppLocker


Proprietà delle regole di AppLocker

In AppLocker è possibile modificare una regola o visualizzarne le proprietà in due modi diversi:

  • Nel riquadro dei dettagli selezionare la regola e quindi nel riquadro Azione fare clic su Proprietà.

  • Nel riquadro dei dettagli fare clic con il pulsante destro del mouse sulla regola e quindi scegliere Proprietà.

Visualizzare e modificare le regole

Nella finestra di dialogo Proprietà viene visualizzato un insieme di schede diverso a seconda della condizione primaria della regola. Una regola con una condizione primaria di autore include ad esempio le schede Generale, Autore ed Eccezioni. La scheda Eccezioni non viene visualizzata per le regole con una condizione primaria impostata su hash file.

Scheda Generale

Nella scheda Generale è possibile modificare il nome e la descrizione della regola, modificare l'azione della regola (Consenti o Nega) e cambiare l'utente o il gruppo al quale applicare la regola.

Scheda Autore

La scheda Autore è disponibile solo per le regole con condizioni di autore. Nella scheda Autore è possibile modificare il nome dell'autore, il nome del prodotto, il nome e la versione del file al quale applicare la regola.

Scheda Percorso

La scheda Percorso è disponibile solo per le regole che presentano condizioni di percorso. Nella scheda Percorso è possibile modificare la cartella o il percorso del file al quale applicare la regola.

Scheda Hash file

Questa scheda consente di creare una regola da applicare a un file specifico. La scheda Hash file è disponibile solo per le regole che presentano condizioni di hash file. Nella scheda Hash file è possibile aggiungere e rimuovere file inclusi nella regola.

Scheda Eccezioni

Nella scheda Eccezioni è possibile aggiungere o modificare file o cartelle escluse dalla regola. La scheda Eccezioni non è disponibile per le regole di hash file.

Ulteriori riferimenti

  • Windows AppLocker


Versioni di Windows che supportano AppLocker

AppLocker è disponibile in tutte le edizioni di Windows Server 2008 R2 e in Windows 7 Ultimate e Windows 7 Enterprise. È possibile utilizzare Windows 7 Professional per creare regole di AppLocker. Le regole di AppLocker, tuttavia, non possono essere imposte nei computer che eseguono Windows 7 Professional. Nelle organizzazioni è consigliabile utilizzare AppLocker in tutti i computer che lo supportano.

Attenzione

Se si esegue l'aggiornamento di un computer che utilizza Criteri restrizione software a Windows 7 o Windows Server 2008 R2 e quindi si implementano le regole di AppLocker, verranno imposte solo tali regole. Per questo motivo, è consigliabile creare un nuovo oggetto Criteri di gruppo (GPO) per AppLocker negli ambienti in cui vengono utilizzati sia Criteri restrizione software che AppLocker.

Ulteriori riferimenti

  • Windows AppLocker