Блокировка приложений в Windows 10 через групповую политику¶

Блокировка приложения в Windows 10 — ограничение запуска определённых программ на компьютере, управляемое администратором системы через средства групповой политики, реестр Windows или инструменты центра управления. Такая мера применяется в корпоративных и образовательных сетях для предотвращения несанкционированного запуска нежелательного программного обеспечения.

¶Средства блокировки

¶Групповая политика (gpedit.msc)

Основной инструмент администратора — оснастка «Локальная групповая политика» (gpedit.msc), доступная в редакциях Windows 10 Pro, Enterprise и Education. Блокировка выполняется через ветку «Конфигурация компьютера → Конфигурация Windows → Настройки безопасности → Политики контроля учётных записей → Правило выполнения программ».

Порядок действий:

1. Запуск оснастки gpedit.msc от имени администратора.
2. Переход к узлу «Правило выполнения программ».
3. Включение политики «Только разрешённые приложения».
4. Добавление списка разрешённых или запрещённых программ.

Политика поддерживает два режима: «Только разрешённые программы» (всё заблокировано, кроме внесённых в список) и «Только запрещённые программы» (заблокированы только указанные приложения). Путь к исполняемому файлу указывается вручную либо выбирается через обзор.

¶Реестр Windows

Аналогичная настройка выполняется через редактор реестра (regedit). Ответственные параметры находятся в ветках:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers

Параметр DefaultLevel (тип DWORD) задаёт уровень разрешения по умолчанию: 0x00000000 — разрешить, 0x00040000 — запретить. Параметр PolicyScope определяет область применения (все пользователи или только текущий). Подраздел 0\Paths содержит правила для путей к файлам, 0\Hash — для правил на основе хеша исполняемого файла.

¶AppLocker

AppLocker — расширенная технология контроля программ, доступная в корпоративных редакциях Windows 10. В отличие от простого правила выполнения программ, AppLocker позволяет блокировать приложения по нескольким признакам:

Правила AppLocker настраиваются через оснастку secpol.msc или консоль MMC. Для массового развёртывания используются групповые политики домена.

¶Политики AppLocker через PowerShell

Администраторы могут управлять AppLocker из командной строки PowerShell:

``powershell Get-AppLockerPolicy -Effective | Test-AppLockerPolicy -Path "C:\Program Files\App\app.exe" New-AppLockerPolicy -RuleType Publisher -User Everyone -Path "C:\Rules\rules.xml" Set-AppLockerPolicy -PolicyObject $policy ``

¶Причины блокировки

Администратор блокирует приложение в Windows 10 по ряду типичных причин:

• Корпоративная политика безопасности — запрет программ, не прошедших проверку службы информационной безопасности.
• Лицензионные ограничения — предотвращение несанкционированного использования нелегального ПО.
• Продуктивность — ограничение доступа к играм и социальным сетям в рабочее время.
• Защита от вредоносного ПО — блокировка исполняемых файлов с подозрительным хешем.
• Соответствие требованиям — выполнение нормативов по защите персональных данных (152-ФЗ в России).

¶Что видит пользователь

При попытке запустить заблокированное приложение Windows 10 отображает системное сообщение: «Это приложение заблокировано вашим системным администратором» (в англоязычных версиях — «This app has been blocked by your system administrator»). Окно сопровождается синим экраном предупреждения с иконкой щита. Пользователь не может обойти ограничение без прав администратора.

¶Снятие блокировки

Разблокировка выполняется администратором теми же инструментами:

1. В gpedit.msc — удаление приложения из списка запрещённых либо добавление в список разрешённых.
2. В реестре — удаление соответствующего ключа в ветке Safer\CodeIdentifiers.
3. В AppLocker — изменение или удаление правила, после чего применяется gpupdate /force.

После внесения изменений политика применяется немедленно либо после обновления групповых политик командой gpupdate /force или перезагрузки компьютера.

¶Обход блокировки

Пользователь без прав администратора не может снять ограничение стандартными средствами. Попытки обхода — переименование исполняемого файла, запуск через командную строку или использование портативных версий — не работают, если правила настроены по издателю или хешу. Запуск от имени другого администратора возможен только при наличии соответствующих полномочий в домене.

¶Ограничения

В редакции Windows 10 Home оснастка gpedit.msc отсутствует, поэтому настройка блокировки выполняется только через реестр или сторонние утилиты, добавляющие оснастку. Политики AppLocker недоступны в Home и Pro без подключения к домену Active Directory.

¶Источники

• Документация Microsoft Learn: настройка AppLocker и правил выполнения программ
• Справка Windows 10: политики контроля учётных записей
• Техническая документация по реестру Windows (Windows SDK)