Fragensteller
Richtlinien für Softwareeinschränkung (SRP)

Allgemeine Diskussion
-
Hallo,
um mich besser vor Ransomware zu schützen habe ich die Richtlinien für Softwareeinschränkung konfiguriert. Dabei lasse ich nur den Start von Programmen aus %ProgramFiles%, %ProgramFiles(x86)%, %SystemRoot% und der Startmenüordner zu.
Folge ist nun, dass der Start von Anhängen und das Öffnen von Links im Browser nicht mehr funktioniert. Beim Start von Anhängen werden diese nach %TEMP% kopiert und dann versucht, von dort zu starten. Ergebnis ist dann etwas wie folgende Fehlermeldung:Im Anwendungsprotokoll erscheint das Ereignis 865 von der Quelle SoftwareRestrictionPolicies: "Der Zugriff auf "C:\Program Files\SumatraPDF\SumatraPDF.exe" wurde vom Administrator durch die Standardrichtlinienstufe für Softwareeinschränkungen eingeschränkt."
Mache ich dagegen auf dieselbe Datei in %TEMP% einen Doppelklick, wird sie fehlerfrei geöffnet (was zeigt, dass das protokollierte Ereignis nicht stimmt).
Der Versuch, einen Link in einer Mail zu öffnen führt zu keiner sichtbaren Reaktion, aber es wird wieder das Ereignis 865 protokolliert, diesmal mit der Meldung: "Der Zugriff auf "C:\Program Files\Mozilla Firefox\firefox.exe" wurde vom Administrator durch die Standardrichtlinienstufe für Softwareeinschränkungen eingeschränkt."
Im Mozilla Support Forum hat jemand angeblich das Problem durch Ändern der beiden Standardrichtlinien gelöst. Bei mir führt diese Änderung zu nichts.Hat jemand eine Idee, wie ich das Problem lösen oder weiter diagnostizieren kann?
- Bearbeitet mslux Dienstag, 1. März 2016 16:25
- Typ geändert Teodora Milusheva Donnerstag, 24. März 2016 09:13 Die Threads die keine Aktivität haben, werden als Diskussion geändert. Das machen wir, um die Suche in dem Forum zu verbessern. Sie können den Typ jede Zeit ändern.
Dienstag, 1. März 2016 16:25
Alle Antworten
-
Hallo mslux,
können Sie uns die Richtlinien für Softwareeinschränkung uns zeigen?
Gruß,
Teodora
Bitte haben Sie Verständnis dafür, dass im Rahmen dieses Forums, welches auf dem Community-Prinzip „IT-Pros helfen IT-Pros“ beruht, kein technischer Support geleistet werden kann oder sonst welche garantierten Maßnahmen seitens Microsoft zugesichert werden können.
Mittwoch, 2. März 2016 11:19 -
Hi,Am 01.03.2016 um 17:25 schrieb mslux:> Dabei lasse ich nur den Start von> Programmen aus %ProgramFiles%, %ProgramFiles(x86)%, %SystemRoot% und der> Startmenüordner zu.füge %temp% hinzu. Das ist nicht das, was du willst, aber es wird dieLösung sein.Es gibt einen Grund, warum APPLocker existiert, das ist das, was MSwill. Nutze Applocker statt SRP.TschöMark--Mark Heitbrink - MVP Windows Server - Group PolicyHomepage: http://www.gruppenrichtlinien.de - deutschGPO Tool: http://www.reg2xml.com - Registry Export File ConverterMittwoch, 2. März 2016 11:44
-
%TEMP% hinzuzufügen ist auch nicht die Lösung (zumal ich das nicht will, denn gerade von %TEMP% aus wird einige Ransomware gestartet).
Aber inzwischen habe ich die Lösung gefunden: Es dürfen keine Variablen in den Pfaden der SRP sein, weil die von einigen Anwendungen offenbar nicht aufgelöst werden. Vermutlich werden sie aber von der Ereignisanzeige aufgelöst, was zu den sinnlosen Meldungen führt.
Lautet der Pfad einer SRP also C:\Program Files statt %ProgramFiles% funktioniert alles!
Trotzdem Danke für eure Bemühungen!
Wenn dir meine Antwort nützt, kannst du "Als Antwort vorschlagen" anklicken. Warum? Das steht hier.
Mittwoch, 2. März 2016 12:12 -
Hi,Am 02.03.2016 um 13:12 schrieb mslux:> Lautet der Pfad einer SRP also /C:\Program Files/ statt /%ProgramFiles%/> funktioniert alles!Ich habe schon lange nicht mehr ins SRP geschaut, stehet in denStandardRegeln der String drin?TschöMark--Mark Heitbrink - MVP Windows Server - Group PolicyHomepage: http://www.gruppenrichtlinien.de - deutschGPO Tool: http://www.reg2xml.com - Registry Export File ConverterMittwoch, 2. März 2016 14:37
-
Die Standardregeln enthalten nur zwei Pfade, die beide auf die Registry zeigen:
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%
Diese hatte ich durch %SystemRoot% und %ProgramFiles% ersetzt und durch %ProgramFiles(x86)% ergänzt.
PS: Ich muss mit SRP arbeiten, weil es "nur" Windows 7 Professional ist. Da wirkt AppLocker noch nicht.
Wenn dir meine Antwort nützt, kannst du "Als Antwort vorschlagen" anklicken. Warum? Das steht hier.
Mittwoch, 2. März 2016 14:50