Documentazione tecnica per programma di installazione gestito e ISG e guida alla risoluzione dei problemi

Nota

Alcune funzionalità di Controllo delle applicazioni per le aziende sono disponibili solo in versioni specifiche di Windows. Altre informazioni sulla disponibilità della funzionalità Controllo app.

Informazioni sulle attestazioni di origine

Quando il programma di installazione gestito o Intelligent Security Graph (ISG) autorizza un file, Controllo app registra il motivo per cui quel file è attendibile aggiungendo un attributo esteso gestito dal kernel (EA) al file. Nota come attestazione di origine, l'EA acquisisce l'origine della reputazione del file, in modo che l'integrità del codice possa valutare il file in un secondo momento senza ricontrollare l'origine originale. La rivendicazione dell'origine si chiama $KERNEL.SMARTLOCKER.ORIGINCLAIM. Un'attestazione di origine registra cosa ha scritto il file, indica che il processo che ha scritto il file è stato considerato attendibile come programma di installazione gestito o in base alla reputazione e se l'attendibilità è stata ereditata da un padre. Puoi usare il fsutil comando per visualizzare questo EA su un file. Per i passaggi esatti, vedere Utilizzo di fsutil per eseguire query sugli attributi estesi per il programma di installazione gestito (MI).

  • Origine del programma di installazione gestito: Il file è stato scritto da un processo considerato attendibile dai criteri come programma di installazione gestito (ad esempio, uno strumento di distribuzione come Microsoft Configuration Manager o Microsoft Intune). Questa attendibilità si basa sul modo in cui il file è arrivato sul dispositivo, non sulle proprietà, le firme o il valore hash del file. Per altre informazioni, vedere Considerazioni sulla sicurezza con il programma di installazione gestito.
  • Origine di Intelligent Security Graph (ISG): Il file ha ricevuto una risposta di reputazione favorevole o ha ereditato la risposta di reputazione favorevole dal processo padre, ovvero un programma di installazione che ha creato il file. Queste risposte sulla reputazione provengono dai servizi di intelligence sulla sicurezza di Microsoft chiamati Intelligent Security Graph. La reputazione è associata al file specifico, quindi se il file viene modificato, la reputazione non è più applicabile e la dichiarazione di origine non viene più onorata. In questo caso, il file viene rivalutato da Controllo app alla successiva esecuzione. Per altre informazioni, vedere Autorizzare app affidabili con Intelligent Security Graph (ISG).

Le attestazioni di origine si propagano lungo un albero di processo. Quando un programma di installazione gestito è in esecuzione o quando un programma di installazione riceve una risposta di reputazione del programma di installazione attendibile dall'ISG, passa un'attendibilità equivalente ai file scritti e ai processi figlio avviati. Questa fiducia continua a fluire lungo l'albero del processo attivo attraverso i processi figlio, i loro figli e le generazioni successive, in modo che tutti i file di cui un programma di installazione ha bisogno per installare ed eseguire un'app siano autorizzati.

La propagazione non è illimitata. Termina quando la struttura ad albero del processo attendibile si interrompe, inclusi i casi seguenti:

  • Il processo di installazione originale termina. L'ambito dell'attendibilità è la durata dell'albero del processo attendibile. Un file creato dopo la chiusura del programma di installazione gestito originale o del processo del programma di installazione attendibile ISG non eredita la propria attestazione di origine. Nei dati dell'attributo esteso, tale file è contrassegnato come "figlio di un bambino" e non è autorizzato per l'esecuzione autonomamente, ma deve essere consentito con altri mezzi, ad esempio una regola esplicita, l'origine del programma di installazione gestito o la reputazione ISG.
  • Un processo attraversa un confine di sicurezza. Se un processo viene generato in un contesto di protezione o utente diverso, il processo padre può passare la propria attestazione di origine al processo figlio. In caso contrario, l'albero del processo viene interrotto e tutti i file creati dal processo figlio o dai suoi figli non sono autorizzati in base alla rivendicazione di origine del processo iniziale.

Dopo che l'albero del processo si interrompe per qualsiasi motivo, tutti i file creati devono essere autorizzati con altri mezzi, incluso se vengono eseguiti come programma di installazione gestito o ricevono una risposta di reputazione del programma di installazione attendibile dall'ISG.

Abilitazione del programma di installazione gestito e degli eventi di registrazione ISG (Intelligent Security Graph)

Per informazioni sull'abilitazione degli eventi di diagnostica del programma di installazione gestito facoltativo, fare riferimento a Informazioni sugli eventi di controllo delle app .

Uso di fsutil per eseguire query sugli attributi estesi per il programma di installazione gestito (MI)

I clienti che usano Controllo app per le aziende con il programma di installazione gestito abilitato possono usare fsutil.exe per determinare se un file è stato creato da un processo di installazione gestito. Questa verifica viene eseguita eseguendo una query sugli attributi estesi (EA) in un file usando fsutil.exe e cercando il KERNEL. SMARTLOCKER. ORIGINCLAIM EA. È quindi possibile utilizzare i dati della prima riga di output per identificare se il file è stato creato da un programma di installazione gestito. Ad esempio, esaminiamo l'output fsutil.exe per un file denominato application.exe:

Esempio:

fsutil.exe file queryEA C:\Users\Temp\Downloads\application.exe

Extended Attributes (EA) information for file C:\Users\Temp\Downloads\application.exe:

Ea Buffer Offset: 410
Ea Name: $KERNEL.SMARTLOCKER.ORIGINCLAIM
Ea Value Length: 7e
0000: 01 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 ................
0010: b2 ff 10 66 bc a8 47 c7 00 d9 56 9d 3d d4 20 2a ...f..G...V.=. *
0020: 63 a3 80 e2 d8 33 8e 77 e9 5c 8d b0 d5 a7 a3 11 c....3.w.\......
0030: 83 00 00 00 00 00 00 00 5c 00 00 00 43 00 3a 00 ........\...C.:.
0040: 5c 00 55 00 73 00 65 00 72 00 73 00 5c 00 6a 00 \.U.s.e.r.s.\.T.
0050: 6f 00 67 00 65 00 75 00 72 00 74 00 65 00 2e 00 e.m.p..\D.o.w.n...
0060: 52 00 45 00 44 00 4d 00 4f 00 4e 00 44 00 5c 00 l.o.a.d.\a.p.p.l.
0070: 44 00 6f 00 77 00 6e 00 6c 00 6f 00 61 00 64 i.c.a.t.i.o.n..e.x.e

Nell'output visualizzato sopra, trovare la prima riga di dati con etichetta "0000:", seguita da 16 set di due caratteri. Ogni quattro serie formano un gruppo noto come ULONG. Il set di due caratteri nella parte anteriore del primo ULONG sarà sempre "01" come mostrato di seguito:

0000: 01 00 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00

Se c'è "00" nella quinta posizione dell'output (l'inizio del secondo ULONG), ciò indica che l'EA è correlato al programma di installazione gestito:

0000: 01 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00

Infine, il set di due caratteri nella nona posizione dell'output (l'inizio del terzo ULONG) indica se il file è stato creato da un processo in esecuzione come programma di installazione gestito. Il valore "00" indica che il file è stato scritto direttamente da un processo di installazione gestito e verrà eseguito se il criterio Controllo app considera attendibili i programmi di installazione gestiti.

0000: 01 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00 00

Se invece il valore iniziale per il terzo ULONG è "02", allora indica un "figlio del bambino". "Child of child" è impostato su tutti i file creati da qualcosa che è stato installato da un programma di installazione gestito. Tuttavia, il file è stato creato dopo che il programma di installazione gestito ha completato il suo lavoro. L'esecuzione di questo file non può quindi essere eseguita a meno che non sia presente un'altra regola nei criteri che lo consenta.

In rari casi, potrebbero essere presenti altri valori in questa posizione, ma verranno eseguiti anche se il criterio considera attendibile il programma di installazione gestito.

Uso di fsutil per eseguire query sugli attributi estesi per Intelligent Security Graph (ISG)

Quando viene eseguito un programma di installazione che ha una buona reputazione in base all'ISG, i file che il programma di installazione scrive su disco erediteranno la reputazione dal programma di installazione. Questi file con attendibilità ereditata ISG avranno anche il KERNEL. SMARTLOCKER. ORIGINCLAIM EA impostato come descritto in precedenza per i programmi di installazione gestiti. È possibile identificare che l'EA è stato creato dall'ISG cercando il valore "01" nella quinta posizione dell'output (l'inizio del secondo ULONG) da fsutil:

0000: 01 00 00 00 01 00 00 00 00 00 00 00 01 00 00 00 00

Altri passaggi per la risoluzione dei problemi relativi al programma di installazione gestito e ISG

Sia il programma di installazione gestito che ISG dipendono da AppLocker per fornire alcune funzionalità. Usare la procedura seguente per verificare che AppLocker sia configurato e in esecuzione correttamente.

  1. Verificare che i servizi AppLocker siano in esecuzione. Da una finestra di PowerShell con privilegi elevati esegui i comandi seguenti e conferma che STATE sia visualizzato come RUNNING per entrambi appidsvc e AppLockerFltr:

    sc.exe query appidsvc
    SERVICE_NAME: appidsvc
    TYPE               : 30  WIN32
    STATE              : 4  RUNNING
                            (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
    WIN32_EXIT_CODE    : 0  (0x0)
    SERVICE_EXIT_CODE  : 0  (0x0)
    CHECKPOINT         : 0x0
    WAIT_HINT          : 0x0
sc.exe query AppLockerFltr
    SERVICE_NAME: applockerfltr
    TYPE               : 1  KERNEL_DRIVER
    STATE              : 4  RUNNING
                            (STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
    WIN32_EXIT_CODE    : 0  (0x0)
    SERVICE_EXIT_CODE  : 0  (0x0)
    CHECKPOINT         : 0x0
    WAIT_HINT          : 0x0

    In caso contrario, esegui appidtel start dalla finestra di PowerShell con privilegi elevati e ricontrolla.

  2. Per il programma di installazione gestito, verificare la presenza di AppCache.dat e altri *. File di AppLocker creati in %windir%\System32\AppLocker. Dovrebbe esserci almeno un ". AppLocker" creato per ognuna delle raccolte di regole EXE, DLL e MANAGEDINSTALLER. Se non vengono creati questi file, passare al passaggio successivo per verificare che i criteri di AppLocker siano stati applicati correttamente.

  3. Per la risoluzione dei problemi del programma di installazione gestito, verificare che i criteri validi per AppLocker siano corretti. Da una finestra di PowerShell con privilegi elevati:

    Get-AppLockerPolicy -Effective -XML > $env:USERPROFILE\Desktop\AppLocker.xml

    Quindi, aprire il file XML creato e verificare che contenga le regole previste. In particolare, il criterio deve includere almeno una regola per ogni raccolta di regole EXE, DLL e MANAGEDINSTALLER. RuleCollections può essere impostato su AuditOnly o Enabled, a seconda che si voglia che AppLocker controlli o applichi le regole. Inoltre, le RuleCollections EXE e DLL devono includere la configurazione di RuleCollectionExtensions come illustrato in Consenti automaticamente le app distribuite da un programma di installazione gestito con Controllo delle applicazioni per le aziende.

Timeout di avvio o del servizio quando ci si affida al programma di installazione gestito o all'ISG per i file binari critici per l'avvio

Quando si abilita il rilevamento del programma di installazione gestito o ISG, i file binari critici per l'avvio possono causare ritardi di avvio o timeout di avvio del servizio se il criterio li autorizza solo tramite il rilevamento dell'origine del programma di installazione gestito o la reputazione ISG. Le decisioni relative al programma di installazione gestito e all'autorizzazione ISG non sono sempre disponibili con sufficiente anticipo nel percorso di avvio.

Per ovviare a questo problema, autorizzare i file binari, i servizi e i driver critici per l'avvio necessari all'inizio dell'avvio con regole di autorizzazione esplicite nei criteri di Controllo delle app. Usa regole del firmatario, regole degli attributi di file o regole hash dei file invece di affidarti al programma di installazione gestito o all'ISG per questi file. Per altre informazioni sul comportamento ISG, vedere Usare Controllo delle applicazioni per le aziende con Intelligent Security Graph (ISG).

  • Last updated on