Bảo mật ứng dụng bằng AppLocker

Chặn một ứng dụng riêng lẻ

Phần này sẽ hướng dẫn thực hiện cấu hình chính sách bảo mật cho một hệ thống cục bộ và áp dụng những cấu hình đó cho một máy tính trong hệ thống mạng. Bạn cũng có thể thực hiện cấu hình cho chính sách bảo mật trong Group Policy Management của Windows Server 2008 R2, nhưng nếu đã hiểu về AppLocker thì các bạn nên sử dụng công cụ này khi thao tác với chính sách bảo mật. AppLocker rất mạnh và linh hoạt, chính vì vậy mà bạn cũng nên cẩn thận khi làm việc với nó vì chỉ cần một sai xót nhỏ cũng có thể làm tổn hại tới máy tính.

Giả sử chúng ta sử dụng AppLocker để chặn sự vận hành của ứng dụng MSTSC với file thực thi mstsc.exe.

Bạn có thể khởi chạy AppLocker bằng cách nhập gpedit.msc vào menu Start của Windows 7, hay tạo một đối tượng Group Policy mới trong Windows Server 2008 R2. Sau khi khởi chạy công cụ này, hãy duyệt tìm AppLocker trong đường dẫn sau: Computer Configuration | Windows Settings | Security Settings | Application Control Policies | AppLocker.

 

Sau đó bạn sẽ thấy ngay ba tùy chọn trong bảng bên trái khi mở rộng AppLocker. Ba tùy chọn này là các tập quy định Rule Collection và là những nhóm được sử dụng để chia tách những phần mở rộng của file. Bạn cũng có thể quản lý những phần mở rộng này khi sử dụng AppLocker.

 

Rule Collection	Loại file
File thực thi	.exe, .com
Tập lệnh	.ps1, .bat, .cmd, .vbs, .js
File của Windows Installer	.msi, .msp

 

Mục đích là chặn một file thực thi vì vậy chúng ta sẽ phải tạo một

Rule

mới trong

Rule Collection

của những file thực thi. Để tạo một Rule mới bạn hãy phải chuột lên

Executable Rules

rồi chọn

Create New Rule

.

 

Sau đó

Create Executable Rules Wizard

sẽ hiện ra, hãy click

Next

để bỏ qua màn hình hướng dẫn. Vì muốn từ chối truy cập vào file thực thi

mstsc.exe

nên bạn hãy lựa chọn tùy chọn

Deny

. Cũng tại cửa sổ này bạn có thể lựa chọn người dùng hay nhóm người dùng mà chính sách này sẽ áp dụng. Nếu muốn đảm bảo quản trị hệ thống và những người dùng được phân quyền cao vẫn có thể chạy ứng dụng này khi đăng nhập vào hệ thống, bạn hãy lựa chọn nhóm người dùng để áp dụng chính sách này.

 

Trong cửa sổ tiếp theo bạn sẽ nhận được thông báo lựa chọn điều kiện chính cho Rule. Bạn sẽ phải lựa chọn một trong ba tùy chọn được sử dụng trong

Rule Collection

, gồm:

 

• Publisher: Tùy chọn này rất linh hoạt trong việc lựa chọn điều kiện nhưng nó chỉ có thể được sử dụng với những phần mềm ứng dụng đã được sign bởi nhà cung cấp.

• Path: Điều kiện này sẽ tạo một Rule cho một đường dẫn file hay folder cụ thể.

• File Hash: Tùy chọn này phù hợp nhất trong trường hợp một ứng dụng nào đó không được sign. Và loại Rule này được tạo lập khi ứng dụng này bị hỏng.

Ứng dụng

MSTSC

là một ứng dụng đã được sign, do đó chúng ta sẽ chọn điều kiện chính là

Publisher

rồi click

Next

. Sau đó nhấn nút

Browse

duyệt tìm tới file muốn chặn. Bạn hãy tìm file

mstsc.exe

trong đường dẫn

C:WindowsSystem32mstsc.exe

. Sau khi đã lựa chọn file này bạn sẽ thấy một thanh trượt dọc xuất hiện. Với ứng dụng đã sign chúng ta sẽ có một vài cấp độ lựa chọn cho

Rule

. Bạn có thể sử dụng

Publisher

để chặn mọi ứng dụng.

 

 

Những tùy chọn này rất mạnh và linh hoạt, bạn cũng có thể sử dụng chúng để ngăn người dùng chạy một ứng dụng nào đó, chặn những tên file có liên quan tới virus và thậm chí có thể buộc người sử dụng các ứng dụng mới nhất bằng cách chặn những ứng dụng cũ. Trong phần này mục đích là chặn file mstsc.exe nên chúng ta sẽ không chú ý tới phiên bản của nó, do đó thanh trượt cần phải di chuyển lên tùy chọn

File name

.

 

Cửa sổ tiếp theo sẽ cho phép bạn tạo những trường hợp ngoại lệ nếu cần thiết, và cửa sổ cuối cùng cho phép bạn đặt tên cho Rule mới. Sau đó nhấn

Create

để kết thúc quá trình tạo mới Rule. Nếu đây là Rule đầu tiên được tạo, bạn sẽ nhận được nhắc nhở tạo Rule mặc định cho phép người dùng và quản trị viên truy cập vào file hệ thống. Điều này rất cần thiết (đặc biệt nếu đang sử dụng phiên bản trước Windows 7) vì nếu không thiết lập đúng cho những Rule này có thể hệ thống của bạn sẽ không khởi động được. Sau khi click

Yes

trên thông báo những Rule này sẽ tự động được tạo.

 

 

Đây là khâu cuối cùng đảm bảo cho những Rule của bạn phát huy được tác dụng của chúng. Trước tiên bạn phải chạy và cài đặt chế độ khởi chạy tự động cho dịch vụ

Application Identity

để AppLocker có thể xác định được chính xác ứng dụng.

 

Để chạy và cài đặt khởi chạy tự động cho dịch vụ này bằng cách nhập

services.msc

vào hộp tìm kiếm trong menu

Start

, sau đó tìm đến dịch vụ

Application Identity

, click đúp vào nó, chọn

Start | Automatic

trong trường

Startup Type

. Sau khi khởi động lại hệ thống

AppLocker

sẽ áp dụng các Rule này, và mỗi khi người dùng cố gắng khởi chạy ứng dụng

MSTSC

họ sẽ nhận được thông báo sau:

 

 

Chặn ứng dụng không tin cậy

 

Trong phần trên, khi thực hiện chặn ứng dụng chúng ta đã biết chính xác ứng dụng đó. Tình huống trên rất phù hợp với những môi trường nơi người dùng chỉ được cho phép chút ít quyền truy cập tự do trên hệ thống, nhưng với những tổ chức lớn hơn thì chính sách IT sẽ chỉ định rõ những đối tượng không được khởi chạy mọi ứng dụng mà không được quản trị hệ thống cho phép. Phương pháp hiệu quả nhất trong trường hợp này là chặn mọi ứng dụng không đảm bảo độ tin cậy cần thiết. Và AppLocker có thể thực hiện chức năng này khá dễ dàng.

 

AppLocker được thiết kế hướng bảo mật do đó nó có thể giúp bạn tạo một Allow Rule

 

chặn mọi ứng dụng khác ngoại trừ ứng dụng được cho phép. Ví dụ, nếu khởi tạo một Allow Rule chỉ cho phép ứng dụng chạy ứng dụng trong

C:folderfile.exe

, khi đó Rule này sẽ được sử dụng để chặn mọi ứng dụng nằm trong

C:folder

ngoại trừ

file.exe

. Điều này có nghĩa là trong phần này chúng ta sẽ khởi tạo một Allow Rule cho mọi ứng dụng được cho phép.

 

Trước khi tạo Allow Rule, bạn sẽ phải tạo một Rule cho mọi file thực thi riêng lẻ, bao gồm cả các ứng dụng nhóm ba đã được cài đặt vào hệ thống hay các ứng dụng Windows được cài đặt mặc định. AppLocker có thể thực hiện tạo Rule tự động dựa trên những ứng dụng được cài đặt cho một máy trạm cụ thể.

 

Nếu chưa tạo Rule mặc định cho phép mọi ứng dụng cần thiết của hệ thống khởi chạy thì trước tiên bạn phải tạo những Rule này. Phải chuột vào

Executable Rules Collection

chọn

Create Default Rules

. Khi những Rule này đã được tạo, bạn hãy xóa các Rule cho phép mọi người dùng chạy mọi file trong thư mục

C:Program Files

.

 

 

Tiếp theo tạo Allow Rule cho hệ thống. Bạn chỉ cần phải chuột lên

Executable Rules Collection

chọn

Automatically Generate Executable Rules

. Những ứng dụng trên hệ thống được lưu trữ trong hai vùng chính. Vùng thứ nhất là thư mục Windows, trong vùng này những Rule mặc định sẽ cho phép người dùng chạy mọi file trong thư mục này do đó bạn không cần tạo bất kì Allow Rule cho nó. Vùng chứa còn lại là thư mục Program Files. Hãy lựa chọn thư mục này trong trường đầu tiên của cửa sổ vừa xuất hiện. Trong trường phía dưới lựa chọn nhóm người dùng mà Rule này sẽ áp dụng. Sau cùng bạn cần đặt tên cho nhóm Rule này (tên của Rule sẽ xuất hiện trong ngoặc đơn phía trước mô tả của mỗi Rule). Sau đó nhấn nút

Next

.

 

 

Tại

Rule Preferences

, bạn có thể lựa chọn loại Rule muốn khởi tạo. Tốt nhất bạn nên chọn

Pulisher

cho mọi file được kí hiệu số và tạo

File Hash Rule

đối với những loại file còn lại. Bạn cũng có thể lựa chọn tùy chọn giảm số lượng Rule được tạo bằng cách nhóm những file giống nhau. Tùy chọn này sẽ giảm đáng kể lượng Rule nhưng nếu muốn kiểm soát truy cập nhiều hơn hãy hủy chọn tùy chọn này. Click

Next

bắt đầu tiến trình

Rule Application Discovery

. Sau khi tiến trình này kết thúc bạn sẽ thấy một hộp thoại hiển thị những Rule đang được tạo. Nhấn nút

Create

để hoàn thành tạo những Rules này.

 

DLL Rule Collection

 

Ngoài ba DLL Rule Collection trên, còn có một DLL Rule Collection khác cần được nhắc tới. Tập DLL Rule được sử dụng để chặn chặn những ứng dụng gọi những file DLL cụ thể. Đây là một tập Rule cao cấp và bạn không nên sử dụng nếu chưa hiểu rõ về nó. Loại Rule này có thể tác động tới khả năng thực thi của hệ thống vì nó yêu cầu AppLocker kiểm tra mọi DLL mà một ứng dụng sử dụng khi khởi chạy.

 

Tập DLL Rule sẽ không được kích hoạt mặc định vì một số lí do đã được nhắc đến ở trên. Nếu muốn tạo một Rule DLL bạn hãy mở cửa sổ cấu hình chính của AppLocker, chọn C

onfigure Rule Enforcement

, chọn tiếp tab

Advanced

và click chọn hộp chọn

Enable the DLL Rule collection

. Sau đó bạn sẽ thấy tập DLL Rule trong bảng bên trái cùng với ba tập Rule khác.

 

Kiểm định và áp dụng Rule

 

Mọi Rule bạn đã tạo được thiết kế để thực hiện những chính sách cho phép hay từ chối sử dụng ứng dụng. Một số công cụ có thể hỗ trợ cho quá trình kiểm định trước khi áp dụng một chính sách. AppLocker cung cấp một cài đặt kiểm định rất hữu dụng trong trường hợp này. Khi người dùng chạy một ứng dụng vi phạm một Rule của AppLocker thì thông tin về ưng dụng này sẽ được lưu vào

AppLocker Event Log

.

 

Để sử dụng cài đặt này, bạn hãy click vào

Configure Rule Enforcement

trên cửa sổ cấu hình chính của AppLocker. Trong hộp thoại AppLocker bạn có thể lụa chọn hộp chọn

Configured

cho tập Rule muốn kiểm định và lựa chọn tùy chọn

Audit Only

trong danh sách thả xuống. Tính năng này rất hữu dụng trong việc xác định loại chình sách mà một ứng dụng sử dụng.

 

Kết luận

 

Không quá khó để thấy được những tính năng của AppLocker khi sử dụng nó trong mạng. Nhờ có hệ thống Rule động, giờ đây bạn có thể chặn những ứng dụng mong muốn giúp bảo mật cho hệ thống. Cùng với đó, AppLocker trong Windows 7 và Windows Server 2008 R2 sẽ là một công cụ quan trọng trong bộ công cụ quản trị.

(Theo WindowSecurity - QTM)