AppLocker nie działa

Niedziałający AppLocker zwykle wskazuje na nieuruchomioną usługę Application Identity, od której zależy egzekwowanie reguł — jej włączenie w usługach Windows jest warunkiem działania AppLocker.

AppLocker nie działa — co oznacza ten problem

Komunikat „AppLocker nie działa” oznacza, że system Windows nie stosuje zasad ograniczających uruchamianie programów, skryptów, instalatorów lub bibliotek zgodnie z ustalonymi regułami. Samo utworzenie polityki w Edytorze lokalnych zasad grupy albo w przystawce przeznaczonej do zarządzania regułami nie wystarcza, aby mechanizm zaczął blokować wskazane pliki. Konieczne jest prawidłowe działanie składników systemowych odpowiedzialnych za sprawdzanie tożsamości aplikacji oraz egzekwowanie reguł.

W praktyce problem może objawiać się na kilka sposobów. Program, który powinien zostać zablokowany, nadal się uruchamia, użytkownik otrzymuje odmowę dostępu mimo braku odpowiedniej reguły, a w konsoli zasad widoczny jest stan sugerujący, że konfiguracja nie jest aktywna. Czasem reguły działają tylko dla części kont albo przestają obowiązywać po zmianie ustawień zabezpieczeń. Należy też odróżnić brak działania AppLocker od sytuacji, w której reguła została utworzona z niewłaściwym warunkiem, ścieżką lub zakresem użytkowników.

Jak AppLocker współpracuje z mechanizmami Windows

AppLocker opiera się na zestawie reguł określających, jakie pliki mogą zostać uruchomione przez konkretnych użytkowników lub grupy. Zasady mogą odnosić się między innymi do wydawcy oprogramowania, ścieżki pliku albo właściwości pliku wykonywalnego. Dzięki temu możliwe jest dopuszczanie zatwierdzonych aplikacji i ograniczanie uruchamiania elementów pochodzących z niepewnych lokalizacji.

Istotną rolę odgrywa usługa Application Identity. Jeżeli nie jest uruchomiona, ma nieprawidłowy typ startu albo została zatrzymana po modyfikacji systemu, reguły AppLocker mogą nie być skutecznie stosowane. Weryfikacji wymaga również właściwa edycja systemu Windows, dostęp do zasad grupy oraz to, czy komputer otrzymuje ustawienia z lokalnej konfiguracji, czy z nadrzędnego źródła polityk. Przydatne jest sprawdzenie dzienników w Podglądzie zdarzeń, ponieważ mogą wskazać, czy odmowa wynika z aktywnej reguły, błędnego warunku, czy problemu z usługą.

Warto rozróżnić tryb audytu od wymuszania. W trybie audytu zdarzenia dotyczące potencjalnie blokowanych aplikacji są rejestrowane, ale program może nadal się uruchamiać. Dopiero tryb wymuszania powoduje zastosowanie zakazu. Błędna interpretacja tych dwóch ustawień często prowadzi do wniosku, że AppLocker jest niesprawny, mimo że działa zgodnie z aktualną konfiguracją.

Typowe przyczyny błędów AppLocker

Jednym z częstych powodów jest zatrzymana lub nieprawidłowo skonfigurowana usługa Application Identity. Problem może pojawić się również po aktualizacji Windows, przywróceniu ustawień systemowych, zastosowaniu narzędzia optymalizacyjnego albo zmianie uprawnień usług. Niekiedy usługa jest uruchomiona, lecz reguły nie zostały odświeżone i komputer nadal korzysta z wcześniejszej wersji zasad.

Drugą grupę przyczyn stanowią błędy samej polityki. Reguła może wskazywać nieistniejącą lokalizację, obejmować innego użytkownika niż zakładano, zawierać wyjątek dla grupy o szerszych uprawnieniach albo blokować plik na podstawie cechy, która zmieniła się po aktualizacji programu. Problematyczne bywa także tworzenie reguł wyłącznie na podstawie ścieżki, gdy aplikacja może być instalowana lub uruchamiana z kilku katalogów.

Znaczenie mają również zasady dziedziczone oraz kolejność przetwarzania ustawień. Lokalna polityka może zostać zastąpiona przez ustawienia zastosowane z innego poziomu, a reguły zezwalające i blokujące mogą prowadzić do innego wyniku, niż sugeruje pojedynczy wpis widoczny w konsoli. Diagnostyka powinna dlatego obejmować faktycznie zastosowane zasady, stan usługi, dzienniki zdarzeń oraz konto, na którym odtwarzany jest problem.

Przed zmianą konfiguracji zalecane jest zapisanie istniejących reguł i ustalenie, czy występuje problem z jednym programem, wszystkimi aplikacjami, konkretnym kontem, czy całym komputerem. Pochopne usuwanie polityk może utrudnić ustalenie przyczyny i spowodować niezamierzone poluzowanie zabezpieczeń. Bezpieczniej jest rozpocząć od odczytu stanu usługi, sprawdzenia trybu działania oraz analizy zdarzeń związanych z AppLocker.

Kiedy warto zgłosić AppLocker do serwisu

Do serwisu warto zgłosić problem, gdy AppLocker nadal nie egzekwuje reguł po sprawdzeniu usługi Application Identity, odświeżeniu zasad i porównaniu ustawień z faktycznym zachowaniem systemu. Szczególnie uzasadniona jest konsultacja wtedy, gdy blokady dotyczą tylko wybranych kont, znikają po restarcie, kolidują z legalnymi programami albo pojawiły się po aktualizacji Windows. Pomoc techniczna może objąć analizę dzienników, ocenę reguł, sprawdzenie uprawnień oraz uporządkowanie konfiguracji bez przypadkowego usuwania potrzebnych wyjątków.

W Warszawie takie zgłoszenia przyjmuje Warszawskie Pogotowie Komputerowe 24/7, gdzie można rozpocząć od darmowej diagnozy LAPTOPA. Przed wykonaniem zmian warto przygotować opis aplikacji, której dotyczy problem, informację o koncie użytkownika oraz treść komunikatu wyświetlanego przy próbie uruchomienia. Ułatwia to ustalenie, czy źródłem kłopotu jest usługa systemowa, nieaktywna polityka, błędna reguła, konflikt ustawień czy ograniczenie wynikające z edycji systemu Windows.