Update 23.08.2010: добавлен воркэраунд для обхода проблемы.
Оговорюсь сразу, баг был обнаружен не мною, а кем-то с технетов. Но тем не менее я заинтересовался им. Баг состоит в том, что если в правиле пути сам путь содержит буквы неанглийского алфавита, правило просто напросто не применяется! И некоторые вводные данные:
Подверженные ОС:
И вот как его можно проверить:
Войдите в систему с правами локального администратора.
На рабочем столе создайте папку с именем Папка.
Скопируйте в эту папку любой .EXE файл.
Нажмите Start и в поле Search for programs or files введите Local Security Policy. Вы должны увидеть значок редактора локальных политик и нажмите на него. Если появится запрос подтверждения User Account Control, подтвердите операцию или введите пароль своей учётной записи.
В раскрывшемся окне разверните секцию Application Control Policies.
Выделите и разверните секцию AppLocker.
Выберите секцию Executable rules.
Нажмите правой кнопкой мыши на эту секцию и выберите Create Default Rules. Этой операцией вы создадите правила по умолчанию, которые позволят запускать любые исполняемые файлы в %systemroot%, %programfiles% и разрешит запускать абсолютно всё встроенной учётной записи администратора.
Найдите это правило для встроенных администраторов и удалите его. Вот как выглядит правило, которое следует удалить:
Теперь вы сможете запускать исполняемые файлы только из папок %systemroot% и %programfiles%, а остальные папки будут запрещены для запуска исполняемых файлов. Нажмите правой кнопкой мыши на Executable rules и нажмите Create New Rule.
На странице Before You Begin вы можете узнать основные сведения о мастере. Нажмите Next.
На странице Permissions убедитесь, что Action выставлен в Allow и User or group выставлено в Everyone (значения по умолчанию). Нажмите Next.
На странице Conditions выставьте переключатель в Path и нажмите Next.
На странице Path нажмите Browse Folders. Укажите созданную на рабочем столе папку (по умолчанию это C:\Users\<YourAccountName>\Desktop\Папка) и нажмите Ok. На этой же странице мастера нажмите Create.
Сверните окно консоли MMC.
Переключитесь на рабочий стол, откройте созданную папку и попробуйте запустить файл. И вы получите сообщение об ошибке, что приложение было блокировано групповой политикой.
Примечание: перед выполнением всех операций убедитесь, что у вас запущена служба Application Identity. Для этого вы можете запустить командную строку в elevated mode и выполнить следующую команду:
net start AppIDSvc
Воркэраунд для обхода проблемы опубликован здесь: Очередной баг в AppLocker (обновление)
Remember Me