Trả lời nhanh: AppLocker cho phép khai danh sách phần mềm được chạy trên máy công ty, mọi thứ ngoài danh sách bị chặn. Từ bản vá KB 5024351, mọi phiên bản Windows 11 đều thực thi được, gồm cả bản Pro. Bắt đầu ở chế độ chỉ ghi nhận trong vài tuần trước khi bật chặn thật, nếu không bạn sẽ khóa nhầm phần mềm nghiệp vụ.
Nhân viên tự cài phần mềm lạ là đường vào phổ biến nhất của mã độc trong doanh nghiệp. Bài này nói công cụ chặn và cách dùng an toàn.
- Khai danh sách phần mềm được chạy, ngoài danh sách thì chặn.
- Mọi phiên bản Windows 11 đều thực thi được chính sách này, gồm cả bản Pro, kể từ bản vá KB 5024351.
- Luôn chạy ở chế độ chỉ ghi nhận vài tuần trước khi chặn thật.
- Quy tắc theo nhà phát hành bền hơn quy tắc theo đường dẫn.
- Không cấp quyền quản trị cho người dùng vẫn là biện pháp rẻ nhất.
Nó giải quyết vấn đề gì
Ở doanh nghiệp Việt Nam, một trong những đường vào phổ biến nhất của mã độc là nhân viên tự tải và cài phần mềm từ mạng: công cụ nén, công cụ chuyển đổi tệp, phần mềm bẻ khóa, tiện ích tăng tốc.
Phần mềm diệt virus bắt được phần lớn nhưng không bắt được hết, nhất là với mã độc mới.
AppLocker đảo ngược cách tiếp cận: thay vì cố chặn thứ xấu, nó chỉ cho phép thứ đã được duyệt chạy. Mọi thứ khác bị chặn, kể cả thứ chưa ai biết là xấu.
Bản nào có: theo tài liệu của Microsoft, kể từ bản vá KB 5024351, mọi phiên bản Windows 11 đều thực thi được chính sách AppLocker, gồm cả bản Pro. Yêu cầu duy nhất là dịch vụ Application Identity phải đang chạy.
Ba loại quy tắc và nên dùng loại nào
AppLocker nhận diện phần mềm theo ba cách, độ bền khác nhau.
- Theo nhà phát hành. Dựa vào chữ ký số của phần mềm. Đây là loại tốt nhất: phần mềm cập nhật lên bản mới vẫn chạy được vì chữ ký không đổi.
- Theo đường dẫn. Cho phép mọi thứ trong một thư mục. Dễ đặt nhưng yếu nhất, vì ai chép được tệp vào thư mục đó là chạy được. Chỉ dùng cho thư mục mà người dùng thường không ghi được vào.
- Theo mã băm của tệp. Chính xác tuyệt đối nhưng phải cập nhật quy tắc mỗi lần phần mềm lên bản mới. Chỉ dùng cho phần mềm cũ không có chữ ký số và hiếm khi cập nhật.
Thứ tự ưu tiên: nhà phát hành trước, đường dẫn cho các thư mục hệ thống, mã băm cho các trường hợp còn lại.
Về phần mềm nghiệp vụ Việt Nam: nhiều phần mềm kế toán và phần mềm ngành không có chữ ký số hợp lệ. Với chúng bạn phải dùng quy tắc theo đường dẫn hoặc mã băm, và phải cập nhật quy tắc mỗi lần nhà cung cấp ra bản mới.
Đây là chi phí vận hành thật, cần tính vào trước khi quyết định triển khai.
Bắt đầu an toàn
Đây là phần quan trọng nhất. Bật chặn ngay là cách chắc chắn để làm cả phòng không làm việc được.
Sáu bước theo thứ tự.
- Tạo quy tắc mặc định trước. AppLocker có bộ quy tắc mặc định cho phép chạy mọi thứ trong thư mục Windows và thư mục Program Files. Không có nó thì máy không khởi động nổi.
- Bật chế độ chỉ ghi nhận. Ở chế độ này AppLocker không chặn gì, chỉ ghi vào nhật ký những gì sẽ bị chặn nếu bật thật.
- Chạy chế độ đó ít nhất hai tới bốn tuần. Đủ dài để bắt được cả các phần mềm chỉ dùng vào cuối tháng, chẳng hạn phần mềm khai thuế.
- Đọc nhật ký và bổ sung quy tắc cho mọi phần mềm hợp lệ mà nó ghi nhận.
- Bật chặn thật cho một nhóm nhỏ trước, chẳng hạn một phòng ban ít phần mềm đặc thù.
- Mở rộng dần, mỗi đợt một phòng, cách nhau vài ngày.
Bước ba là bước hay bị rút ngắn nhất và cũng là nguyên nhân của phần lớn sự cố khi triển khai.
Bẫy thường gặp
Bốn thứ hay làm hỏng đợt triển khai.
- Phần mềm chỉ chạy vào cuối tháng hoặc cuối quý. Nếu bạn ghi nhận trong hai tuần giữa tháng, chúng không xuất hiện trong nhật ký. Rồi tới ngày cuối tháng cả phòng kế toán không làm việc được.
- Phần mềm tự cập nhật. Bản mới có mã băm khác. Nếu quy tắc theo mã băm thì phần mềm ngừng chạy sau khi cập nhật.
- Phần mềm chạy từ thư mục người dùng. Một số phần mềm cài vào thư mục cá nhân chứ không vào Program Files. Quy tắc mặc định không phủ chỗ đó.
- Tệp lệnh và macro. AppLocker kiểm soát được cả tệp lệnh, và nếu bật chặn quá rộng thì các tệp lệnh nội bộ của công ty cũng bị chặn.
Cách phòng: trước khi bật chặn, hỏi từng phòng ban liệt kê mọi phần mềm họ dùng, gồm cả thứ chỉ dùng định kỳ. Danh sách đó luôn dài hơn bạn tưởng.
Và luôn có đường lùi: biết cách tắt AppLocker nhanh qua chính sách nhóm, và có một tài khoản quản trị không bị áp quy tắc.
Với bản Pro và các cách thay thế
Nếu công ty dùng bản Pro thông thường, ba cách đạt hiệu quả gần tương đương.
- Không cấp quyền quản trị cho người dùng. Đây là biện pháp rẻ nhất và hiệu quả nhất. Không có quyền quản trị thì phần lớn phần mềm không cài được. Nhiều công ty bỏ qua bước này rồi đi tìm giải pháp phức tạp hơn.
- Bật chế độ chỉ cho phép ứng dụng từ cửa hàng trong cài đặt ứng dụng của Windows. Chặt nhưng đơn giản, hợp với máy dùng cho một nhiệm vụ hẹp.
- Dùng tính năng kiểm soát ứng dụng thông minh mà Microsoft cung cấp. Nó dựa trên đánh giá độ tin cậy của Microsoft thay vì danh sách bạn tự khai. Ít việc hơn nhưng cũng ít kiểm soát hơn.
Với doanh nghiệp nhỏ, thứ tự đáng làm là: bỏ quyền quản trị của người dùng trước, xem còn vấn đề gì không, rồi mới tính tới các công cụ phức tạp hơn.
Rất nhiều tổ chức phát hiện ra rằng bước một đã giải quyết chín phần mười vấn đề, mà không tốn thêm đồng nào và không cần nâng cấp giấy phép.
Đính chính quan trọng: mọi bản Windows 11 đều thực thi được AppLocker
Thông tin phổ biến trên mạng nói AppLocker chỉ có ở bản Enterprise và Education. Điều đó không còn đúng. Theo tài liệu yêu cầu của Microsoft, nguyên văn: kể từ bản vá KB 5024351, Windows 10 phiên bản 2004 trở lên và mọi phiên bản Windows 11 không còn yêu cầu một bản Windows cụ thể để thực thi chính sách AppLocker.
Nghĩa là công ty đang dùng Windows 11 Pro vẫn dùng được AppLocker, không cần nâng lên Enterprise chỉ vì tính năng này. Đây là thay đổi đáng tiền cho doanh nghiệp vừa và nhỏ ở Việt Nam.
Lưu ý về cách triển khai: với các bản Windows cũ hơn 2004, chính sách đẩy qua chính sách nhóm chỉ chạy trên bản Enterprise, còn đẩy qua công cụ quản lý thiết bị thì chạy trên mọi bản.
Bật chế độ chỉ ghi nhận, từng bước
# 1. Dich vu can chay
Set-Service -Name AppIDSvc -StartupType Automatic
Start-Service AppIDSvc
# 2. Mo trinh quan ly chinh sach
secpol.msc
# Application Control Policies > AppLocker > chuot phai > Properties
# Tich Configured cho Executable rules, chon Audit only
# 3. Tao bo quy tac mac dinh
# Chuot phai Executable Rules > Create Default Rules
# (cho phep chay tu Program Files, Windows, va quan tri vien chay moi thu)
# 4. Sau vai tuan, doc nhat ky xem thu gi se bi chan
Get-WinEvent -LogName "Microsoft-Windows-AppLocker/EXE and DLL" -MaxEvents 200 |
Where-Object { $_.Id -eq 8003 } |
Group-Object { $_.Properties[9].Value } | Sort Count -Descending |
Select Count, Name -First 20Mã sự kiện 8003 nghĩa là tệp này sẽ bị chặn nếu bật chế độ thật. Danh sách trên chính là thứ bạn phải xem xét: cái nào là phần mềm nghiệp vụ hợp lệ thì thêm quy tắc cho phép, cái nào lạ thì để nguyên cho bị chặn. Mã 8004 là đã bị chặn thật khi ở chế độ thực thi.
Ba loại quy tắc, độ bền khác nhau
| Loại | Cách nhận diện | Độ bền | Khi nào dùng |
|---|---|---|---|
| Theo nhà phát hành | Chữ ký số của hãng phần mềm | Cao nhất, phần mềm cập nhật vẫn chạy | Mặc định nên dùng. Chỉ áp dụng được với phần mềm có ký số |
| Theo đường dẫn | Vị trí tệp trên ổ | Thấp | Chỉ dùng cho thư mục do quản trị viên kiểm soát ghi. Người dùng ghi được vào đó là quy tắc vô nghĩa |
| Theo mã băm của tệp | Dấu vân tay của chính tệp đó | Chặt nhất nhưng phải cập nhật lại sau mỗi bản mới | Dùng cho phần mềm nghiệp vụ cũ không có chữ ký số |
Bẫy phổ biến nhất: dùng quy tắc theo đường dẫn cho thư mục mà người dùng ghi được, ví dụ thư mục tải về hoặc thư mục hồ sơ người dùng. Khi đó mã độc chỉ cần tự chép vào đúng chỗ đó là chạy được.
Biện pháp rẻ nhất vẫn nên làm trước
- Không cấp quyền quản trị cho tài khoản dùng hằng ngày. Việc này chặn phần lớn phần mềm cài lén mà không tốn đồng nào và không cần cấu hình gì.
- Bật bảo vệ chống giả mạo và các quy tắc giảm bề mặt tấn công trong Microsoft Defender. Chúng chặn các kiểu chạy mã phổ biến của mã độc.
- Với công ty đã có Intune, đẩy chính sách kiểm soát ứng dụng từ đó thay vì cấu hình tay từng máy, và bạn có sẵn báo cáo tập trung về thứ bị chặn.
Câu hỏi thường gặp
Windows 11 Pro có AppLocker không
Có. Kể từ bản vá KB 5024351, mọi phiên bản Windows 11 thực thi được chính sách AppLocker. Vẫn nên kết hợp với việc không cấp quyền quản trị cho tài khoản dùng hằng ngày.
Bật AppLocker có làm chậm máy không
Không đáng kể trong sử dụng thông thường. Chi phí thật nằm ở công sức duy trì danh sách quy tắc, không ở hiệu năng.
Chạy chế độ chỉ ghi nhận bao lâu là đủ
Ít nhất hai tới bốn tuần, và phải bao gồm một kỳ cuối tháng. Nhiều phần mềm nghiệp vụ chỉ chạy vào thời điểm đó và sẽ không xuất hiện trong nhật ký nếu bạn ghi nhận quá ngắn.
Phần mềm không có chữ ký số thì chặn thế nào
Dùng quy tắc theo đường dẫn hoặc theo mã băm. Quy tắc mã băm phải cập nhật mỗi lần phần mềm lên bản mới, đó là chi phí vận hành cần tính trước.
