Como posso impedir que um aplicativo específico seja executado em uma máquina específica usando a Política de Grupo?

Question

Eu sei que isso é possível e estou trabalhando nisso com sucesso limitado. Eu acredito que a política de grupo que eu quero é "Não executar aplicativos do Windows especificado" - Eu posso habilitar isso e adicionar o. Exe eu quero a lista de programas a não ser executado.

Eu tentei isso na minha máquina local executando gpedit.msc indo para Configuração do usuário > Modelos de administração > Sistema e, em seguida, escolher essa política e edição e ativá-lo. Fazendo isso desta forma verifica que funciona como eu poderia, então, não executar o .exe especificado (XenAppWeb.exe) Então isso é ótimo.

Eu criei um GPO para fazer a mesma coisa no GP Management no meu controlador de domínio, onde o centralizamos, aplicamos, aplicamos a uma unidade organizacional e colocamos uma de nossas máquinas nesta unidade organizacional para testá-la. Deixei ficar lá por 3 dias, execute gpupdate / force e, quando tento executar o XenAppWeb.exe nesta máquina, ele ainda me permite executá-lo bem.

O que posso analisar para solucionar isso?

Devo observar que estou tentando aprovar essa política em máquinas com Windows XP (máquinas virtuais)

Obrigado Mike

    

Answer 1

Uma alternativa seria usar Políticas de Restrição de Software (Configuração do Computador - > Configurações do Windows - > Configurações de Segurança) em vez da política de usuário "Não Executar Aplicativos Especificados do Windows". Isso também lhe dará mais flexibilidade sobre como você seleciona o aplicativo a ser bloqueado.

Tenha em mente que qualquer abordagem de lista negra pode ser trabalhada. Se você quiser garantir que a restrição não possa ser ignorada, será necessário usar Políticas de Restrição de Software no modo de lista de desbloqueio, ou seja, especificar os aplicativos que podem ser executados em vez daqueles que não são.

    

Answer 2

Se você estiver definindo a política de restrição na seção User Configuration do GPO, isso não terá efeito, a menos que os objetos da conta de usuário estejam na UO à qual você aplicou a política (ou se você ativar o processamento de loopback) ).

Altere as configurações para a seção Computer Configuration da política, supondo que você queira que a política seja aplicada, independentemente de quem faz logon nesses sistemas.