[W2K]Blacklist van executables

[metalant]

Kunje in Windows 2000 een 'blacklist' van executables aanleggen?

In de policy editor kun je in Local User->system->restrictions opgeven welke windows applicaties er gestart mogen worden. Maar eigenlijk wil ik het andersom doen, dus een lijst met programma's die NIET uitgevoerd mogen worden.

[Luppie]

Ja, kan. Hier is ook een policy voor.

User Config -> System -> Don't run specified Windows Applications

Hier kan je een blacklist opgeven.

NB. lees wel even de help die er bij staat, want er zitten een aantal haken en ogen aan. Zo kan je als de cmd nog beschikbaar is, de applicatie nog wel opstarten. Dit omdat windows en dus de GPO hier geen controle over heeft.

[ Voor 68% gewijzigd door Luppie op 16-07-2003 14:41 ]

[metalant]

Thanks.
Nu kan ik tenminste ervoor zorgen dat ze geen patience en arkanoid gaan spelen op de office pc's

[elevator]

Mjah - hier ga je niet ver mee komen. Delete gewoon sol.exe
(renamen van je programma's is 1 van de vele workarounds voor dit 'probleem')

[mutsje]

wordt nog steeds niet tegen gehouden. Enige mogelijkheid die het goed doet is een SMS2.x server neer zetten. Deze kijkt namelijk in de executable zelf. als je een game hernoemt kun je em fijn weer spelen.

[Maverick]

tis alleen de vraag of men hieraan denkt, ik denk dat deze aanpak meestal wel afdoende is.

[TheManinBlack]

Dat kan je ook met rechten oplossen. Gebruikers zouden sowieso geen schrijfrechten mogen hebben op bepaalde files (niet renamen dus). Stel je voor dat een gebruiker "notepad.exe" vervangt door "malicious_app_that_will_kill_the_pc.exe" ofzo. Gaat de volgende gebruiker met de pc werken.....WHAM!

Bij mij op werk zit ik in een Novell Netware omgeving met NT4 clients. Als ik een shortcut op mijn desktop wil renamen, dan krijg ik van het systeem de vrolijke mededeling dat ik er vanaf moet blijven.

Er bestaat ook software buiten MS SMS die een hash maakt van een file en die vervolgens bekijkt bij het aanroepen van die file. Kan zo ff niet op de naam komen. Je kan het vergelijken met Tripwire iig. Je kan de files renamen zoveel je wilt, maar tenzij je de inhoud van de file aanpast, zal ie altijd herkend worden. Als een executable niet in de database voorkomt, dan kan je hem bruut weigeren te draaien totdat ie toegevoegd is door de admin.

Je kan inderdaad ook alle executables verwijderen waarvan je niet wilt dat users erbij kunnen komen. Dan moet je oppassen dat ze niet zelf rommel meenemen/mailen (als dat mogelijk is).

Het ligt ook wel heel erg aan het niveau van je gebruikers ja. De meesten geven de moed al op als ze geen shortcut op hun desktop hebben staan ^_^