AppLocker - Revision history

Aperi: /* AppLockeri põhilised strateegiad */

2011-10-18T14:52:05Z

AppLockeri põhilised strateegiad

← Older revision		Revision as of 17:52, 18 October 2011
Line 60:		Line 60:
	See on äärmiselt oluline kontseptsioon, millest aru saada, sest kui administraator soovib, et kasutajad omaksid ligipääsi näiteks Microsoft Office' ile või Internet Explorerile, siis ta loob reegli, mis annab kasutajatele ligipääsu nendele konkreetsetele rakendustele. Kui administraator loob sellise reegli, siis automaatselt on see keelustanud kõige muu kasutamise, kaasaarvatud Windows operatsioonisüsteemi. Valesti Applockeri reeglit luues on lihtne juhuslikult kasutaja jätta Windowsile ligipääsuta.		See on äärmiselt oluline kontseptsioon, millest aru saada, sest kui administraator soovib, et kasutajad omaksid ligipääsi näiteks Microsoft Office' ile või Internet Explorerile, siis ta loob reegli, mis annab kasutajatele ligipääsu nendele konkreetsetele rakendustele. Kui administraator loob sellise reegli, siis automaatselt on see keelustanud kõige muu kasutamise, kaasaarvatud Windows operatsioonisüsteemi. Valesti Applockeri reeglit luues on lihtne juhuslikult kasutaja jätta Windowsile ligipääsuta.

	Reegleid luues on võimalik administratiivsete lubadega kasutajaid hoida eemale administratiivsetest tööriistadest ning saab luua erandi helpdeski koosseisule. Siiski ei ole võimalik lihtsalt panna keeldu peale administrative toolsile. Selle asemel tuleb anda kõigile ligipääs Windows system failidele ning sealt on võimalik keelata administratiivsetele tööriistadele juurdepääsu teatud grupile kasutajatest(väljaarvatud helpdesk töötajatele). Selleks et säilitada helpdeski meeskonna juurdepääs ei pea aga midagi eraldi tegema, sest kõigil on juurdepääs Windows system failidele ning vaid kindlal grupil inimestest puudub juurdepääs ~~administrativ~~ tools' idele.		Reegleid luues on võimalik administratiivsete lubadega kasutajaid hoida eemale administratiivsetest tööriistadest ning saab luua erandi helpdeski koosseisule. Siiski ei ole võimalik lihtsalt panna keeldu peale administrative toolsile. Selle asemel tuleb anda kõigile ligipääs Windows system failidele ning sealt on võimalik keelata administratiivsetele tööriistadele juurdepääsu teatud grupile kasutajatest(väljaarvatud helpdesk töötajatele). Selleks et säilitada helpdeski meeskonna juurdepääs ei pea aga midagi eraldi tegema, sest kõigil on juurdepääs Windows system failidele ning vaid kindlal grupil inimestest puudub juurdepääs administrative tools' idele.

	===Mida vaja on?===		===Mida vaja on?===

Aperi: /* AppLockeri põhilised strateegiad */

2011-10-18T14:51:40Z

AppLockeri põhilised strateegiad

← Older revision		Revision as of 17:51, 18 October 2011
Line 52:		Line 52:
	===AppLockeri põhilised strateegiad===		===AppLockeri põhilised strateegiad===
	----		----
	Selleks, et ohutult AppLockerit kasutada, on vaja aru saada Microsofti põhilisest filosoofiast, mis ~~puudutavad~~ AppLockeri reegleid. See filosoofia pöörleb ümber idee, et on olemas kindlad rakendused, mida organisatsioonides kasutatakse ja millega töötatakse. Kontrastiks võib tuua fakti, et on olemas ~~lõppmatult~~ rakendusi, mida organisatsiooni töös ei ole vaja kasutada. Näiteks mõned rakendused, mis ei ole mõeldud ~~kasutamaks~~ või heaks kiidetud tööjuures, võivad sisaldada või kaasata vanemaid versioone rakendustest, mida hetkel kasutatakse, olgu nendeks video mängud, paha tarkvara, võrgu tarkvara vms.		Selleks, et ohutult AppLockerit kasutada, on vaja aru saada Microsofti põhilisest filosoofiast, mis puudutab AppLockeri reegleid. See filosoofia pöörleb ümber idee, et on olemas kindlad rakendused, mida organisatsioonides kasutatakse ja millega töötatakse. Kontrastiks võib tuua fakti, et on olemas lõpmatult rakendusi, mida organisatsiooni töös ei ole vaja kasutada. Näiteks mõned rakendused, mis ei ole mõeldud kasutamiseks või pole heaks kiidetud tööjuures, võivad sisaldada või kaasata vanemaid versioone rakendustest, mida hetkel kasutatakse, olgu nendeks video mängud, paha tarkvara, võrgu tarkvara vms.

	Igatahes on selge see, et on palju rohkem tarkvara, mida kasutajad ei peaks kasutama, kui tarkvara, mida kasutajad peaksid kasutama, eriti rääkides organisatsiooni tööst ning sealsetest arvutikasutajatest. Sellisel juhul on tunduvalt lihtsam täiendada Windowsi '''whitelist'''iga lubatud tarkvaraga, kui blokeerida igat üksikut programmi, mida kasutaja ei peaks kasutama. See ongi Microsofti AppLockeri reeglite taga olev filosoofia.		Igatahes on selge see, et on palju rohkem tarkvara, mida kasutajad ei peaks kasutama, kui tarkvara, mida kasutajad peaksid kasutama, eriti rääkides organisatsiooni tööst ning sealsetest arvutikasutajatest. Sellisel juhul on tunduvalt lihtsam täiendada Windowsi '''whitelist'''iga lubatud tarkvaraga, kui blokeerida igat üksikut programmi, mida kasutaja ei peaks kasutama. See ongi Microsofti AppLockeri reeglite taga olev filosoofia.

	'''AppLockeri reeglid on organiseeritud kollektsioonidesse.''' Kuigi on võimalik luua konkreetset keelamist, AppLockeri reeglid peaksid olema mõeldud kui mehhanism, mis lubab ligipääsu millelegi. Jällegi meeldetuletuseks, on lihtsam mõnel rakendusel lubada ~~töödata~~ kui keelata kogu tarkvara, mis ei ole mõeldud kasutamiseks. Kui luua vähemalt üks reegel reeglikollektsiooni, eeldab Windows automaatselt, et tahetakse vältida kõige muu töötamist.		'''AppLockeri reeglid on organiseeritud kollektsioonidesse.''' Kuigi on võimalik luua konkreetset keelamist, AppLockeri reeglid peaksid olema mõeldud kui mehhanism, mis lubab ligipääsu millelegi. Jällegi meeldetuletuseks, on lihtsam mõnel rakendusel lubada töötada kui keelata kogu tarkvara, mis ei ole mõeldud kasutamiseks. Kui luua vähemalt üks reegel reeglikollektsiooni, eeldab Windows automaatselt, et tahetakse vältida kõige muu töötamist.

	See on äärmiselt oluline kontseptsioon, millest aru saada, sest kui administraator soovib, et kasutajad omaksid ligipääsi näiteks Microsoft Office' ile või Internet Explorerile, siis ta loob reegli, mis annab kasutajatele ligipääsu nendele konkreetsetele rakendustele. Kui administraator loob sellise reegli, siis automaatselt on see keelustanud kõige muu kasutamise, kaasaarvatud Windows operatsioonisüsteemi. Valesti Applockeri reeglit luues on lihtne juhuslikult kasutaja jätta Windowsile ligipääsuta.		See on äärmiselt oluline kontseptsioon, millest aru saada, sest kui administraator soovib, et kasutajad omaksid ligipääsi näiteks Microsoft Office' ile või Internet Explorerile, siis ta loob reegli, mis annab kasutajatele ligipääsu nendele konkreetsetele rakendustele. Kui administraator loob sellise reegli, siis automaatselt on see keelustanud kõige muu kasutamise, kaasaarvatud Windows operatsioonisüsteemi. Valesti Applockeri reeglit luues on lihtne juhuslikult kasutaja jätta Windowsile ligipääsuta.

	Reegleid luues on võimalik administratiivsete lubadega kasutajaid hoida eemale administratiivsetest tööriistadest ning saab luua erandi helpdeski koosseisule. Siiski ei ole võimalik lihtsalt panna keeldu peale administrative toolsile. Selle asemel tuleb anda kõigile ligipääs Windows system failidele ning sealt on võimalik keelata administratiivsetele tööriistadele juurdepääsu teatud grupile kasutajatest(väljaarvatud helpdesk töötajatele). Selleks et säilitada helpdeski meeskonna juurdepääs ei pea aga midagi eraldi tegema, sest kõigil on juurdepääs Windows system failidele ning vaid kindlal grupil inimestest puudub juurdepääs administrativ tools' idele.		Reegleid luues on võimalik administratiivsete lubadega kasutajaid hoida eemale administratiivsetest tööriistadest ning saab luua erandi helpdeski koosseisule. Siiski ei ole võimalik lihtsalt panna keeldu peale administrative toolsile. Selle asemel tuleb anda kõigile ligipääs Windows system failidele ning sealt on võimalik keelata administratiivsetele tööriistadele juurdepääsu teatud grupile kasutajatest(väljaarvatud helpdesk töötajatele). Selleks et säilitada helpdeski meeskonna juurdepääs ei pea aga midagi eraldi tegema, sest kõigil on juurdepääs Windows system failidele ning vaid kindlal grupil inimestest puudub juurdepääs administrativ tools' idele.


	===Mida vaja on?===		===Mida vaja on?===

Aperi: /* Milliseid reegleid saab luua ja mida need endast kujutavad? */

2011-10-18T14:48:09Z

Milliseid reegleid saab luua ja mida need endast kujutavad?

← Older revision		Revision as of 17:48, 18 October 2011
Line 40:		Line 40:

	'''Path Rules'''i abil on võimalik piirata programmide täidesaatmist kindlal kataloogi rajal. Näiteks on võimalik lõppkasutajal lubada rakendusi avada ainult Windows Program Files’ i folderist.		'''Path Rules'''i abil on võimalik piirata programmide täidesaatmist kindlal kataloogi rajal. Näiteks on võimalik lõppkasutajal lubada rakendusi avada ainult Windows Program Files’ i folderist.
	Selle reeglitüübi probleemiks tõsiasi, et kasutajatel on sageli vaja rakendusi käivitada teistest asukohtadest, ~~näteks~~ failiserverist.		Selle reeglitüübi probleemiks on tõsiasi, et kasutajatel on sageli vaja rakendusi käivitada teistest asukohtadest, näiteks failiserverist.

	'''Hash Rules''' kasutab täidetava programmi krüptograafilist hash' i, selleks, et kindlaks teha, kas tegu on õigusjärgse programmiga. Selle reeglitüübi miinuseks on tema modifitseerimine, mida tuleb teha igakord, kui programmi on uuendatud.		'''Hash Rules''' kasutab täidetava programmi krüptograafilist hash' i, selleks, et kindlaks teha, kas tegu on õigusjärgse programmiga. Selle reeglitüübi miinuseks on tema modifitseerimine, mida tuleb teha igakord, kui programmi on uuendatud.

	'''Publisher Rules''' tuvastab, kas rakendus baseerub rakenduse digitaalsel signatuuril, mis oli kirjastaja poolt levitatud. Neid võib võrrelda Software Restriction Policies Certificates Rules idega, kuid Publisher Rulesid on keerukamad. Enamikel uutel rakendustel on allkiri(signature), mida saab kasutada Publisher Rulesidele. Windows Vistas ja Windows 7- s on võimalik seda allkirja näha läbi täidesaatva programmi file properties' de. (Publisher rulesi kutsutakse ka Certificate rules' ideks.)		'''Publisher Rules''' tuvastab, kas rakendus baseerub rakenduse digitaalsel signatuuril, mis oli kirjastaja poolt levitatud. Neid võib võrrelda Software Restriction Policies Certificates Rules' idega, kuid Publisher Rulesid on keerukamad. Enamikel uutel rakendustel on allkiri(signature), mida saab kasutada Publisher Rulesidele. Windows Vistas ja Windows 7- s on võimalik seda allkirja näha läbi täidesaatva programmi file properties' de. (Publisher rulesi kutsutakse ka Certificate rules' ideks.)

	'''Internet Zone Rules''' on klassikalised näited heast ideest, mis oli halvasti teostatud. Selle reegliliigi põhiidee on takistada kasutajatel Internetist rakenduste allalaadimist ning installeerimist. Internet zone rulesil on ka pahupooli, nimelt rakenduvad nad ainult MSI failidele (Windows installer packages) ning ainult sellel ajal, kui faili alla laetakse. See tähendab seda, et kui kasutaja laeb alla Zip faili, mis sisaldab rakendust, ei suuda Internet zone rule seda rakendust installeerimast keelata.		'''Internet Zone Rules''' on klassikalised näited heast ideest, mis oli halvasti teostatud. Selle reegliliigi põhiidee on takistada kasutajatel Internetist rakenduste allalaadimist ning installeerimist. Internet zone rulesil on ka pahupooli, nimelt rakenduvad nad ainult MSI failidele (Windows installer packages) ning ainult sellel ajal, kui faili alla laetakse. See tähendab seda, et kui kasutaja laeb alla Zip faili, mis sisaldab rakendust, ei suuda Internet zone rule seda rakendust installeerimast keelata.

Aperi: /* Mida sellega teha saab? */

2011-10-18T14:45:58Z

Mida sellega teha saab?

← Older revision		Revision as of 17:45, 18 October 2011
Line 24:		Line 24:
	Takistada kasutajaid jooksutamast rakendusi, mis ilma vajaduseta tarbivad võrku või muul viisil ettevõtte töökeskkonda koormavad.		Takistada kasutajaid jooksutamast rakendusi, mis ilma vajaduseta tarbivad võrku või muul viisil ettevõtte töökeskkonda koormavad.

	Pakub rohkem võimalusi effektiivsemaks arvuti konfiguratsiooni ~~haldusamiseks~~.		Pakub rohkem võimalusi effektiivsemaks arvuti konfiguratsiooni haldamiseks.

	Aitab ~~tahada~~, et arvuti keskkond oleks koostöös korporatsiooni poliiside ning tööstuse regulatsioonidega.		Aitab tagada, et arvuti keskkond oleks koostöös korporatsiooni poliiside ning tööstuse regulatsioonidega.

Aperi: /* Mida sellega teha saab? */

2011-10-18T14:44:35Z

Mida sellega teha saab?

← Older revision		Revision as of 17:44, 18 October 2011
Line 10:		Line 10:
	===Mida sellega teha saab?===		===Mida sellega teha saab?===
	----		----
	'''Tänapäevased ~~oranisatsioonid~~ seisavad silmitsi mitmete väljakutsetega, millele AppLocker aitab luua lahendusi:'''		'''Tänapäevased organisatsioonid seisavad silmitsi mitmete väljakutsetega, millele AppLocker aitab luua lahendusi:'''

	Milliseid rakendusi on kasutajal õigus käivitada ning millist tarkvara installeerida.		Milliseid rakendusi on kasutajal õigus käivitada ning millist tarkvara installeerida.

Aperi: /* Miks on see kasulik? */

2011-10-18T14:44:25Z

Miks on see kasulik?

← Older revision		Revision as of 17:44, 18 October 2011
Line 6:		Line 6:
	----		----

	Softweare Restriction Policied ei olnud administraaatorite seas populaarsed, kuna nende konfigureerimine võttis kaua aega ja oli ebamugav. AppLocker on tunduvalt ajasäästlikum ning võimsam. Sellega loodud reeglitest on tunduvalt raskem “mööda hiilida”, kui oli seda vanasti. AppLockeriga rakenduste üle kontrolli omamine on kasutajale lihtne ning selle kasutamine paindlik. AppLocker pakub reeglitele baseeruvat struktuuri, täpsustamaks, millised rakendused võivad ~~töödata~~ ja milliseid rakendusi kasutaja saab kasutada.		Softweare Restriction Policied ei olnud administraaatorite seas populaarsed, kuna nende konfigureerimine võttis kaua aega ja oli ebamugav. AppLocker on tunduvalt ajasäästlikum ning võimsam. Sellega loodud reeglitest on tunduvalt raskem “mööda hiilida”, kui oli seda vanasti. AppLockeriga rakenduste üle kontrolli omamine on kasutajale lihtne ning selle kasutamine paindlik. AppLocker pakub reeglitele baseeruvat struktuuri, täpsustamaks, millised rakendused võivad töötada ja milliseid rakendusi kasutaja saab kasutada.

	===Mida sellega teha saab?===		===Mida sellega teha saab?===

Aperi: /* Kasutatud Kirjandus */

2011-10-08T19:34:02Z

Kasutatud Kirjandus

← Older revision		Revision as of 22:34, 8 October 2011
Line 142:		Line 142:
	http://technet.microsoft.com/en-us/library/dd548340%28WS.10%29.aspx		http://technet.microsoft.com/en-us/library/dd548340%28WS.10%29.aspx

	http://www.howtogeek.com/howto/6317/block-users-from-using-certain-applications-with-applocker/		pildid:http://www.howtogeek.com/howto/6317/block-users-from-using-certain-applications-with-applocker/

	http://www.microsoft.com/windows/enterprise/products/windows-7/features.aspx		http://www.microsoft.com/windows/enterprise/products/windows-7/features.aspx

	http://4sysops.com/archives/review-windows-7-applocker-part-1-overview/		http://4sysops.com/archives/review-windows-7-applocker-part-1-overview/

			http://www.windowsnetworking.com/articles_tutorials/introduction-applocker-part1.html

	==Autor==		==Autor==
	Andre- Marcel Peri		Andre- Marcel Peri

Aperi: /* AppLockeri põhilised strateegiad */

2011-10-08T19:32:19Z

AppLockeri põhilised strateegiad

← Older revision		Revision as of 22:32, 8 October 2011
Line 73:		Line 73:

	Loodud AppLocker '''reeglite jõustamiseks''' on vaja arvutit, mis jookseb Windows Server 2008 R2, Windows 7 Ultimate või Windows 7 Enterprise operatsioonisüsteemil.		Loodud AppLocker '''reeglite jõustamiseks''' on vaja arvutit, mis jookseb Windows Server 2008 R2, Windows 7 Ultimate või Windows 7 Enterprise operatsioonisüsteemil.

	~~===AppLockeri põhilised strateegiad===~~
	~~----~~
	Selleks, et ohutult AppLockerit kasutada, on vaja aru saada Microsofti põhilisest filosoofiast, mis puudutavad AppLockeri reegleid. See filosoofia pöörleb ümber idee, et on olemas kindlad rakendused, mida organisatsioonides kasutatakse ja millega töötatakse. Kontrastiks võib tuua fakti, et on olemas lõppmatult rakendusi, mida organisatsiooni töös ei ole vaja kasutada. Näiteks mõned rakendused, mis ei ole mõeldud kasutamaks või heaks kiidetud tööjuures, võivad sisaldada või kaasata vanemaid versioone rakendustest, mida hetkel kasutatakse, olgu nendeks video mängud, paha tarkvara, võrgu tarkvara vms.

	Igatahes on selge see, et on palju rohkem tarkvara, mida kasutajad ei peaks kasutama, kui tarkvara, mida kasutajad peaksid kasutama, eriti rääkides organisatsiooni tööst ning sealsetest arvutikasutajatest. Sellisel juhul on tunduvalt lihtsam täiendada Windowsi '''whitelist'''iga lubatud tarkvaraga, kui blokeerida igat üksikut programmi, mida kasutaja ei peaks kasutama. See ongi Microsofti AppLockeri reeglite taga olev filosoofia.

	'''AppLockeri reeglid on organiseeritud kollektsioonidesse.''' Kuigi on võimalik luua konkreetset keelamist, AppLockeri reeglid peaksid olema mõeldud kui mehhanism, mis lubab ligipääsu millelegi. Jällegi meeldetuletuseks, on lihtsam mõnel rakendusel lubada töödata kui keelata kogu tarkvara, mis ei ole mõeldud kasutamiseks. Kui luua vähemalt üks reegel reeglikollektsiooni, eeldab Windows automaatselt, et tahetakse vältida kõige muu töötamist.

	See on äärmiselt oluline kontseptsioon, millest aru saada, sest kui administraator soovib, et kasutajad omaksid ligipääsi näiteks Microsoft Office' ile või Internet Explorerile, siis ta loob reegli, mis annab kasutajatele ligipääsu nendele konkreetsetele rakendustele. Kui administraator loob sellise reegli, siis automaatselt on see keelustanud kõige muu kasutamise, kaasaarvatud Windows operatsioonisüsteemi. Valesti Applockeri reeglit luues on lihtne juhuslikult kasutaja jätta Windowsile ligipääsuta.

	Reegleid luues on võimalik administratiivsete lubadega kasutajaid hoida eemale administratiivsetest tööriistadest ning saab luua erandi helpdeski koosseisule. Siiski ei ole võimalik lihtsalt panna keeldu peale administrative toolsile. Selle asemel tuleb anda kõigile ligipääs Windows system failidele ning sealt on võimalik keelata administratiivsetele tööriistadele juurdepääsu teatud grupile kasutajatest(väljaarvatud helpdesk töötajatele). Selleks et säilitada helpdeski meeskonna juurdepääs ei pea aga midagi eraldi tegema, sest kõigil on juurdepääs Windows system failidele ning vaid kindlal grupil inimestest puudub juurdepääs administrativ tools' idele.

	==Reeglite loomine==		==Reeglite loomine==

Aperi: /* Mida vaja on? */

2011-10-08T19:32:09Z

Mida vaja on?

@@ Line 49: / Line 49: @@
 '''Network Zone Rules''' on sarnane Internet zone rulesile, kuid ta pigem uurib Interneti tsooni, kust faili alla laetakse. Nad uurivad võrgu asukohta, kus fail hetkel eksisteerib. Näiteks, on võimalik luua policy, mis lubab kasutajal jooksutada vaid rakendusi, mis on installeeritud local computerisse. Selle reeglitüübi suureks probleemiks tõsiasi, et reegli kehtestamisel peab rakendus olema juba kasutaja(reegli kehtestaja) võrgu piirkonnas.
 ===Mida vaja on?===
@@ Line 60: / Line 73: @@
 Loodud AppLocker '''reeglite jõustamiseks''' on vaja arvutit, mis jookseb Windows Server 2008 R2, Windows 7 Ultimate või Windows 7 Enterprise operatsioonisüsteemil.
 ===AppLockeri põhilised strateegiad===

Aperi: /* AppLockeri põhilised strateegiad */

2011-10-08T19:31:46Z

AppLockeri põhilised strateegiad

← Older revision		Revision as of 22:31, 8 October 2011
Line 70:		Line 70:
	'''AppLockeri reeglid on organiseeritud kollektsioonidesse.''' Kuigi on võimalik luua konkreetset keelamist, AppLockeri reeglid peaksid olema mõeldud kui mehhanism, mis lubab ligipääsu millelegi. Jällegi meeldetuletuseks, on lihtsam mõnel rakendusel lubada töödata kui keelata kogu tarkvara, mis ei ole mõeldud kasutamiseks. Kui luua vähemalt üks reegel reeglikollektsiooni, eeldab Windows automaatselt, et tahetakse vältida kõige muu töötamist.		'''AppLockeri reeglid on organiseeritud kollektsioonidesse.''' Kuigi on võimalik luua konkreetset keelamist, AppLockeri reeglid peaksid olema mõeldud kui mehhanism, mis lubab ligipääsu millelegi. Jällegi meeldetuletuseks, on lihtsam mõnel rakendusel lubada töödata kui keelata kogu tarkvara, mis ei ole mõeldud kasutamiseks. Kui luua vähemalt üks reegel reeglikollektsiooni, eeldab Windows automaatselt, et tahetakse vältida kõige muu töötamist.

			See on äärmiselt oluline kontseptsioon, millest aru saada, sest kui administraator soovib, et kasutajad omaksid ligipääsi näiteks Microsoft Office' ile või Internet Explorerile, siis ta loob reegli, mis annab kasutajatele ligipääsu nendele konkreetsetele rakendustele. Kui administraator loob sellise reegli, siis automaatselt on see keelustanud kõige muu kasutamise, kaasaarvatud Windows operatsioonisüsteemi. Valesti Applockeri reeglit luues on lihtne juhuslikult kasutaja jätta Windowsile ligipääsuta.

	This is an extremely important concept to grasp because let’s suppose for a moment that you wanted your users to be able to run Microsoft Office and Internet Explorer, so you create a rule that allows them to do so. In doing so, you have denied the user the rights to run anything else, including the Windows operating system. Believe it or not, it is easy to accidentally lock a user out of Windows by improperly creating AppLocker rules. This is something that I am going to address a lot more as the series goes on.		Reegleid luues on võimalik administratiivsete lubadega kasutajaid hoida eemale administratiivsetest tööriistadest ning saab luua erandi helpdeski koosseisule. Siiski ei ole võimalik lihtsalt panna keeldu peale administrative toolsile. Selle asemel tuleb anda kõigile ligipääs Windows system failidele ning sealt on võimalik keelata administratiivsetele tööriistadele juurdepääsu teatud grupile kasutajatest(väljaarvatud helpdesk töötajatele). Selleks et säilitada helpdeski meeskonna juurdepääs ei pea aga midagi eraldi tegema, sest kõigil on juurdepääs Windows system failidele ning vaid kindlal grupil inimestest puudub juurdepääs administrativ tools' idele.

	~~The last thing that I want to talk about is denials. As you may recall, I mentioned earlier that it is possible to prevent users who have~~ administrative ~~permissions to the system from running administrative tools, but that you can create an exception for the helpdesk staff~~. This is something that I am going to discuss in more detail later on in the series, but for right now I wanted to point out that establishing this type of configuration requires a bit of backward thinking.

	~~Given the way that AppLocker works, we can’t just deny everyone access to the administrative tools. Instead, we would have to grant everyone access to the~~ Windows system ~~files. From there we could add a denial for the administrative tools that applies to a specific group of users~~ (~~everybody but the~~ helpdesk ~~staff~~). ~~You don’t have to do anything for the helpdesk staff because they have access to the administrative tools because you have given everyone access to the~~ Windows system ~~files~~.

	==Reeglite loomine==		==Reeglite loomine==