Implementando Lista de Permissões de Aplicativos com AppLocker

Quando Usar

Use esta funcionalidade quando:

• Implementar controle de aplicativos para impedir a execução de software não autorizado em endpoints Windows
• Atender a requisitos de conformidade (PCI DSS 6.4.3, NIST 800-53 CM-7, ACSC Essential Eight)
• Bloquear vetores de ataque comuns: binários "living-off-the-land" (LOLBins), ataques baseados em scripts, ferramentas de administrador não autorizadas
• Restringir a instalação de software em ambientes de quiosque, PDV (Ponto de Venda) ou de alta segurança

Não use esta funcionalidade para controle de aplicativos em macOS/Linux (use ferramentas nativas do sistema operacional como Gatekeeper ou AppArmor) ou para implantações de WDAC (Windows Defender Application Control) de nível empresarial.

Pré-requisitos

• Windows 10/11 Enterprise ou Education, ou Windows Server 2016+
• Serviço de Identidade de Aplicativo (AppIDSvc) habilitado nos endpoints de destino
• Active Directory com Console de Gerenciamento de Política de Grupo (GPMC)
• Inventário completo de aplicativos de software aprovado
• OU de teste com endpoints representativos para validação de política

Fluxo de Trabalho

Etapa 1: Inventariar Aplicativos Aprovados

Antes de criar regras do AppLocker, catalogue todo o software legítimo:

# Generate application inventory on reference endpoint
Get-AppLockerFileInformation -Directory "C:\Program Files" -Recurse `
  -FileType Exe | Export-Csv "C:\AppLocker\app_inventory_progfiles.csv" -NoTypeInformation

Get-AppLockerFileInformation -Directory "C:\Program Files (x86)" -Recurse `
  -FileType Exe | Export-Csv "C:\AppLocker\app_inventory_progfiles86.csv" -NoTypeInformation

# Include Windows system executables
Get-AppLockerFileInformation -Directory "C:\Windows" -Recurse `
  -FileType Exe | Export-Csv "C:\AppLocker\app_inventory_windows.csv" -NoTypeInformation

Etapa 2: Criar Política do AppLocker com Regras Padrão

# In Group Policy Editor (gpedit.msc) or GPMC:
# Navigate to: Computer Configuration → Policies → Windows Settings
#   → Security Settings → Application Control Policies → AppLocker

# Enable default rules for each rule collection:
# - Executable Rules: Allow Everyone to run files in Program Files and Windows
# - Windows Installer Rules: Allow Everyone to run digitally signed MSIs
# - Script Rules: Allow Everyone to run scripts in Program Files and Windows
# - Packaged App Rules: Allow Everyone to run signed packaged apps

# PowerShell: Generate default rules
$defaultRules = Get-AppLockerPolicy -Local -Xml
Set-AppLockerPolicy -XmlPolicy $defaultRules -Merge

Etapa 3: Criar Regras Baseadas em Editor (Preferencial)

Regras de editor são as mais fáceis de manter, pois sobrevivem a atualizações de aplicativos:

<!-- Example AppLocker policy XML for publisher rules -->
<RuleCollection Type="Exe" EnforcementMode="AuditOnly">
  <!-- Default: Allow Windows binaries -->
  <FilePublisherRule Id="a9e18c21-ff54-4677-b3ac-4b9a03261f6c"
    Name="Allow Microsoft signed" Description="Allow all Microsoft-signed executables"
    UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MICROSOFT CORPORATION*"
        ProductName="*" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*"/>
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>

  <!-- Allow specific third-party vendor -->
  <FilePublisherRule Id="b2e28c32-aa65-5788-c4bd-5c0b14372e7d"
    Name="Allow Adobe Acrobat" Description="Allow Adobe-signed Acrobat executables"
    UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="O=ADOBE INC.*"
        ProductName="ADOBE ACROBAT*" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*"/>
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>

Etapa 4: Bloquear Binários Conhecidos por Abuso (LOLBins)

# Deny rules for commonly abused living-off-the-land binaries
# These are legitimate Windows tools frequently used by attackers

$denyPaths = @(
    "%SYSTEM32%\mshta.exe",
    "%SYSTEM32%\wscript.exe",
    "%SYSTEM32%\cscript.exe",
    "%SYSTEM32%\regsvr32.exe",
    "%SYSTEM32%\certutil.exe",
    "%SYSTEM32%\msbuild.exe",
    "%SYSTEM32%\installutil.exe",
    "%WINDIR%\Microsoft.NET\Framework\*\msbuild.exe",
    "%WINDIR%\Microsoft.NET\Framework64\*\msbuild.exe"
)

# Create deny rules in AppLocker policy for standard users
# Important: Deny rules take precedence over Allow rules
# Apply only to standard users (not admins who may need these tools)

…