Chính sách nâng quyền phần mềm

Nâng quyền phần mềm gán danh tính chạy cho phần mềm được chỉ định để phần mềm khớp có thể chạy dưới danh tính đó mà không thêm trực tiếp người dùng vào nhóm quản trị viên cục bộ. Việc thực thi trên thiết bị được mô tả ở đây chỉ giới hạn ở Windows; cần xác minh riêng các nền tảng khác.

Nâng quyền làm tăng khả năng thao tác của phần mềm. Hãy giới hạn tệp thực thi và thiết bị mục tiêu, dùng danh tính được tổ chức phê duyệt và xác minh trước trên thiết bị thử nghiệm. Lưu chính sách, thiết bị nhận chính sách và chạy dưới danh tính mong muốn là các trạng thái riêng.

Xem quản lý danh tính tại Quản lý danh tính chạy.

Chuẩn bị

• Xác nhận người cấu hình có quyền quản lý chính sách Software và có thể xem, chọn danh tính chạy. Khi cần tạo hoặc sửa danh tính, người có quyền quản lý danh tính tương ứng thực hiện. Xác định thiết bị đích, phần mềm nghiệp vụ và quyền cần thiết.
• Lấy vị trí cài đặt đáng tin cậy, tên sản phẩm và SHA-256 của tệp. Phân công người duy trì thông tin này khi cập nhật phần mềm và kiểm tra trước trên thiết bị thử nghiệm ngoài môi trường sản xuất.
• Chọn danh tính chạy theo nguyên tắc đặc quyền tối thiểu. Với tài khoản có đặc quyền cao, đánh giá rủi ro từ phần mềm, các thành phần có thể tải, cấu hình và cơ chế cập nhật. Không dùng quy tắc rộng cho phần mềm không đáng tin cậy.
• Chỉ nhập và duy trì thông tin xác thực theo quy trình được tổ chức phê duyệt. Không đặt chúng trong tài liệu, phiếu, ảnh chụp màn hình hoặc trao đổi không liên quan.

Chuẩn bị danh tính chạy

Mở Objects & Templates và chọn Run Identities. Kiểm tra danh tính hiện có có phù hợp nhu cầu nghiệp vụ không.

Dùng lại danh tính hiện có nếu phù hợp nghiệp vụ và nguyên tắc quyền tối thiểu. Khi cần tạo hoặc sửa, người có quyền thực hiện theo quản lý danh tính chạy; đánh giá ảnh hưởng tới các chính sách tham chiếu trước khi sửa danh tính dùng chung. Danh tính tích hợp và tài khoản được chỉ định khác nhau về cách chạy và quyền, cần kiểm tra trước khi chọn.

Cấu hình nâng quyền phần mềm

1. Trong Software, mở Policy và tạo hoặc sửa chính sách mục tiêu. Kiểm tra tên, thiết bị mục tiêu và thời gian có hiệu lực.
2. Bật nâng quyền phần mềm, mở cài đặt và thêm quy tắc thực thi.
3. Nhập tên tệp của chương trình mục tiêu hoặc đường dẫn tuyệt đối cục bộ Windows vào trường tệp thực thi. Tên tệp phải kết thúc bằng .exe. Ưu tiên đường dẫn và tệp cụ thể đã xác minh để tránh đưa vào phần mềm khác cùng tên.
4. Nhập giá trị SHA-256 thập lục phân 64 ký tự của tệp; trang cũng chấp nhận *. Dùng * bỏ qua kiểm tra hàm băm tệp cho quy tắc đó. Đánh giá trước rủi ro thay thế tệp và lạm dụng đường dẫn; không nên dùng làm lựa chọn mặc định.
5. Nhập điều kiện tên sản phẩm bổ sung và chọn danh tính chạy đã chuẩn bị. Xác minh thông tin sản phẩm của tệp mục tiêu; điều kiện quá rộng có thể mở rộng phạm vi.
6. Có thể đổi thứ tự quy tắc. Thiết bị Windows kiểm tra lần lượt điều kiện đường dẫn, hàm băm và tên sản phẩm và dùng danh tính của quy tắc đầu tiên khớp. Nếu điều kiện chồng lấn, xem vị trí các quy tắc rộng hơn và thử từng trường hợp.
7. Lưu hộp thoại cài đặt quy tắc rồi lưu toàn bộ chính sách. Sau khi thiết bị thử nghiệm nhận chính sách, kiểm tra phần mềm chạy theo yêu cầu và xác minh danh tính cùng quyền thực tế.

Nếu danh tính đã chọn thay đổi hoặc không khả dụng trong khi cấu hình, trang có thể yêu cầu chọn lại. Cập nhật phần mềm có thể thay đổi hàm băm tệp. Sau cập nhật, kiểm tra lại quy tắc, nguồn tệp và kết quả thử nghiệm; không bỏ giới hạn hàm băm chỉ để khôi phục việc chạy mà chưa đánh giá rủi ro.

Khi dùng tài khoản được chỉ định, hãy kiểm tra tài khoản còn sử dụng được, đồng hồ thiết bị chính xác và thiết bị kết nối được với nền tảng. Sau thời gian dài ngoại tuyến hoặc khi tài khoản hay chính sách thay đổi, điều kiện chạy trước đó có thể không còn hợp lệ. Nếu không chạy được bằng danh tính chỉ định, hãy kiểm tra các điều kiện này và liên hệ quản trị viên theo quy trình tổ chức; không mặc định mọi trường hợp ngoại tuyến đều nâng quyền được.

Khởi chạy thất bại hoặc kết quả không rõ không nhất thiết nghĩa là chương trình chưa chạy. Trước khi thử lại, hãy kiểm tra chương trình đã khởi động chưa và danh tính thực tế để tránh thực thi trùng lặp, rồi xử lý theo quy trình tổ chức. Một số trường hợp không áp dụng hoặc thất bại có thể thử chạy bằng danh tính ban đầu, hoặc không khởi chạy được. Không coi việc cửa sổ xuất hiện là bằng chứng nâng quyền thành công.

Nếu chỉ nhập tên tệp thực thi, các chương trình cùng tên trong những thư mục cục bộ khác nhau đều có thể khớp điều kiện đường dẫn. Điều kiện bổ sung về tên sản phẩm của quy tắc mới ban đầu là *; giữ * sẽ bỏ qua kiểm tra tên sản phẩm. Dùng tên tệp cùng * cho cả mã băm và tên sản phẩm có thể mở rộng đáng kể phạm vi khớp. Hãy ưu tiên đường dẫn cụ thể được bảo vệ, mã băm đã xác minh và tên sản phẩm phù hợp, đồng thời thử riêng một chương trình đối chiếu cùng tên. Các điều kiện này không thay thế việc thẩm định phần mềm và nguồn cập nhật.

Xác minh và khắc phục sự cố

1. Trên thiết bị thử nghiệm, thử cả phần mềm cần khớp và phần mềm đối chiếu không được khớp. Kiểm tra kết quả khởi chạy, danh tính chạy thực tế và hoạt động nghiệp vụ.
2. Không lưu được quy tắc: Xác nhận có ít nhất một quy tắc và kiểm tra đường dẫn .exe, định dạng SHA-256, tên sản phẩm cùng danh tính chạy. Xác nhận danh tính vẫn tồn tại và chọn lại danh tính đã thay đổi nếu trang yêu cầu.
3. Phần mềm không chạy dưới danh tính mong muốn: Kiểm tra phạm vi và việc nhận chính sách, đường dẫn chương trình thực tế, hàm băm, tên sản phẩm và thứ tự quy tắc. Sau đó kiểm tra khả năng sử dụng tài khoản và thông báo trên trang.
4. Hành vi thay đổi sau cập nhật: Kiểm tra phiên bản hoặc hàm băm có thay đổi không. Xác minh nguồn cài đặt và cập nhật quy tắc theo quy trình tổ chức; thử nghiệm lại trước khi mở rộng.
5. Không xóa được danh tính hoặc thay đổi ảnh hưởng chính sách khác: Kiểm tra tham chiếu và hạn chế đối với danh tính tích hợp. Phối hợp với người phụ trách các chính sách bị ảnh hưởng để tránh gián đoạn hoạt động hiện có.

Không đánh giá nâng quyền thành công chỉ dựa vào việc chương trình khởi chạy. Chỉ mở rộng phạm vi sau khi xác minh kết quả và có quy trình khôi phục.