Windows软件限制规则的权限分配及继承

对于Windows的组策略，也许大家使用的更多的只是“管理模板”里的各项功能。对于“软件限制策略”相信用过的朋友们不是很多。

软件限制策略如果用的好的话，相信可以和某些HIPS类软件相类比了。如果再结合NTFS权限和注册表权限，完全可以实现系统的全方位的安全配置，同时由于这是系统内置的功能，与系统无缝结合，不会占用额外的CPU及内存资源，更不会有不兼容的现象，由于其位于系统的最底层，其拦截能力也是其它软件所无法比拟的，不足之处则是其设置不够灵活和智能，不会询问用户。下面我们就来全面的了解一下软件限制策略。

本系列文章将从以下几方面为重点来进行讲解：

·概述
·附加规则和安全级别
·软件限制策略的优先权
·规则的权限分配及继承
·如何编写规则
·示例规则

今天我们介绍Windows的组策略中软件限制规则的权限分配及继承。

这里的讲解的一个前提是：假设你的用户类型是管理员。

在没有软件限制策略的情况下，如果程序a启动程序b，那么a是b的父进程，b继承a的权限。

现在把a设为基本用户，b不做限制（把b设为不受限或者不对b设置规则效果是一样的）然后由a启动b，那么b的权限继承于a，也是基本用户，即:

a（基本用户）-> b（不受限的） = b（基本用户）
    若把b设为基本用户，a不做限制，那么a启动b后，b仍然为基本用户权限，即
a（不受限的）-> b（基本用户） = b（基本用户）

可以看到，一个程序所能获得的最终权限取决于：父进程权限 和 规则限定的权限 的最低等级，也就是我们所说的最低权限原则

举一个例子：
若我们把IE设成基本用户等级启动，那么由IE执行的任何程序的权限都将不高于基本用户级别，只能更低。所以就可以达到防范网马的效果——即使IE下载病毒并执行了，病毒由于权限的限制，无法对系统进行有害的更改，如果重启一下，那么病毒就只剩下尸体了。

甚至，我们还可以通过NTFS权限的设置，让IE无法下载和运行病毒，不给病毒任何的机会。   

这里，我们来看一下NTFS的权限（这里的权限是NTFS权限，与规则无关）。NTFS的所有权限如下：
遍历文件夹/运行文件  （遍历文件夹可以不管，主要是“运行文件”，若无此权限则不能启动文件，相当于AD的运行应用程序）
允许或拒绝用户在整个文件夹中移动以到达其他文件或文件夹的请求，即使用户没有遍历文件夹的权限（仅适用于文件夹）。

列出文件夹/读取数据
允许或拒绝用户查看指定文件夹内文件名和子文件夹名的请求。它仅影响该文件夹的内容，而不影响您对其设置权限的文件夹是否会列出（仅适用于文件夹）。

读取属性
允许或拒绝查看文件中数据的能力（仅适用于文件）。

读取扩展属性
允许或拒绝用户查看文件或文件夹属性（例如只读和隐藏）的请求。属性由 NTFS 定义。

创建文件/写入数据
“创建文件”允许或拒绝在文件夹中创建文件（仅适用于文件夹）。“写入数据”允许或拒绝对文件进行修改并覆盖现有内容的能力（仅适用于文件）。

创建文件夹/追加数据
“创建文件夹”允许或拒绝用户在指定文件夹中创建文件夹的请求（仅适用于文件夹）。“追加数据”允许或拒绝对文件末尾进行更改而不更改、删除或覆盖现有数据的能力（仅适用于文件）。

写入属性
允许或拒绝用户对文件末尾进行更改，而不更改、删除或覆盖现有数据的请求（仅适用于文件）。  即写操作。

写入扩展属性
允许或拒绝用户更改文件或文件夹属性（例如只读和隐藏）的请求。属性由 NTFS 定义。

删除子文件夹和文件
允许或拒绝删除子文件夹和文件的能力，即使子文件夹或文件上没有分配“删除”权限（适用于文件夹）。

删除 （与上面的区别是，这里除了子目录及其文件，还包括了目录本身）
允许或拒绝用户删除子文件夹和文件的请求，即使子文件夹或文件上没有分配“删除”权限（适用于文件夹）。

读取权限 （NTFS权限的查看）
允许或拒绝用户读取文件或文件夹权限（例如“完全控制”、“读取”和“写入”）的请求。

更改权限 （NTFS权限的修改）
允许或拒绝用户更改文件或文件夹权限（例如“完全控制”、“读取”和“写入”）的请求。

取得所有权
允许或拒绝取得文件或文件夹的所有权。文件或文件夹的所有者始终可以更改其权限，而不论用于保护该文件或文件夹的现有权限如何。

在系统默认的NTFS权限下，基本用户对于windows\program files目录只有  遍历文件夹/运行文件、列出文件夹/读取属性、读取扩展属性、读取权限这四项权限，对于documents and settings目录，仅对其所有的目录有完全控制的权限，其它目录只读？

我们的规则里面所说到的基本用户、受限用户，基本上等同于 NTFS 权限里的 USERS 组，但受限用户受到的限制更多，不管NTFS权限如何，其始终受到限制。