Ominaisuudet tutuksi: AppLocker

Windows 7:n Ultimate- ja yrityskäyttöön saatavassa Enterprise -versioissa on Paikallisiin suojauskäytäntöihin saatu uusi ominaisuus, AppLocker. Sen avulla voidaan rajoittaa erilaisin säännöin ohjelmien ja scriptien suorittamista. Tästä on etua luonnollisesti työpaikoilla, jossa voidaan tehokkaasti estää tuntemattomien sovellusten ajaminen. Mutta myös kotikäytössä voidaan koneelle antaa lisäsuojaa määrittelemällä tarkoin mistä ohjelmia voi suorittaa. Yhdessä normaalin käyttäjätilin kanssa, AppLocker estää tehokkaasti epämääräisten ohjelmien ajon.

Ohjelmien ajo voidaan siis estää esim. hyväksymällä vain määritetyt ohjelmat (valkoinen lista) tai sitten vain kertoa mitkä ohjelmat eivät saa lupaa käynnistyä (musta lista). Valkoisen listan malli antaa parhaimman suojan, joten sitä kannattanee käyttää.
Koska AppLocker on tarkoitettu edistyneemmille käyttäjille, en kerro normaaliin kädestä-pitäen -tyyliin mitä tulee tehdä. Jos et osaa, jätä tekemättä!

Jotta AppLocker saadaan toimintaan, tulee Sovelluksen käyttäjätiedot (Application Identity, AppIDSvc) -palvelu käynnistää, ja muuttaa tarvittaessa käynnistystavaksi Automaattinen. Tämän jälkeen voit luoda omia sääntöjä käynnistämällä Paikallinen suojauskäytäntö (secpol.msc) ja valitsemalla Sovellushallintakäytännöt/AppLocker ja sääntökokoelma jolle sääntöjä halutaan luoda/muokata.

On hyvä aluksi asettaa, että sääntöjä vain valvotaan, jotta voidaan turvallisesti seurata, mihin asetetut säännöt vaikuttavat. Tämä tapahtuu valitsemalla AppLocker/Määritä säännön valvominen -linkki, sekä valitsemalla Määritetty halutun sääntökokelman kohdalta, ja lopuksi pudotusvalikosta Vain valvonta. Näin mitään ei vielä rajoiteta, mutta tapahtumat tallentuvat Tapahtumienvalvontaan.

Tapahtumienvalvonnasta selviää, että joitain ohjelmia olisi estetty, jos AppLocker -käytäntö olisi käytössä. Näitä voi tarvittaessa sitten hyväksyä säännöillä. Kun järjestelmää on käytetty riittävän kauan (päiviä, viikkoja), ja on asetettu halutut säännöt, voi AppLockerin tilan muuttaa Noudata sääntöjä tilaan, jonka jälkeen sääntökokoelman ulkuopuoliset ohjelmat yms. jäävät suorittamatta.

Pieneksi vinkiksi. Jos halutaan sallia kaikki tietyssä kansiossa, niin pelkkä polku kansioon ei riitä, vaan on lisättävä jokerimerkki, esim. asteriski (*).

Lisää tietoa
Introducing AppLocker
Understanding Windows 7 AppLocker
Technical Overview: AppLocker Step-by-Step Guide
Video: Using AppLocker in Win7