记录组策略结构和 AppLocker 规则强制

此规划文章介绍了使用 AppLocker 时应包含在计划中的内容。

记录你的发现

若要完成此 AppLocker 规划文档，应首先完成以下步骤：

确定如何构建适用于 AppLocker 策略的组策略对象 (GPO) 后，应记录发现结果。可以使用下表来确定要创建 (或编辑) 的 GPO 数量，以及它们链接到的对象。如果决定创建自定义规则以允许系统文件运行，请注意 “使用默认规则或定义新规则条件 ”列中的高级规则配置。

下表包含确定 AppLocker 策略的强制设置和 GPO 结构时收集的示例数据。

业务组	组织单位	实现 AppLocker？	应用	安装路径	使用默认规则或定义新规则条件	允许或拒绝	GPO 名称
银行出纳员	Teller-East 和 Teller-West	是	出纳软件	C：\Program Files\Woodgrove\Teller.exe	文件已签名;创建发布者条件	允许	Tellers-AppLockerTellerRules
			Windows 文件	C：\Windows	创建默认规则的路径例外以排除 \Windows\Temp	允许
人力资源	HR-All	是	查看付款	C：\Program Files\Woodgrove\HR\Checkcut.exe	文件已签名;创建发布者条件	允许	HR-AppLockerHRRules
			时间表管理器	C：\Program Files\Woodgrove\HR\Timesheet.exe	文件未签名;创建文件哈希条件	允许
			Internet Explorer 7	C：\Program Files\Internet Explorer	文件已签名;创建发布者条件	拒绝
			Windows 文件	C：\Windows	对 Windows 路径使用默认规则	允许

确定每个业务组应用的组策略结构和规则实施策略后，以下任务仍然存在：