Impostazioni avanzate

Timeout, in secondi, per le ricerche di gruppi di computer nidificati. L'impostazione predefinita è 120 secondi e l'impostazione di questo valore a 0 disattiva il timeout.

Questa impostazione controlla il tipo di query AD utilizzate per determinare il Nome distinto del sistema e l'appartenenza a un gruppo di computer.

Un valore di 0 disabilita le query effettuate in AD e l'utilizzo di gruppi di computer e unità organizzative nella configurazione.

Il valore predefinito di 1 fa sì che l'agente esegua le query Nome distinto e AD gruppi di computer diretti (non nidificati). I gruppi di computer nidificati nella configurazione vengono ignorati.

Un valore di 2 fa sì che l'agente esegua le query Nome distinto, AD gruppi di computer diretti e nidificati. Questa impostazione potrebbe causare problemi di prestazioni sul controller di dominio a causa dell'utilizzo elevato della CPU.

I controlli di Proprietà attendibile hanno occasionalmente causato un utilizzo eccessivo della CPU nel processo di SISTEMA quando driver di filtri di terze parti risultano installati sul sistema. L'abilitazione di questa impostazione, utilizzando un valore di 1, causa l'utilizzo da parte di Controllo applicazioni di un metodo alternativo per ricercare la Proprietà attendibile, che in alcuni casi mitiga questo problema.

Questa impostazione configura se il driver del filtro del file system operi in modalità Fail Safe o Fail Secure. Se l'Agente presenta un problema e smette di rispondere, il driver si disconnette in modalità Fail Safe e non intercetta ulteriori richieste. Un valore di 1 indica Fail Safe, 0 indica Fail Secure. Fail Safe rappresenta l'impostazione predefinita. La modifica di questa impostazione richiede un riavvio Agente affinché abbia effetto.

Questa impostazione fa sì che la dll AmAppHook si carichi una volta trascorso un numero configurabile di millisecond (ms). Questa impostazione è stata configurata in base al singolo nome del file. Il formato è <filename+extension>,<delay>. Il nome file e l'estensione possono contenere caratteri jolly. Ciascuna coppia è delimitata da un punto e virgola. Ad esempio 'calc.exe,2000;note*.exe,6000'

Controllo applicazioni utilizza un hook Windows come parte della funzionalità Application Network Access Control (ANAC). In rari casi, le applicazioni possono mostrare un comportamento imprevisto se associate. Questa impostazione è un elenco di applicazioni in cui le funzioni specifiche ANAC non sono sottoposte a hook e pertanto non sono soggette alle regole ANAC.

Se un'applicazione viene nominata sia in AppHookEx sia in UrmHookEx, il file AmAppHook.dll non viene caricato. Più voci vengono delimitate da un punto e virgola (;).

Utilizzare questa impostazione per specificare se utilizzare il driver AsModLdr o la chiave del registro di sistema Appinit per iniettare l'hook Controllo applicazioni. Questa impostazione viene utilizzata anche per determinare la posizione del file AMLdrAppinit.dll nel valore del registro di sistema AppInit_DLL.

Impostare uno dei seguenti valori:

• 0 - Posiziona AMLdrAppInit.dll all'inizio dell'elenco AppInit_DLLs.
• 1 - Posiziona AMLdrAppInit.dll alla fine dell'elenco AppInit_DLLs.
• -1 - Esclude AMLdrAppInit.dll dagli elenchi AppInit_DLLs and ASModLdr. Quando il file AMLdrAppInit.dll viene escluso da entrambi gli elenchi, non avverrà alcuna iniezione automatica.
• 2 - Aggiunge AMLdrAppInit.dll all'elenco ASModLdr di dll da iniettare. Si tratta dell'impostazione predefinita.

Questa impostazione deve essere utilizzata solo sotto la guida del team di supporto di Ivanti.

Questa impostazione di ingegnerizzazione consente all'amministratore di scegliere su quale hive del registro di sistema verrà installata l'estensione per il browser Chrome Controllo applicazioni. Le opzioni disponibili sono le seguenti:

• 0 - Estensione non installata
• 1 - Installa in HKLM
• 2 - Installa in HKCU.

0 è dove l'amministratore deve configurare manualmente il proprio appstore aziendale per distribuire l'estensione di Chrome Controllo applicazioni. Il comportamento predefinito è 2 - per l'estensione di chrome da installare in HKCU.

Il valore può essere impostato in 'Chrome.exe' per impedire all'hook del browser di Controllo applicazioni(BrowserHook.dll) di essere iniettato al suo interno. L'hook browser impedisce ogni comunicazione di rete fino a quando l'estensione Chrome non stabilisce una connessione con l'agente di Controllo applicazioni.

Nessuna funzionalità core risulta interessata da questa impostazione personalizzata.

Un elenco delimitato da barre verticali (|) di URL di navigazione che bypassano l'elaborazione degli eventi di navigazione. Gli URL in questo elenco non sono soggetti al reindirizzamento URL.

Questa impostazione limita una ricerca Active Directory al singolo client in connessione per il controllo dell'appartenenza all'Unità organizzativa mediante la limitazione del numero di query concomitanti. Questa limitazione delle richieste contribuisce a ridurre la quantità di traffico di query su un dominio in caso di gestione di un grande volume di client in connessione. Impostare questo valore tra 0 e 65535.

I percorsi dei collegamenti DFS possono essere aggiunti alle regole. I collegamenti DFS e le destinazioni DFS sono trattati come elementi indipendenti separati da abbinare. Non esiste alcuna conversione da Collegamento a Destinazione prima di applicare le regole. Impostare questo valore a 1 per abilitare la corrispondenza DFS Link.

Lo hook per Windows di Controllo applicazioni è caricato in tutti i processi che caricano il file user32.dll per impostazione predefinita. Le applicazioni che non caricano questa DLL non vengono agganciate. Qualsiasi applicazione non in grado di caricare il file user32.dll deve essere inclusa in questa impostazione all'interno di un elenco delimitato da punti e virgola di percorsi completi o nomi di file.

Per impostazione predefinita, qualsiasi applicazione avviata usando AppV5 è esentata dal controllo Proprietà attendibile. Utilizzare questa impostazione per disabilitare tale comportamento con un valore di 1.

Per impostazione predefinita, le regole di processo controllano l'intera chiave padre per una corrispondenza. Questa impostazione istruisce le regole di processo a concentrarsi sul padre diretto del processo e a non controllare l'intero albero. Un valore di 1 abilita questa impostazione.

Un elenco delimitato da punti e virgole di applicazioni che non presenteranno l'hook Controllo applicazioni (AMAppHook.Dll) iniettato. Controllo applicazioni richiede il caricamento dell'hook affinché determinate funzionalità possano funzionare. Tale impostazione personalizzata deve essere utilizzata solo sotto la guida del team di supporto di Ivanti.

Durante l'elaborazione di script all'interno di regole con script, essi vengono trattati come se avessero restituito un valore falso. Il tempo richiesto dagli script varia in base al relativo contenuto. Questa impostazione fornisce le migliori prestazioni durante l'avvio del computer e l'accesso dell'utente dato che ogni elemento che dipende dal risultato di uno script non viene ritardato. Impostare il valore a 1 per mettere i processi in attesa del completamento dello script rilevante. Ciò può rallentare in modo significativo l'avvio del computer e l'accesso dell'utente.

Controllo applicazioni non attende indefinitamente i risultati degli script - si applica un timeout di 30 secondi.

Questa impostazione migliora le prestazioni del controllo regole, in caso di utilizzo di firme. I file che non corrispondono al percorso completo non presentano hash in quanto si presume che non siano lo stesso file. Impostare su 1 per abilitare.

L'abilitazione di questa impostazione e di ExtendedAuditInfo non mostrerà alcun nome file con hash nei metadati di auditing.

Questa impostazione è utilizzata dall'Application Access Control (AAC). Controllo applicazioni tratta il lancio del programma shell (per impostazione predefinita explorer.exe) come trigger affinché tale sessione possa essere considerata registrata. I vari ambienti e tecnologie possono modificare l'applicazione shell e, qualora ciò accada, l'agente non può rilevare qual è il programma shell. Controllo applicazioni utilizza le applicazioni in questo elenco (in aggiunta alle applicazioni shell predefinite) per determinare se una sessione venga ritenuta come registrata. Questo è un elenco delimitato da punti e virgola di percorsi completi o nomi file.

Un elenco di nomi di file separati da spazi che dovrebbero essere esclusi dal driver filtro.

La modifica di questa impostazione richiede un riavvio Agente affinché abbia effetto.

Questa impostazione estende le informazioni sui file per gli eventi sottoposti ad audit. Segnala l'hash Secure Hash Algorithm 1 (SHA-1), le dimensioni del file, la versione di file e prodotto, la descrizione del file, il fornitore, la ragione sociale e il nome di prodotto per ciascun file nei propri eventi sottoposti ad audit. Le informazioni vengono aggiunte immediatamente dopo il nome file nel registro eventi. Questa impostazione è attivata per impostazione predefinita. Per disattivare, inserire un valore di 0.

La generazione di un hash o di un checksum viene disabilitata quando viene abilitata l'impostazione EnableSignatureOptimization.

Impostare il valore a 1 per abilitare l'Agente controllo applicazioni affinché esegua una query radice foresta. La query include la raccolta di segnalazioni per determinare il Nome distinto dei dispositivi in connessione per le finalità di appartenenza alle Unità organizzative e ai Gruppi di computer nelle Regole dispositivo.

Un elenco di nomi di processo rispetto ai quali tutti i processi figlio vengono verificati per assicurare che l'immagine figlio venga eseguita senza danneggiamenti né modifiche e risulti essere una corrispondenza per l'immagine inizialmente richiesta. Se il processo figlio non viene verificato, viene terminato. Questo è un elenco delimitato da punti e virgola di percorsi completi o nomi file.

Controllo applicazioni rileva se un file attendibile viene modificato da un proprietario non attendibile. In tale situazione, il proprietario del file passa all'utente non attendibile e qualsiasi richiesta di esecuzione verrà bloccata. Alcune applicazioni sovrascrivono i file in modo tale da impedire a Controllo applicazioni di rilevarli per impostazione predefinita, pertanto il proprietario del file non viene modificato. Se abilitato, Controllo applicazioni esegue controlli aggiuntivi per rilevare tutte le modifiche ai file, inoltre dovrebbero essere rilevate anche le sovrascritture. Impostare a un valore di 1 per abilitare.

Quando i file vengono archiviati in un'unità DFS, l'agente Controllo applicazioni utilizza una serie di strategie per valutare il percorso UNC corretto. Una di queste strategie può causare ritardi durante l'accesso se viene archiviato e replicato da Active Directory un gran numero di script ed eseguibili. Impostare a un valore di uno per abilitare, in modo che Controllo applicazioni ignori tale strategia e incrementi le prestazioni in questa situazione.

Il testo visualizzato dal pulsante annulla sulla finestra di dialogo Elevazione automatica.

Impostare questo valore a '1' per abilitare l'elevazione automatica delle proprietà. Questa funzionalità è disabilitata per impostazione predefinita.

Il testo nell'opzione di menu di scelta rapida per l'elevazione automatica delle proprietà.

Il testo visualizzato dal pulsante OK sulla finestra di dialogo Elevazione automatica.

Per impostazione predefinita, il criterio di sicurezza viene ignorato dalla funzione di Reindirizzamento URL. Questa impostazione di ingegnerizzazione consente all'amministratore di forzare il Reindirizzamento URL per seguire il criterio di protezione configurato. Impostare a un valore di 1 per abilitare.

L'Autorizzazione automatica non è supportata.

Un'impostazione personalizzata User Privilege Management (UPM) utilizzata per sostituire il livello di integrità quando i privilegi utente sono applicazioni elevate, che per impostazione predefinita imposta il livello di integrità su elevato. Quando viene utilizzata questa impostazione, il livello viene ridotto a medio. Questo valore deve essere un elenco delimitato da punti e virgola di nomi file.

Controllo applicazioni utilizza un hook Windows come parte della funzionalità User Privilege Management. In rari casi, le applicazioni mostreranno un comportamento imprevisto se associate. Questa impostazione elenca le applicazioni in cui le funzioni specifiche di Gestione privilegio utenti non presentano alcun hook.

Se un'applicazione viene nominata sia in AppHookEx sia in UrmHookEx, il file AmAppHook.dll non viene caricato. Più voci sono delimitate da un punto e virgola.

Utilizzato dalla funzionalità Gestione privilegi utente. Quando viene elevata l'applicazione di una console, una nuova applicazione può apparire in una nuova finestra della console. L'applicazione viene eseguita fino al completamento, dopodiché si chiude. Questo è un problema se l'utente desidera visualizzare l'output del programma. Questa impostazione mantiene l'applicazione fino alla pressione di un tasto. Questo è un elenco delimitato da punti e virgola di percorsi completi o nomi file.

Per impostazione predefinita, il criterio di sicurezza viene in gran parte ignorato dalla funzione Gestione privilegi utente. Le regole Gestione privilegi utente vengono applicate in tutti i casi, tranne quando viene selezionata la modalità Solo audit. Tale impostazione personalizzata consente agli amministratori di forzare la Gestione privilegi utente per seguire il criterio di protezione configurato. Per i livelli di sicurezza senza restrizioni e con autorizzazione automatica, le regole Gestione privilegi utenti non vengono applicate. Per il Livello limitato, vengono applicate le regole di gestione dei privilegi utente.

Impostare a un valore di 1 per abilitare questa impostazione.