Restringir la instalacion de software mediante políticas de grupo en Windows

En la administración de un entorno Windows es muy útil, casi imprescindible, implementar directivas de grupo que nos ayuden a establecer configuraciones en las máquinas de la red de forma centralizada. A continuación explicaremos cómo implementar una de las políticas, que desde mi punto de vista, es una de las más importantes si queremos que las estaciones de trabajo de nuestra red no se conviertan alojamiento de cuanto software cae en manos de nuestros usuarios; estamos hablando de una política que se encarga de prohibir la instalación deliberada de software en las PCs. Para el desarrollo de este artículo se utilizaron servidores de dominio instalados con Windows 2003 Enterprise Server y la consola para la Administración de las políticas de grupo para hacer más cómoda la manipulación de las mismas en este sistema operativo. Vayamos entonces a la parte práctica del asunto. Asumiendo que ya tenemos instalada en nuestro servidor la consola de administración de políticas de grupo (GPMC) podremos abrirla desde las Herramientas Administrativas que se encuentran en el Panel de Control. Una vez abierta debemos crear una nueva política haciendo clic derecho en el elemento Objetos de directiva de grupo del árbol que se muestra a la izquierda cuando seleccionamos el dominio en el que vamos a trabajar. Creada la nueva política la abrimos haciendo clic derecho sobre ella y luego seleccionamos la opción Editar del menú contextual. Con la directiva abierta nos movemos por el árbol de la izquierda hasta la rama: Configuración de usuario > Configuración de Windows > Configuración de seguridad > Directivas de restricción de software. En esta última carpeta hacemos clic derecho y seleccionamos la opción Nuevas directivas de restricción de software para crear una nueva plantilla; en la que deberemos eliminar el contenido de la carpeta Reglas adicionales, que crea el sistema automáticamente. Luego de borrar su contenido debemos hacer clic derecho en la carpeta Reglas adicionales y seleccionar la opción Regla de nueva ruta. En la ventana que nos mostrará debemos definir en el cuadro de texto Ruta de acceso el valor *setu* y en el Nivel de seguridad debe estar seleccionada la opción No permitido. Aceptamos las opciones y tendremos nuestra primer restricción de software. Luego debemos hacer el mismo proceso pero definiendo la Ruta de acceso con el valor *instal*, quedando como se muestra a continuación en la imagen. Para hacer efectiva la política sólo nos queda vincularla a la unidad organizativa que se aplicará. Teniendo en cuenta que será funcional sólo para los usuarios que estén dentro de la OU que enlacemos, no así para los equipos. Con esta directiva estaremos diciéndole al sistema operativo que no permita la ejecución de archivos que contengan las palabras instal o setu en cualquier parte del nombre. Como seguramente está imaginando con solo cambiar el nombre del ejecutable se salta esta política, por lo que ésta se complementa con la acción de establecer a los usuarios que se aplicará la directiva sólo como miembros del grupo Usuarios para evitar que el sistema operativo les de acceso de escritura en la carpeta %PROGRAMFILES% donde se guardan las instalaciones de los programas.

Twittear

Artículos relacionados