Технология AppLocker применяется для контроля запуска программ, скриптов и установщиков на компьютерах под управлением Windows — администратор задаёт правила, и система блокирует всё, что не разрешено явно. Если на корпоративной машине пользователь не может запустить скачанный установщик или исполняемый файл из папки загрузок, при этом появляется сообщение о блокировке администратором, с высокой вероятностью сработало именно правило AppLocker.
Функция доступна в корпоративных и образовательных редакциях Windows (Enterprise, Education), а также реализуется через групповые политики в домене Active Directory. Она пришла на смену устаревшим политикам ограниченного использования программ (SRP) и даёт более гибкие механизмы идентификации файлов. Дальше разберём, какие задачи решает AppLocker, какие типы правил существуют и как подойти к настройке без риска заблокировать работу пользователей.
Для чего на практике применяется AppLocker
Основная задача технологии — управление запуском программного обеспечения на рабочих станциях. Организация определяет, какие приложения разрешены, а всё остальное не запускается. Это закрывает сразу несколько направлений: защита от вредоносного ПО, запрет на установку нелицензионных программ и ограничение игр и развлекательного софта на рабочих местах.
Кроме блокировки исполняемых файлов, AppLocker контролирует скрипты (.ps1, .bat, .vbs, .js), установщики Windows Installer (.msi, .msp), библиотеки DLL и упакованные приложения из Microsoft Store. Это важно, потому что злоумышленники часто доставляют вредоносный код именно через скрипты, а не через классические exe-файлы.
- 🛡️ Предотвращение запуска неизвестных и потенциально опасных программ
- 📋 Соблюдение лицензионной политики — запрет неутверждённого ПО
- 👥 Разграничение прав: разным отделам разрешают разные наборы приложений
- 🔒 Снижение риска заражения через скрипты и макросы
Типы правил AppLocker
Каждое правило AppLocker определяет файл или группу файлов одним из трёх способов. Понимание разницы между ними критично: от этого зависит, переживёт ли правило обновление программы или её переустановку.
| Тип правила | Принцип идентификации | Устойчивость к обновлениям |
|---|---|---|
| По издателю | Цифровая подпись файла, имя продукта, версия | Высокая — работает для новых версий |
| По пути | Расположение файла в файловой системе | Низкая — ломается при переносе |
| По хэшу | Криптографический хэш конкретного файла | Отсутствует — новая версия = новый хэш |
Правило по издателю считается самым практичным: оно проверяет цифровую подпись и позволяет указать диапазон версий, например «все версии продукта выше текущей». Правило по пути простое в создании, но его легко обойти, скопировав файл в разрешённую папку. Правило по хэшу подходит только для программ, которые не обновляются, — иначе после каждого апдейта придётся пересоздавать правила.
Режимы работы: аудит и принудительное применение
У AppLocker есть два ключевых режима. В режиме «Только аудит» система фиксирует в журнале событий, какие программы были бы заблокированы, но реально их не останавливает. В режиме «Применение правил» блокировка происходит по-настоящему, а пользователь видит сообщение о запрете.
⚠️ Внимание: включать принудительное применение без предварительного аудита рискованно. Если в правилах не учтена какая-то рабочая программа, она перестанет запускаться у всех пользователей сразу после применения политики. Сначала соберите статистику аудита минимум за несколько недель реальной работы.
Журналы событий AppLocker находятся в просмотре событий по пути Журналы приложений и служб → Microsoft → Windows → AppLocker. Там видно, какой файл был разрешён или заблокирован и каким именно правилом.
Как настроить AppLocker: общий порядок
Настройка выполняется через редактор локальной групповой политики gpedit.msc на отдельном компьютере или через объекты групповой политики в домене. Путь к разделу: Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики управления приложениями → AppLocker.
Порядок действий выглядит так. Сначала включите службу «Удостоверение приложения» (Application Identity) — без неё правила не применяются; службу удобно активировать через ту же групповую политику. Затем создайте правила по умолчанию: в консоли AppLocker есть команда автоматического создания стандартного набора, который разрешает запуск из системных каталогов. После этого добавьте собственные разрешающие или запрещающие правила и переведите коллекции правил в нужный режим.
☑️ Базовая настройка AppLocker
Правила по умолчанию существуют неспроста. AppLocker работает по принципу «что не разрешено — запрещено», поэтому без базового набора, разрешающего запуск из C:\Windows и C:\Program Files, система может стать практически неработоспособной.
Отличия AppLocker от SRP и Windows Defender Application Control
Политики ограниченного использования программ (SRP) появились ещё в Windows XP и до сих пор встречаются в старых инфраструктурах. AppLocker превосходит их по гибкости: поддерживает правила по издателю с диапазонами версий, режим аудита, разные политики для разных пользователей и групп. SRP фактически считается устаревшей технологией, и для новых развёртываний использовать её не стоит.
Отдельная тема — Windows Defender Application Control (WDAC, ранее Device Guard). Это более строгий механизм контроля целостности кода, работающий на уровне ядра. Microsoft допускает совместное использование AppLocker и WDAC: первый удобен для управления пользовательскими сценариями, второй — для жёсткой защиты системы. Для типовой корпоративной задачи «запретить лишние программы» обычно достаточно одного AppLocker.
Типичные проблемы и ограничения
Самая частая жалоба — программа не запускается, хотя администратор уверен, что разрешил её. Возможная причина: правило создано по хэшу, а приложение обновилось, или политика применена не к той группе пользователей. Диагностику начинайте с журнала событий AppLocker — там прямо указано, какое правило сработало.
Ещё один нюанс — правила по пути уязвимы, если целевая папка доступна пользователю для записи. Стандартный совет: никогда не разрешайте запуск из каталогов вроде C:\Users\*\Downloads или временных папок, иначе весь смысл политики теряется.
⚠️ Внимание: AppLocker доступен не во всех редакциях Windows. В домашних версиях (Home) функция отсутствует, а в Pro правила можно создать, но принудительное применение официально поддерживается только в Enterprise и Education. Перед планированием развёртывания проверьте редакции ОС на целевых машинах в документации Microsoft.
Что делать, если AppLocker заблокировал нужную программу
Откройте Просмотр событий и найдите событие блокировки в журнале AppLocker — в нём указан путь к файлу и идентификатор сработавшего правила. Затем либо создайте исключение в существующем правиле, либо добавьте новое разрешающее правило по издателю. Если политика доменная, изменения вносятся в GPO и применяются после обновления политик командой gpupdate /force.
Ключевое ограничение, о котором часто забывают: AppLocker не заменяет антивирус. Технология контролирует факт запуска файлов по заданным правилам, но не анализирует поведение программ и не лечит заражённые объекты. Это дополнительный слой защиты, а не самостоятельное средство.
Часто задаваемые вопросы
Технология AppLocker применяется для чего в первую очередь?
Для централизованного контроля запуска приложений: администратор определяет разрешённые программы, скрипты и установщики, а всё остальное система блокирует. Это используется для защиты от вредоносного ПО и соблюдения корпоративных политик.
Работает ли AppLocker в Windows 10/11 Home?
Нет. Полноценное применение правил поддерживается в редакциях Enterprise и Education. В Home-версии функция недоступна, а в Pro возможности ограничены — точный список поддерживаемых редакций стоит сверить с актуальной документацией Microsoft для вашей версии ОС.
Чем AppLocker отличается от антивируса?
Антивирус ищет известные угрозы по сигнатурам и поведению, а AppLocker просто не даёт запустить то, что не входит в список разрешённого. Технологии дополняют друг друга, но не заменяют.
Можно ли обойти правила AppLocker?
При грамотной настройке обход сильно затруднён, но слабые правила по пути из папок с правом записи создают лазейки. Поэтому рекомендуется опираться на правила по издателю и запрещать запуск из пользовательских каталогов.
Что будет, если включить принудительный режим без аудита?
Программы, не учтённые в разрешающих правилах, перестанут запускаться, вплоть до сбоя рабочих процессов. Поэтому сначала собирают статистику в режиме аудита, анализируют журнал и только потом включают принудительное применение.