Выполнять только указанные приложения windows как отключить

Администраторы просто обожают редактор локальных групповых политик, используя его для ограничения доступа к различным функциям и приложениям. Например, ваш администратор может отключить возможность запуска всех имеющихся на корпоративном компьютере приложений, кроме тех, которые находятся в белом списке. Если вы попробуете открыть, скажем, командную строку или Regedit, чтобы там чего-то нашаманить, то получите уведомление.

«Операция отменена из-за ограничений, действующих на этом компьютере»

К счастью, многие админы не особо заморачиваются с тем, чтобы сделать эти ограничения по-настоящему эффективными, поэтому их сравнительно легко обойти.

Для этого мы будем использовать лазейки в самой политике «Выполнять только указанные приложения Windows».

Во-первых, обратите внимание, что оная политика запрещает запуск приложений только из процесса Проводника, но не из командной строки.

Во-вторых, речь идет именно об именах программ белого списка, а не о самих исполняемых файлах.

Переименуйте файл программы

Соответственно, если переименовать исполняемый файл программы, не находящейся в списке разрешенного ПО, то ее можно будет запускать.

Правда, здесь есть одно «но».

Для переименования исполняемых файлов приложений в папке Program Files вам понадобятся права администратора, которых у вас может и не быть. Поэтому вам придется скопировать каталог программы из папки Program Files на рабочий стол, а затем переименовать исполняемый файл, присвоив ему название любого приложения из белого списка.

Многие портированные таким образом программы остаются в рабочем состоянии, если не считать потери части настроек, хранящихся в реестре. Со штатными приложениями всё немного сложнее, так как вам придется копировать еще и связанные с их исполняемыми файлами динамические библиотеки.

Исключение составляет командная строка, скопируйте ее файл cmd.exe из каталога System32 на рабочий стол или в отдельную папку, переименуйте и запустите.

Готово, теперь вы можете запускать через консоль другие штатные приложения, например, именно таким образом мы открыли заблокированный графический редактор Microsoft Paint.

Отредактируйте белый список программ из-под LiveCD

Второй способ обхода ограничений на запуск программ более продвинутый, требующий наличия загрузочного диска WinPE 10-8 Sergei Strelec.

С его помощью мы получаем доступ к реестру и редактируем белый список, добавляя в него программу, доступ к которой хотим открыть.

Сделать это с помощью редактора реестра в работающей системе, скорее всего, не получится, так как у вас не будет необходимых прав.

Загрузите компьютер с LiveCD Стрельца, запустите с рабочего стола утилиту Registry Editor PE и разверните в ней ключ:

HKLM_С_user_adminSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorerRestrictRun

Заменив «admin» именем локальной учетной записи, из-под которой устанавливались ограничения.

Создайте в правой колонке редактора новый строковый параметр,

с именем добавляемого в белый список приложения и установите в качестве его значения имя исполняемого файла программы.

Всё готово, вы отредактировали локальные групповые политики в обход манипуляций вашего администратора, тем самым разрешив самому себе запускать заблокированную им программу.

Настройка групповых политик ограниченного использования программ в Windows 7

Прочитав статью Windows-компьютер без антивирусов, я загорелся такой идеей обеспечения безопасности и решил попробовать сделать у себя так же.

Поскольку у меня стоит Windows 7 Professional, первой идеей оказалось использование AppLocker’a, однако быстро выяснилось, что работать в моей редакции винды он не хочет, и требует Ultimate или Enterprise. В силу лицензионности моей винды и пустоты моего кошелька, вариант с AppLocker’ом отпал.

В случае, если правил нет, система предложит сгенерировать автоматические правила, разрешающие запуск программ из папки Windows и Program Files. Так же добавим запрещающее правило для пути * (любой путь). В результате мы хотим получить возможность запуска программ только из защищенных системных папок. И что же?
Да, это мы и получим, но вот только маленькая незадача — не работают ярлыки и http ссылки. На ссылки еще можно забить, а без ярлыков жить плоховато.
Если разрешить запуск файлов по маске *.lnk — мы получим возможность создать ярлык для любого исполняемого файла, и по ярлыку запустить его, даже если он лежит не в системной папке. Паршиво.
Запрос в гугл приводит к таким решениям: или разрешить запуск ярлыков из пользовательской папки, либо пользовать сторонние бары с ярлычками. Иначе никак. Лично мне такой вариант не нравится.

В итоге мы сталкиваемся с ситуацией, что *.lnk является с точки зрения винды не ссылкой на исполняемый файл, а исполняемым файлом. Бредово, но что ж поделать… Хотелось бы, чтобы винда проверяла не местонахождение ярлычка, а местонахождение файла, на который он ссылается.

В результате мы получили реализацию идеи, описанной в статье «Windows-компьютер без антивирусов» без каких либо неудобств для пользователя.

Надеюсь описанный метод окажется для кого-то полезным и новым. По крайней мере я о таком ни от кого не слышал и нигде не видел.

Источник

Как ограничить круг приложений, доступных для запуска пользователям Windows 7

Иногда администратору локальной сети или группы компьютеров бывает необходимо ограничить круг приложений, которые пользователи могут запускать на клиентских машинах. Это могут быть киоски, компьютеры в библиотеках, университетах и других общественных местах — примеров масса, как и способов решения поставленной задачи. Один из вариантов — воспользоваться нативным инструментом Windows 7, который доступен во всех версиях, кроме Windows 7 Home. Речь идет о Редакторе групповой политики (Group Policy Editor) — мощном средстве, обладающем широким спектром функций, включая возможность ограничения запуска приложений.

В этой статье я расскажу, как разрешить пользователям запускать лишь строго определенные приложения, воспользовавшись для этого Редактором групповой политики Windows 7.

Первым делом нужно запустить Редактор групповой политики. В меню этой утилиты, конечно, нет. Вместо этого нужно выполнить в строке поиска меню «Пуск» (Start) команду gpedit.msc. Появится обманчиво простое окно, показанное на рис. A.

Теперь нужно найти раздел, в котором содержатся интересующие нас настройки. Это «Конфигурация пользователя | Административные шаблоны | Система» (User Configuration | Administrative Templates | System). Выделите раздел «Система», чтобы увидеть в правой панели список доступных опций (рис. B).

Дважды щелкните на объекте «Выполнять только указанные приложения Windows», чтобы открыть окно настроек (рис. C). В открывшемся окне выберите опцию «Включить» (Enabled), после чего станет активной кнопка «Показать» (Show).

Теперь нажмите кнопку «Показать», чтобы вызвать окно для составления списка разрешенных к запуску приложений (рис. D). В этом окне введите имена исполняемых файлов разрешенных программ (включая расширение) — по одному на строку.

Составив список, нажмите «OK», чтобы закрыть это окно, а потом снова «OK», чтобы закрыть окно настроек политики. На этом ваша задача успешно выполнена.

Теперь, если пользователь попытается запустить приложение, которое не входит в список разрешенных, он увидит предупреждение: «Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору сети» (The operation has been cancelled due to restrictions in effect on this computer. Please contact your system administrator).

Разумеется, это не идеальное решение, и опытные пользователи с легкостью найдут способ обойти установленные ограничения. Но для среднестатистических пользователей таких настроек будет более чем достаточно. Стоит также учитывать, что этим способом нельзя запретить запуск системных процессов, поэтому опытные пользователи смогут самостоятельно запустить Редактор групповой политики и отредактировать список. Однако в целом это поможет избежать запуска нежелательных программ в большинстве случаев.

Автор: Jack Wallen
Перевод SVET

Оцените статью: Голосов

Источник

Запретить пользователям установку или запуск программ в Windows 10/8/7

В этом посте мы увидим, как заблокировать установку программного обеспечения в Windows 10/8/7.

Отключить или ограничить использование установщика Windows через групповую политику

Этот параметр может запретить пользователям устанавливать программное обеспечение в своих системах или разрешить пользователям устанавливать только те программы, которые предлагаются системным администратором. Если вы включите этот параметр, вы можете использовать параметры в окне Отключить установщик Windows, чтобы установить параметр установки.

Параметр «Никогда» означает, что установщик Windows полностью включен. Пользователи могут устанавливать и обновлять программное обеспечение. Это поведение по умолчанию для установщика Windows в Windows 2000 Professional, Windows XP Professional и Windows Vista, когда политика не настроена.

Параметр «Только для неуправляемых приложений» позволяет пользователям устанавливать только те программы, которые назначает системный администратор (предлагает на рабочем столе) или публикует (добавляет их в «Установка и удаление программ»). Это поведение по умолчанию установщика Windows в семействе Windows Server 2003, когда политика не настроена.

Параметр «Всегда» означает, что установщик Windows отключен.

Этот параметр влияет только на установщик Windows. Это не мешает пользователям использовать другие методы для установки и обновления программ.

Всегда устанавливайте с повышенными привилегиями

Этот параметр указывает установщику Windows использовать системные разрешения при установке любой программы в системе.

Этот параметр расширяет привилегии всех программ. Эти привилегии обычно зарезервированы для программ, которые были назначены пользователю (предлагаются на рабочем столе), назначены компьютеру (установлены автоматически) или стали доступны в разделе «Установка и удаление программ» на панели управления. Этот параметр позволяет пользователям устанавливать программы, которым требуется доступ к каталогам, которые пользователь может не иметь разрешения на просмотр или изменение, включая каталоги на компьютерах с ограниченными правами.

Если этот параметр отключен или не настроен, система применяет разрешения текущего пользователя при установке программ, которые системный администратор не распространяет или не предлагает.

Этот параметр отображается в папках «Конфигурация компьютера» и «Конфигурация пользователя». Чтобы этот параметр вступил в силу, необходимо включить параметр в обеих папках.

Опытные пользователи могут использовать разрешения, предоставляемые этим параметром, для изменения своих привилегий и получения постоянного доступа к файлам и папкам с ограниченным доступом. Обратите внимание, что версия этого параметра в конфигурации пользователя не гарантируется как безопасная.

Не запускайте указанные приложения Windows

В редакторе групповой политики перейдите к Конфигурация пользователя> Административные шаблоны> Система

Этот параметр не позволяет Windows запускать программы, указанные в этом параметре. Если вы включите этот параметр, пользователи не смогут запускать программы, добавленные вами в список запрещенных приложений.

Этот параметр запрещает пользователям запускать программы, запускаемые процессом Windows Explorer.Это не мешает пользователям запускать программы, такие как диспетчер задач, которые запускаются системным процессом или другими процессами. Кроме того, если вы разрешаете пользователям получать доступ к командной строке cmd.exe, этот параметр не запрещает им запускать программы в командном окне, которые им не разрешено запускать с помощью проводника Windows. Примечание. Чтобы создать список запрещенных приложений, нажмите «Показать». В диалоговом окне «Показать содержимое» в столбце «Значение» введите имя исполняемого файла приложения (например, msiexec.exe).

Запретить установку программ через редактор реестра

Откройте редактор реестра и перейдите к следующему ключу:

Создайте строковое значение с любым именем, например, 1, и установите его значение в EXE-файле программы.

Возможно, вам придется перезагрузить компьютер.

Также читайте:

Источник

В gpedit.msc разрешил доступ для одной программы и теперь не могу никуда зайти). Что можно сделать?

Вообщем запустил gpedit.msc и дальше «Конфигурация пользователя» «Административные шаблоны» «Система» «Выполнять только указанные приложения Windows» и там для эксперимента разрешил только тотел командер, после этого везде кроме тотел командера появлялась табличка о отмене операции вследствие действующих для компьютера ограничений. Так и оставил и не убирал это ограничение в gpedit.msc, так как думал что потом смогу в него зайти, потому что логично чтобы на него это не распространялось.
Вообщем как теперь это исправить? И интересно что будет после перезагрузки).

Добавлено через 1 час 47 минут
Все исправил. Нашел mms.exe переименовал в TOTALCMD.EXE, потом запустил и открыл с неё gpedit.exe и отключил ограничение.

Помощь в написании контрольных, курсовых и дипломных работ здесь.

Gpedit.msc и system32, в папку не зайти без редактора, редактор не поставить без доступа
Всем доброго дня! Что-то бьюсь, бьюсь, никак не сделать. Может в каком-то месте не догоняю.

Можно ли через реестр изменить параметры из gpedit.msc?
Нужно программно через реестр изменить параметры локальной политики, которые изменяются в.

Gpedit.msc забыл вписать в Ограничение программ, что делать?
gpedit.msc забыл вписать в Ограничение программ, что делать? Теперь не могу.

Как определить, что пользователь разрешил доступ к сети
Всем привет! Есть ли какое-то событие на которое можно подписаться, чтобы узнать, что доступ к.

Источник

Редактор локальной групповой политики Windows для начинающих

В этой статье поговорим о еще одном инструменте администрирования Windows — редакторе локальной групповой политики. С его помощью вы можете настроить и определить значительное количество параметров своего компьютера, установить ограничения пользователей, запретить запускать или устанавливать программы, включить или отключить функции ОС и многое другое.

Отметим, что редактор локальной групповой политики недоступен в Windows 7 Домашняя и Windows8 (8.1) SL, которые предустановлены на многие компьютеры и ноутбуки. Вам потребуется версия начиная с Профессиональной.

Как запустить редактор локальной групповой политики

Первый и один из самых быстрых способов запуска редактора локальной групповой политики — нажать клавиши Win + R на клавиатуре и ввести gpedit.msc — этот способ будет работать в Windows 8.1 и в Windows 7.

Также можно воспользоваться поиском — на начальном экране Windows 8 или в меню пуск, если вы используете предыдущую версию ОС.

Где и что находится в редакторе

Интерфейс редактора локальной групповой политики напоминает другие инструменты администрирования — та же структура папок в левой панели и основная часть программы, в которой можно получить информацию по выбранному разделу.

Слева настройки разделены на две части: Конфигурация компьютера (те параметры, которые задаются для системы в целом, вне зависимости от того, под каким пользователем был совершен вход) и Конфигурация пользователя (настройки, относящиеся к конкретным пользователям ОС).

Каждая из этих частей содержит следующие три раздела:

Примеры использования

Перейдем к использованию редактора локальной групповой политики. Я покажу несколько примеров, которые позволят увидеть, как именно производятся настройки.

Разрешение и запрет запуска программ

Если вы пройдете в раздел Конфигурация пользователя — Административные шаблоны — Система, то там вы обнаружите следующие интересные пункты:

Два последних параметра могут быть полезными даже обычному пользователю, далекому от системного администрирования. Кликните дважды по одному из них.

В появившемся окне установите «Включено» и нажмите по кнопке «Показать» около надписи «Список запрещенных приложений» или «Список разрешенных приложений», в зависимости от того, какой из параметров меняется.

Укажите в строчках имена исполняемых файлов программ, запуск которых нужно разрешить или запретить и примените настройки. Теперь, при запуске программы, которая не разрешена, пользователь будет видеть следующее сообщение об ошибке «Операция отменена из-за ограничений, действующих на этом компьютере».

Изменение параметров контроля учетных записей UAC

В разделе Конфигурация компьютера — Конфигурация Windows — Параметры безопасности — Локальные политики — Параметры безопасности имеется несколько полезных настроек, одну из которых можно и рассмотреть.

Выберите параметр «Контроль учетных записей: поведение запроса на повышение прав для администратора» и дважды кликните по нему. Откроется окно с параметрами этой опции, где по умолчанию стоит «Запрос согласия для исполняемых файлов не из Windows» (Как раз поэтому, всякий раз, при запуске программы, которая хочет изменить что-то на компьютере, у вас запрашивают согласие).

Вы можете вообще убрать подобные запросы, выбрав параметр «Повышение без запроса» (только этого лучше не делать, это опасно) или же, напротив, установить параметр «Запрос учетных данных на безопасном рабочем столе». В этом случае, при запуске программы, которая может внести изменения в системе (а также для установки программ) каждый раз потребуется вводить пароль учетной записи.

Сценарии загрузки, входа в систему и завершения работы

Еще одна вещь, которая может оказать полезной — скрипты загрузки и выключения, которые вы можете заставить выполняться с помощью редактора локальной групповой политики.

Это может пригодиться, например, для запуска раздачи Wi-Fi с ноутбука при включении компьютера (если вы реализовывали ее без сторонних программ, а создав Wi-Fi сеть Ad-Hoc) или выполнения операций резервного копирования при выключении компьютера.

Сценарии загрузки и выключения находятся в Конфигурация компьютера — Конфигурация Windows — Сценарии.

Сценарии входа в систему и выхода — в аналогичном разделе в папке «Конфигурация пользователя».

В случае, если сценарий требует ввода каких-то данных пользователем, то на время его исполнения дальнейшая загрузка Windows будет приостановлена, до завершения работы скрипта.

В заключение

Это лишь несколько простых примеров использования редактора локальной групповой политики, для того, чтобы показать, что такое вообще присутствует на вашем компьютере. Если вдруг захочется разобраться подробнее — в сети есть масса документации на тему.

Источник

Если в вашем распоряжении имеется компьютер, или сервер, доступ к которому имеет большое количество людей, целесообразно запретить запуск программ, которые не одобрены вами, то-есть администратором. Для этого вам нужно четко указать, какие программы можно запускать, а какие нет и сегодня мы рассмотрим как запретить запуск программы используя локальные Групповые политики Windows, а также через реестр Windows.

Примечание: В данной статье рассмотрена работа с редактором локальных Групповых политик, которого нет в домашних версиях Windows 7, поэтому пользователям домашних версий следует использовать редактор реестра Windows.

Запрет запуска программ через Редактор групповых политик

Запускаем редактор локальных Групповых политик, для этого открываем меню Пуск, в строке поиска вводим gpedit.msc и нажимаем Ввод.

В открывшемся окне открываем раздел Конфигурация пользователяАдминистративные шаблоныСистема.

В правой части окна находим два параметра:

1. Не запускать указанные приложения Windows — будут разрешены все приложения, кроме перечисленных.
2. Выполнять только указанные приложения Windows — будут запрещены все приложения, кроме перечисленных.

Предположим, что я хочу выбрать второй пункт Выполнять только указанные приложения Windows — открываю его двойным нажатием мыши.

Устанавливаем радио переключатель в положение Включить, затем в разделе Параметры нажимаем кнопку Показать, для того, чтоб отобразить список разрешенных для запуска программ.

В появившемся диалоговом окне Show Contents можно ввести список программ, с которыми будет разрешено работать пользователям. По завершении нажмите ОК и закройте резактор локальных групповых политик.

Если пользователь попытается запустить программу, которой нет в списке разрешенных программ — система выдаст предупреждение и сделает запись в журнале событий Windows.

Обратите внимание: Если вы оставите список программ, как указан в моем примере, то вы не сможете ничего запустить, кроме браузера Mozilla Firefox, даже редактор групповой политики! Поэтому этот параметр групповой политики применяйте крайне обдумано!

Запрет запуска программ через реестр Windows

Как я уже упоминал в начале статьи, если у вас установлена домашняя версия Windows, то редактор групповых политик вам не будет доступен. В этом случае можно воспользоваться редактором реестра Windows и ограничить запуск программ через него.

Запустите редактор реестра Windows: Откройте меню Пуск (комбинация клавиш WIN + R) и в строке поиска введите regedit.

Найдите следующую ветвь реестра:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

Если еще не создан, создайте новый параметр DisallowRun, имеющий тип 32-bit DWORD. Установите его значение в 1.

Затем в левой части редактора реестра, создайте новую ветвь, имеющую такое-же название, как и только что созданный параметр (DisallowRun).

После того, как ветвь создана, создайте внутри нее группу строковых переменных (имеющих тип String), с именем типа 1, 2, 3 и так далее. Значение каждой переменной должно содержать имя исполняемого файла, выполнение которого следует запретить. Например, для того, чтоб запретить запуск firefox, следует создать параметр:

Запрет запуска программ, используя групповые политики Windows очень полезен как для администрирования отдельных компьютеров, так и группы компьютеров, входящих в домен предприятия. В последнем случае настройка групповых политик делается централизованно на контроллере домена.