Restringir o acesso a aplicativos

Question

Eu gostaria de impedir que um usuário específico pudesse executar aplicativos (.exe, .msi, .vbs) em cada unidade do PC (incluindo unidades removíveis), com exceção das pastas C: \ ProgramFiles \ e C: \ Windows. Isso é por causa de vírus; especialmente se alguém baixar um .exe e acidentalmente o executar.

Eu tenho o Windows 7 Professional. Eu encontrei um segmento muito semelhante ( Applocker ), mas Applocker não funcionou para mim. Eu copiei putty.exe em C: \ Temp \ e fiz os passos para o usuário Foo (também iniciado AppIDSvc), descrito no link, o PC reiniciado, mas não teve nenhum efeito; Foo foi capaz de executar putty.exe.

Você poderia me ajudar a resolvê-lo?
Há talvez outras alternativas? Não deve ser o Applocker ...

    

Answer 1

Você pode bloquear a execução de programas de determinadas pastas negando a permissão NTFS Traverse folder/execute file . Eu fiz isso em pastas específicas, como a pasta Downloads com bom sucesso. Eu seria cauteloso em aplicar essa permissão de negação a uma árvore de diretórios inteira.

Se você decidir fazer isso, faça da seguinte maneira: você pode facilmente desativar a restrição ou restringir usuários diferentes à vontade:

1. Crie um grupo local chamado Desativar NTFS execute users
2. Negar as permissões para esse grupo
3. Transforme seu (s) usuário (s) em um membro desse grupo

Para levantar a restrição, basta remover o usuário do grupo.

Lembre-se de que um usuário não administrador pode editar as permissões do NTFS em qualquer pasta da qual ele seja o proprietário. Além disso, os administradores podem sempre editar permissões e derrotar essa estratégia.

Observe que essa abordagem funciona apenas para executáveis reais. Por exemplo, arquivos de script .vbs não são programas em si e não são bloqueados por isso. Eles são lidos e executados pelos executáveis wscript.exe ou cscript.exe que vivem na estrutura de diretórios do Windows. O mesmo vale para outros tipos de scripts, incluindo o PowerShell.