Cara menggunakan perangkat lunak pembatasan berlaku pada Windows Server 2003

Artikel ini menjelaskan cara menggunakan perangkat lunak pembatasan Kebijakan di Windows Server 2003. Ketika Anda menggunakan perangkat lunak pembatasan kebijakan, Anda dapat mengidentifikasi dan menentukan perangkat lunak yang diperbolehkan untuk menjalankan begitu bahwa Anda dapat melindungi lingkungan komputer Anda dari kode yang tidak dipercaya. Ketika Anda menggunakan perangkat lunak pembatasan kebijakan, Anda dapat menentukan tingkat keamanan default Tidak terbatas atau Batasan untuk objek kebijakan grup (GPO) sehingga perangkat lunak adalah baik diperbolehkan atau tidak diizinkan untuk dijalankan secara default. Untuk membuat pengecualian untuk default ini tingkat keamanan, Anda dapat membuat aturan untuk perangkat lunak tertentu. Anda dapat membuat jenis peraturan berikut:

• Hash aturan
• Sertifikat aturan
• Jalan aturan
• Internet zona aturan

Kebijakan terdiri dari tingkat keamanan standar dan semua aturan diterapkan ke GPO. Kebijakan ini dapat diterapkan pada semua komputer atau untuk masing-masing pengguna. Perangkat lunak pembatasan kebijakan menyediakan sejumlah cara untuk mengidentifikasi perangkat lunak, dan mereka menyediakan infrastruktur berbasis kebijakan untuk menegakkan keputusan tentang apakah perangkat lunak dapat dijalankan. Dengan perangkat lunak pembatasan kebijakan, pengguna harus mengikuti pedoman yang ditetapkan oleh administrator ketika mereka menjalankan program.

Dengan kebijakan pembatasan perangkat lunak, Anda dapat melakukan tugas berikut:

• Kontrol yang dapat menjalankan program di komputer Anda. Untuk contoh, Anda dapat menerapkan kebijakan yang tidak membolehkan jenis berkas tertentu untuk menjalankan dalam folder e-mail lampiran dari program email Anda jika Anda prihatin tentang pengguna menerima virus melalui e-mail.
• Mengizinkan pengguna untuk menjalankan hanya khusus file pada multi-pengguna komputer. Sebagai contoh, jika Anda memiliki beberapa pengguna pada komputer Anda, Anda dapat mengatur perangkat lunak pembatasan kebijakan sedemikian rupa bahwa pengguna tidak memiliki akses ke perangkat lunak apapun kecuali untuk file tertentu yang mereka harus menggunakan untuk pekerjaan mereka.
• Memutuskan yang dapat menambahkan penerbit terpercaya untuk Anda komputer.
• Mengontrol apakah kebijakan pembatasan perangkat lunak mempengaruhi semua pengguna atau hanya tertentu pengguna pada komputer.
• Mencegah file berjalan pada komputer lokal Anda, Anda unit organisasi, situs atau domain. Sebagai contoh, jika ada dikenal virus, Anda dapat menggunakan perangkat lunak pembatasan berlaku untuk menghentikan komputer dari pembukaan berkas yang berisi virus.
  
  Penting: Kami merekomendasikan bahwa Anda tidak menggunakan perangkat lunak pembatasan kebijakan sebagai pengganti perangkat lunak antivirus.

Cara menggunakan perangkat lunak pembatasan berlaku dengan AppLocker

Meskipun perangkat lunak pembatasan kebijakan dan AppLocker memiliki tujuan yang sama, AppLocker adalah revisi lengkap dari kebijakan pembatasan perangkat lunak yang diperkenalkan pada Windows 7 dan Windows Server 2008 R2. Anda tidak dapat menggunakan AppLocker untuk mengelola pengaturan kebijakan pembatasan perangkat lunak. AppLocker aturan hanya diberlakukan pada komputer yang menjalankan Windows 7 Ultimate dan Enterprise edisi atau semua edisi Windows Server 2008 R2, sedangkan perangkat lunak pembatasan kebijakan aturan ditegakkan di ini dan sebelumnya versi.

Selain itu, jika AppLocker dan pengaturan kebijakan pembatasan perangkat lunak dikonfigurasi di GPO sama, hanya pengaturan AppLocker akan dilaksanakan pada komputer yang menjalankan Windows 7 dan Windows Server 2008 R2. Oleh karena itu, jika Anda harus menggunakan perangkat lunak pembatasan kebijakan dan AppLocker di organisasi Anda, itu adalah latihan direkomendasikan untuk membuat AppLocker peraturan untuk komputer yang dapat menggunakan AppLocker kebijakan, dan perangkat lunak pembatasan kebijakan untuk komputer yang menjalankan Windows versi sebelumnya.

Untuk informasi lebih lanjut tentang bagaimana menggunakan dua perangkat lunak pembatasan teknologi ini, lihat AppLocker topik dalam perpustakaan teknis TechNet Microsoft:

Bagaimana memulai kebijakan pembatasan Software

Untuk komputer lokal hanya

1. Klik Mulai, arahkan ke Program, arahkan ke Alat administratif, lalu klik Kebijakan keamanan lokal.
2. Pada pohon konsol, memperluas Pengaturan keamanan, dan kemudian memperluas Perangkat lunak pembatasan kebijakan.

Untuk Domain, sebuah situs, atau Unit organisasi pada Workstation atau Server anggota yang bergabung dengan Domain

1. Buka konsol manajemen Microsoft (MMC). Untuk melakukannya, klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Pada Berkas menu, klik Tambah/Hapus Snap-in, lalu klik Tambahkan.
3. Klik Objek kebijakan grup Editor, lalu klik Tambahkan.
4. Dalam Objek kebijakan grup pilih, klik People.
5. Dalam People untuk objek kebijakan grup, baik pilih objek kebijakan grup (GPO) dalam yang sesuai domain, situs, atau unit organisasi, dan kemudian klik Menyelesaikan.
   
   Atau, Anda dapat membuat GPO baru, dan kemudian Klik Menyelesaikan.
6. Klik Tutup, lalu klik Oke.
7. Pada pohon konsol, pergi ke lokasi berikut:
   Objek kebijakan grup Computer_name Kebijakan/komputer konfigurasi atau kebijakan pembatasan pengguna/konfigurasi/Windows pengaturan/keamanan pengaturan/Software

Untuk Unit organisasi atau Domain pada kontroler Domain atau komputer yang telah menginstal paket alat administrasi

1. Klik Mulai, arahkan ke Semua program, arahkan ke Alat administratif, lalu klik Direktori pengguna dan komputer active.
2. Pada pohon konsol, klik kanan domain atau unit organisasi yang ingin Anda menetapkan kebijakan grup untuk.
3. Klik Properti, lalu klik Kebijakan Grup tab.
4. Klik entri di Link objek kebijakan grup untuk memilih GPO yang ada, dan kemudian klik Mengedit.
   
   Atau, Anda dapat klik Baru untuk membuat GPO baru, dan kemudian klik Mengedit.
5. Pada pohon konsol, pergi ke lokasi berikut:
   Objek kebijakan grup Computer_name Kebijakan/komputer konfigurasi atau kebijakan pembatasan pengguna konfigurasi/Windows pengaturan/keamanan pengaturan/Software

Untuk situs Anda dan pada kontroler Domain atau komputer yang telah menginstal paket alat administrasi

1. Klik Mulai, arahkan ke Semua program, arahkan ke Alat administratif, lalu klik Situs direktori aktif dan layanan.
2. Pada pohon konsol, klik kanan situs yang ingin Anda menetapkan kebijakan grup untuk:
   • Aktif [direktori situs dan layanan Domain_Controller_Name. Domain_Name]
   • Situs
   • Situs
   
   
3. Klik Properti, lalu klik Kebijakan Grup tab.
4. Klik entri di Link objek kebijakan grup untuk memilih ada objek kebijakan grup (GPO), dan kemudian klik Mengedit.
   
   Atau, klik Baru untuk membuat GPO baru, dan kemudian klik Mengedit.
5. Pada pohon konsol, pergi ke lokasi berikut:
   Objek kebijakan grup Computer_name Kebijakan/komputer konfigurasi atau kebijakan pembatasan pengguna konfigurasi/Windows pengaturan/keamanan pengaturan/Software
   Penting: Klik Pengguna konfigurasi untuk menetapkan kebijakan yang akan diterapkan kepada pengguna, terlepas dari komputer yang mereka logon. Klik Konfigurasi komputer untuk menetapkan kebijakan yang akan diterapkan ke komputer, terlepas dari pengguna yang logon ke mereka.
   
   Anda juga dapat menerapkan perangkat lunak batasan yang berlaku untuk pengguna tertentu ketika mereka log on ke komputer tertentu oleh menggunakan pengaturan kebijakan grup yang canggih bernama loopback.

Bagaimana mencegah perangkat lunak kebijakan pembatasan berlaku untuk administrator lokal

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Di panel rincian, klik dua kali Penegakan.
4. Di bawah Menerapkan kebijakan pembatasan perangkat lunak untuk pengguna berikut, klik Semua pengguna kecuali lokal administrator.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Biasanya, pengguna adalah anggota dari administrator lokal kelompok pada komputer mereka di organisasi Anda; oleh karena itu, Anda mungkin tidak ingin mengubah pengaturan ini. Perangkat lunak kebijakan pembatasan tidak berlaku untuk setiap pengguna yang menjadi anggota kelompok administrator lokal mereka.
• Jika Anda menentukan pengaturan kebijakan pembatasan perangkat lunak untuk komputer lokal, menggunakan prosedur ini untuk mencegah administrator lokal karena perangkat lunak yang berlaku pembatasan diterapkan kepada mereka. Jika Anda menetapkan pengaturan kebijakan pembatasan perangkat lunak untuk jaringan Anda, penyaring pengguna kebijakan pengaturan berdasarkan keanggotaan dalam grup keamanan dengan menggunakan kebijakan grup.

Cara membuat aturan sertifikat

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Pada pohon konsol atau jendela rincian, klik-kananAturan tambahan, lalu klik Aturan sertifikat baru.
4. Klik People, kemudian pilih sertifikat.
5. Pilih tingkat keamanan.
6. Dalam Deskripsi kotak, ketik keterangan untuk aturan ini, dan kemudian klik Oke.

Catatan:

• Untuk informasi tentang cara untuk memulai perangkat lunak pembatasan kebijakan di MMC, lihat "Mulai perangkat lunak pembatasan kebijakan" pada topik terkait di berkas Bantuan Windows Server 2003.
• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Secara default, sertifikat aturan tidak diaktifkan. Untuk mengaktifkan sertifikat aturan:
  1. Klik Mulai, klik Menjalankan, jenis regedit, lalu klik Oke.
  2. Temukan kemudian klik kunci registri berikut:
     HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
  3. Di panel rincian, klik dua kali AuthenticodeEnabled, dan kemudian mengubah data nilai dari 0 untuk 1.
• Hanya jenis berkas yang dipengaruhi oleh aturan sertifikat yang tercantum dalam Jenis file yang ditunjuk. Ada satu daftar jenis ditunjuk file yang dibagi oleh semua aturan.
• Untuk perangkat lunak pembatasan berlaku untuk mengambil efek, pengguna harus memperbarui pengaturan kebijakan oleh log off dari dan kemudian log on ke mereka komputer.
• Ketika lebih dari satu aturan diterapkan pada pengaturan kebijakan, ada didahulukan aturan untuk menangani konflik.

Cara membuat aturan Hash

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Pada pohon konsol atau jendela rincian, klik-kananAturan tambahan, lalu klik Aturan baru Hash.
4. Klik People untuk mencari file, atau sisipkan hash precalculated di File hash kotak.
5. Dalam Tingkat keamanan kotak, klik salah satu Batasan atau Tidak terbatas.
6. Dalam Deskripsi kotak, ketik keterangan untuk aturan ini, dan kemudian klik Oke.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Anda dapat membuat aturan hash untuk virus atau Trojan kuda untuk mencegah perangkat lunak berbahaya dari berjalan.
• Jika Anda ingin pengguna lain untuk menggunakan aturan hash sehingga virus tidak dapat dijalankan, menghitung hash virus dengan menggunakan perangkat lunak pembatasan kebijakan, dan kemudian e-mail nilai hash untuk pengguna lain. Pernah e-mail virus itu sendiri.
• Jika virus telah dikirim melalui e-mail, Anda juga dapat membuat aturan jalan untuk mencegah pengguna untuk menjalankan e-mail lampiran.
• Sebuah file yang namanya atau pindah ke folder lain masih hasil di hash yang sama.
• Setiap perubahan untuk menghasilkan berkas yang berbeda hash.
• Hanya jenis berkas yang dipengaruhi oleh aturan hash orang-orang yang tercantum dalam Jenis file yang ditunjuk. Ada satu daftar jenis ditunjuk file yang dibagi oleh semua aturan.
• Untuk perangkat lunak pembatasan berlaku untuk mengambil efek, pengguna harus memperbarui pengaturan kebijakan oleh log off dari dan kemudian log on ke mereka komputer.
• Ketika lebih dari satu aturan diterapkan pada pengaturan kebijakan, ada didahulukan aturan untuk menangani konflik.

Cara membuat aturan zona Internet

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Pada pohon konsol, klik Perangkat lunak pembatasan kebijakan.
4. Pada pohon konsol atau jendela rincian, klik-kananAturan tambahan, lalu klik Baru Internet zona aturan.
5. Dalam Zona internet, klik zona Internet.
6. Dalam Tingkat keamanan kotak, klik salah satu Batasan atau Tidak terbatas, lalu klik Oke.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Zona aturan berlaku untuk paket Penginstal Windows hanya.
• Hanya jenis berkas yang dipengaruhi oleh aturan zona yang orang-orang yang tercantum dalam Jenis file yang ditunjuk. Ada satu daftar jenis ditunjuk file yang dibagi oleh semua aturan.
• Untuk perangkat lunak pembatasan berlaku untuk mengambil efek, pengguna harus memperbarui pengaturan kebijakan oleh log off dari dan kemudian log on ke mereka komputer.
• Ketika lebih dari satu aturan diterapkan pada pengaturan kebijakan, ada didahulukan aturan untuk menangani konflik.

Cara membuat aturan jalan

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Pada pohon konsol atau jendela rincian, klik-kananAturan tambahan, lalu klik Aturan jalan baru.
4. Dalam Jalur kotak, ketik lintasan atau klik People untuk mencari file atau folder.
5. Dalam Tingkat keamanan kotak, klik salah satu Batasan atau Tidak terbatas.
6. Dalam Deskripsi kotak, ketik keterangan untuk aturan ini, dan kemudian klik Oke.
   
   Penting: Pada folder tertentu, seperti map Windows, pengaturan tingkat keamanan untuk Batasan dapat mempengaruhi pengoperasian sistem operasi Anda. Membuat yakin bahwa Anda tidak melarang komponen penting dari sistem operasi atau salah satu program yang tergantung.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Jika Anda membuat jalan aturan untuk program dengan keamanan tingkat Batasan, pengguna masih dapat menjalankan perangkat lunak dengan menyalin lain yang baru.
• Karakter wildcard yang didukung oleh aturan jalan adalah tanda bintang (*) dan tanda tanya (?).
• Anda dapat menggunakan variabel lingkungan, seperti % programfiles % atau % systemroot %, dalam aturan jalan.
• Untuk membuat aturan jalan untuk perangkat lunak ketika Anda tidak tahu di mana disimpan pada komputer tetapi Anda memiliki kunci registri, Anda dapat membuat aturan jalan registri.
• Untuk mencegah pengguna dari menjalankan lampiran e-mail, Anda dapat membuat aturan jalan untuk mail program lampiran folder yang mencegah pengguna dari menjalankan e-mail lampiran.
• Hanya jenis berkas yang dipengaruhi oleh aturan jalan yang orang-orang yang tercantum dalam Jenis file yang ditunjuk. Ada satu daftar jenis ditunjuk file yang dibagi oleh semua aturan.
• Untuk perangkat lunak pembatasan berlaku untuk mengambil efek, pengguna harus memperbarui pengaturan kebijakan oleh log off dari dan kemudian log on ke mereka komputer.
• Ketika lebih dari satu aturan diterapkan pada pengaturan kebijakan, ada didahulukan aturan untuk menangani konflik.

Cara membuat aturan jalan registri

1. Klik Mulai, klik Menjalankan, jenis regedit, lalu klik Oke.
2. Pada pohon konsol, klik kanan registri kunci bahwa Anda ingin membuat aturan untuk, dan kemudian klik Menyalin nama kunci.
3. Perhatikan nama nilai di panel rincian.
4. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
5. Membuka perangkat lunak pembatasan berlaku.
6. Pada pohon konsol atau jendela rincian, klik-kananAturan tambahan, lalu klik Aturan jalan baru.
7. Dalam Jalur, sisipkan nama kunci registri dan nama nilai.
8. Sertakan lintasan registri dalam tanda-tanda persen (%), untuk contoh:
   %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PlatformSDK\Directories\InstallDir%
9. Dalam Tingkat keamanan kotak, klik salah satu Batasan atau Tidak terbatas.
10. Dalam Deskripsi kotak, ketik keterangan untuk aturan ini, dan kemudian klik Oke.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Anda harus menjadi anggota grup Administrators untuk menjalankan prosedur ini.
• Format lintasan registri sebagai berikut:
  % Kumpulan registri\ Nama kunci registri\ Nama nilai%
• Anda harus menulis nama kumpulan registri; Anda tidak dapat menggunakan singkatan. Misalnya, Anda tidak dapat diganti REGISTER ASAL HKCU untuk HKEY_CURRENT_USER.
• Aturan jalan registri dapat berisi akhiran setelah tanda penutupan persen (%). Tidak menggunakan garis miring terbalik (\) dengan akhiran. Untuk contoh, Anda dapat menggunakan aturan jalan registri berikut:
  %HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Cache%OLK*
• Hanya jenis berkas yang dipengaruhi oleh aturan jalan yang orang-orang yang tercantum dalam Jenis file yang ditunjuk. Ada satu daftar jenis ditunjuk file yang dibagi oleh semua aturan.
• Untuk perangkat lunak pembatasan berlaku untuk mengambil efek, pengguna harus memperbarui pengaturan kebijakan oleh log off dari dan kemudian log on ke mereka komputer.
• Ketika lebih dari satu aturan diterapkan pada pengaturan kebijakan, ada didahulukan aturan untuk menangani konflik.

Cara menambah atau menghapus jenis berkas ditunjuk

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Di panel rincian, klik dua kali Jenis File yang ditunjuk.
4. Lakukan salah satu langkah berikut yang sesuai:
   • Untuk menambahkan jenis berkas, ketik ekstensi nama file dalam Ekstensi file kotak, dan kemudian klik Tambahkan.
   • Untuk menghapus jenis berkas, klik jenis berkas di Jenis file yang ditunjuk kotak, dan kemudian klik Hapus.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Daftar jenis berkas yang ditunjuk dibagi oleh semua aturan untuk konfigurasi masing-masing. Daftar jenis berkas yang ditunjuk untuk pengaturan kebijakan komputer berbeda dari daftar jenis berkas yang ditunjuk untuk pengguna kebijakan pengaturan.

Cara mengubah default tingkat dari perangkat lunak pembatasan kebijakan keamanan

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Di panel rincian, klik dua kali Tingkat keamanan.
4. Klik kanan tingkat keamanan yang ingin Anda atur sebagai default, dan kemudian klik Ditetapkan sebagai default.
   
   Perhatian: Dalam folder tertentu, jika Anda menetapkan standar keamanan tingkat untuk Batasan, Anda dapat mempengaruhi sistem operasi Anda.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Di panel rincian, saat ini tingkat keamanan standar adalah ditunjukkan oleh lingkaran hitam dengan tanda centang di dalamnya. Jika Anda klik kanan tingkat keamanan saat ini standar, Ditetapkan sebagai default perintah ini tidak muncul dalam menu.
• Aturan yang dibuat untuk menentukan pengecualian default tingkat keamanan. Ketika tingkat keamanan default diatur ke Tidak terbatas, aturan menentukan perangkat lunak yang tidak diperbolehkan untuk dijalankan. Ketika tingkat keamanan default diatur ke Batasan, aturan menentukan perangkat lunak yang diperbolehkan untuk dijalankan.
• Jika Anda mengubah tingkat default, Anda mempengaruhi semua file pada komputer yang memiliki perangkat lunak kebijakan pembatasan diterapkan untuk mereka.
• Instalasi, tingkat keamanan default perangkat lunak pembatasan berlaku pada semua file pada komputer Anda diatur ke Tidak terbatas.

Cara menetapkan pilihan penerbit terpercaya

1. Klik Mulai, klik Menjalankan, jenis MMC, lalu klik Oke.
2. Membuka perangkat lunak pembatasan berlaku.
3. Klik dua kali Penerbit terpercaya.
4. Klik pengguna yang Anda inginkan untuk memutuskan mana sertifikat akan dapat dipercaya, dan kemudian klik Oke.

Catatan:

• Anda mungkin harus membuat kebijakan pembatasan perangkat lunak baru pengaturan untuk GPO ini jika Anda tidak sudah melakukannya.
• Anda dapat memilih yang dapat menambahkan penerbit terpercaya, pengguna, administrator, atau administrator enterprise. Sebagai contoh, Anda dapat menggunakan ini alat untuk mencegah pengguna dari membuat keputusan kepercayaan tentang penerbit ActiveX Kontrol.
• Administrator komputer lokal memiliki hak untuk menentukan penerbit terpercaya pada komputer lokal, tetapi perusahaan administrator memiliki hak untuk menentukan terpercaya penerbit di tingkat unit organisasi.