Настройка политик блокирования приложений (AppLocker)

dsa.msc> создаем отдельную OU для клиентских компьютеров Client Computers

Перемещаем в ou Client Computers клиентский компьютер.

gpmc.msc> Group Policy Objects> new GPO имя политики Software Control

Нажимаем правой кнопкой по Software Control и выбираем edit
Разворачиваем ветвь Computer Configuration\Policies \Windows Settings\Security Settings\Application Control Policies\AppLocker

Разворачиваем ветвь AppLocker и кликаем правой кнопкой по Executable Rules выбираем пункт Create Default Rules тоже самое повторяем для Windows Installer Rules, Script Rules и Packaged app Rules.

 

Кликаем на Configure rule enforcement в свойствах AppLocker Properties настраиваем Executable rules, Windows Installer Rules, Script Rules, и Packaged app Rules выставляем значение Audit only.

В редакторе групповой политики идем в ветвь Computer Configuration\Policies \Windows Settings\Security Settings\System Services
Находим службу Application Identity определяем параметры запуска в автоматический режим

Закрываем редактор. В консоли group policy managmet  правой кнопкой нажимаем по Client Computers и выбираем в меню Link an Existing GPO. 

 В окне выбора объекта групповой политики выбираем Software Control.

Идем на клиентский компьютер выполняем gpupdate /force и перезагружаем компьютер.
После перезагрузки пишем app.bat с следующим текстом:

rem testing app
pause

Кладем файл в каталог С:\temp и выполняем файл С:\temp\app.bat
Запускаем журнал событий eventvwr.msc разворачиваем журнал Application and Services Logs>Microsoft>Windows>AppLocker кликаем по MSI and Scripts 

 Наблюдаем событие 8005 %OSDRIVE%\CUSTOMAPP\APP.BAT was allowed to run. 
 (app.bat разрешен для запуска.)