Musisz zapobiec uruchamianiu niepodpisanego kodu na serwerach plików Windows Server 2022, zezwolić tylko na pliki binarne/sterowniki podpisane przez firmę Microsoft i Contoso oraz rozpocząć w trybie inspekcji na tydzień przed wymuszeniem. Co należy zrobić?

Prawidłowa odpowiedź to utworzenie podstawowej polityki Windows Defender Application Control (WDAC) w formacie wielu polityk. WDAC pozwala na precyzyjne kontrolowanie, które aplikacje i sterowniki mogą być uruchamiane na serwerze, w tym blokowanie niepodpisanego kodu. Określenie reguł wydawców Microsoft i Contoso spełnia wymaganie zezwolenia tylko na te konkretne podpisy. Ustawienie polityki w trybie inspekcji (Audit Mode) na tydzień przed wymuszeniem jest kluczowe, ponieważ pozwala na monitorowanie potencjalnych blokad bez wpływu na działanie systemu, co jest zgodne z wymaganiem. Konwersja na plik binarny (.cip) i wdrożenie do wskazanego katalogu to standardowe kroki aktywacji polityki WDAC. Przełączenie na wymuszanie po walidacji zapewnia, że polityka będzie blokować nieautoryzowany kod. AppLocker (opcja B) jest starszą technologią i nie oferuje tak granularnej kontroli nad sterownikami ani nie jest zalecany do ochrony przed złośliwym oprogramowaniem na poziomie jądra jak WDAC. SmartScreen i ochrona oparta na reputacji (opcja C) są funkcjami konsumenckimi i nie są przeznaczone do zarządzania politykami wykonywania kodu na serwerach w sposób wymagany w zadaniu. Software Restriction Policies (opcja D) również są starsze i mniej elastyczne niż WDAC, nie oferując tak precyzyjnej kontroli nad podpisami wydawców.