Brak reakcji na nieautoryzowane aplikacje

Brak reakcji systemu na nieautoryzowane aplikacje (mimo polityki AppLocker) wskazuje na błąd w regułach tej polityki lub brak uruchomienia wymaganej usługi Application Identity.

Czym jest brak reakcji na nieautoryzowane aplikacje

Brak reakcji na nieautoryzowane aplikacje oznacza sytuację, w której program powinien zostać zablokowany przez mechanizmy kontroli uruchamiania systemu Windows, ale mimo to otwiera się, działa częściowo albo nie pojawia się żaden czytelny komunikat. Problem może występować zarówno przy uruchamianiu pliku wykonywalnego, jak i podczas otwierania instalatora, skryptu lub aplikacji pobranej z niezatwierdzonego źródła. Sam fakt, że program nie został dopuszczony przez przyjętą politykę bezpieczeństwa, nie zawsze wystarcza do jego zatrzymania. Skuteczność ograniczeń zależy od poprawnego zapisania reguł, ich zakresu oraz działania usług systemowych odpowiedzialnych za identyfikację aplikacji.

W praktyce konieczne jest rozróżnienie kilku podobnych objawów. Czasem aplikacja rzeczywiście zostaje uruchomiona pomimo braku zezwolenia, innym razem proces jest natychmiast zamykany, a użytkownik nie otrzymuje informacji o przyczynie. Możliwe jest również, że blokada działa tylko dla wybranych kont, lokalizacji plików lub typów aplikacji. Dlatego samo usunięcie programu albo ponowne uruchomienie komputera nie musi rozwiązać problemu.

Kontekst techniczny i sposób działania kontroli aplikacji

Jednym z mechanizmów używanych do ograniczania uruchamiania programów jest AppLocker. Zestaw reguł może określać, które pliki, wydawcy, ścieżki lub pakiety są dozwolone, a które mają zostać zablokowane. Reguła o niewłaściwym priorytecie, zbyt szerokim zakresie albo odnosząca się do nieaktualnej lokalizacji może prowadzić do zachowania odmiennego od oczekiwanego. Znaczenie ma także to, czy polityka została zastosowana do właściwego użytkownika i komputera oraz czy nowe ustawienia zostały faktycznie pobrane przez system.

Istotna jest usługa Application Identity, ponieważ dostarcza systemowi informacji potrzebnych do rozpoznawania aplikacji objętych regułami. Jeżeli usługa nie działa, jest wyłączona lub nie uruchamia się po starcie systemu, kontrola może nie zadziałać zgodnie z konfiguracją. Należy też uwzględnić różnicę między lokalną zasadą bezpieczeństwa a ustawieniami przekazywanymi przez domenę. W środowisku zarządzanym centralnie lokalna zmiana może zostać nadpisana podczas kolejnej aktualizacji zasad.

Weryfikacja powinna obejmować stan usługi Application Identity, dzienniki zdarzeń związane z blokowaniem aplikacji, zastosowane reguły oraz sposób uruchamiania konkretnego pliku. Warto sprawdzić również, czy problem dotyczy jednego programu, całej grupy aplikacji, jednego konta, czy wszystkich użytkowników. Takie porównanie ułatwia ustalenie, czy przyczyną jest błąd konfiguracji, niespójność zasad, brak odświeżenia ustawień, czy działanie innego mechanizmu ochronnego.

Typowe problemy i błędy konfiguracyjne - Brak reakcji na nieautoryzowane aplikacje

Częstą przyczyną jest utworzenie reguły, która nie obejmuje rzeczywistej ścieżki pliku. Program może być uruchamiany z katalogu tymczasowego, profilu użytkownika, udziału sieciowego albo innej lokalizacji niż ta wskazana w konfiguracji. Podobny efekt występuje po aktualizacji aplikacji, gdy zmienia się jej wydawca, identyfikator pakietu lub sposób instalacji. Reguła oparta na skrócie, nazwie pliku albo ścieżce może wtedy nie odpowiadać nowej wersji programu.

Problematyczne bywają również reguły wyjątków. Zezwolenie dla określonego folderu może umożliwić uruchomienie plików, które nie powinny być dopuszczone, a reguła przypisana do grupy użytkowników może nie obejmować konta używanego podczas testu. Niekiedy blokowane są tylko pliki wykonywalne, podczas gdy aplikacja startuje przez skrypt, usługę pomocniczą lub inny komponent. W takiej sytuacji kontrola jednego typu pliku nie daje pełnego obrazu działania zabezpieczenia.

Do błędnej oceny sytuacji prowadzi także pomijanie dzienników systemowych. Brak komunikatu na ekranie nie oznacza, że system nie zarejestrował zdarzenia. Wpisy mogą wskazywać na odrzuconą regułę, brak uprawnień, problem z usługą albo próbę uruchomienia pliku o innym typie niż zakładany w polityce. Znaczenie ma również testowanie z właściwego konta i po ponownym zastosowaniu zasad, ponieważ wcześniejsza sesja może nie odzwierciedlać aktualnej konfiguracji.

Przed zmianą reguł należy ustalić, czy celem jest blokowanie nieznanych programów, dopuszczanie wyłącznie zatwierdzonych aplikacji, czy ograniczenie uruchamiania określonego pliku. Zbyt szeroka korekta może odblokować więcej elementów, niż przewidziano, natomiast przypadkowe usunięcie reguły może utrudnić późniejsze odtworzenie zamierzonego poziomu ochrony.

Kiedy warto skorzystać z pomocy serwisu - Brak reakcji na nieautoryzowane aplikacje

Zgłoszenie do serwisu jest uzasadnione, gdy nieautoryzowana aplikacja uruchamia się mimo prawidłowo wyglądającej polityki, ustawienia samoczynnie wracają do wcześniejszego stanu albo nie można ustalić, która reguła odpowiada za obserwowane zachowanie. Pomoc techniczna może obejmować analizę dzienników, sprawdzenie usługi Application Identity, porównanie zasad lokalnych i domenowych oraz kontrolowane odtworzenie problemu na konkretnym koncie użytkownika.

Warto przekazać informacje o nazwie aplikacji, sposobie jej uruchamiania, użytkowniku, na którym występuje problem, oraz o tym, czy inne programy podlegają tej samej polityce. Przydatne są również komunikaty systemowe, czas wystąpienia zdarzenia i informacja o ostatnich zmianach konfiguracji. Tak przygotowane zgłoszenie ułatwia odróżnienie błędu AppLocker od problemu z uprawnieniami, usługą systemową, instalacją programu lub innym zabezpieczeniem Windows.

W Warszawie takie przypadki można skierować do serwisu laptopów i komputerów PC działającego pod nazwą Warszawskie Pogotowie Komputerowe 24/7; naprawy realizowane są zazwyczaj w ciągu najwyżej 3 dni roboczych. Po zakończeniu diagnostyki można otrzymać wyjaśnienie przyczyny oraz zalecenia dotyczące bezpiecznego ustawienia reguł, tak aby ograniczyć uruchamianie niezatwierdzonych aplikacji bez zakłócania pracy potrzebnych programów.