UAC není bezpečnostní hranice (security boundary) – v Microsoft Security Servicing Criteria for Windows je UAC uvedeno mezi funkcemi „defense-in-depth“ (kategorie User safety), správce je součástí TCB. Administrator protection (viz dále) to zpřísňuje, ale ani ono není podle Microsoftu formální hranicí. Základní dialog lze spustit i přímo: UserAccountControlSettings.exe. Ve Windows 11 už není v Centru akcí (to zmizelo), ale pod Uživatelské účty; vyhledat lze i ze Start. Zdroj: https://www.microsoft.com/en-us/msrc/windows-security-servicing-criteria Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/how-it-works Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Vlevo výzva k zadání souhlasu (consent prompt – správce v režimu schválení správce), vpravo výzva k zadání pověření (credential prompt – standardní uživatel). Snímky z Windows 11 24H2 (zachyceny na zabezpečené ploše přes konzoli Hyper-V): vlevo výzva k souhlasu pro účet root ve skupině Administrators, vpravo výzva k zadání pověření pro standardního uživatele bart – dialog nabídne účet správce a odkaz Další možnosti (jiný účet, PIN, Windows Hello, klíč zabezpečení). Vyvoláno spuštěním cmd.exe jako správce. Windows nejprve zjistí vydavatele souboru: Windows, ověřený (podepsaný) vydavatel, neověřený (nepodepsaný) – podle toho obarví výzvu. Barvy: Vista/7 rozlišovaly modrozelenou (součást Windows), šedou (podepsaný vydavatel) a žlutou (nepodepsaný); Windows 10/11 mají jen modré záhlaví („Ověřený vydavatel“) a žluté („Vydavatel: neznámý“). Dokumentace UAC barvy už neuvádí; při pořizování snímků na 24H2 mělo záhlaví výzvy pro ověřeného vydavatele (Microsoft Windows) neutrální světlou barvu, nikoli modrou. Zdroj: https://www.itechguides.com/user-account-control-in-windows-11-in-2026-settings-admin-prompts-and-fixes/ Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/how-it-works

Úrovně integrity jsou součást Mandatory Integrity Control (od Vista). Zobrazit lze např. v Process Explorer (sloupec Integrity) nebo whoami /groups (řádek Mandatory Label). Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/how-it-works

Standardní uživatel má jediný token. Výchozí výzva je credential prompt: zadá jméno a heslo (PIN, Windows Hello) účtu, který je členem Administrators – tzv. over-the-shoulder elevace. Elevovaný proces pak běží pod identitou toho správce, ne pod identitou přihlášeného uživatele (profil, HKCU, síťová pověření jsou správcova). Tok odpovídá diagramu přihlášení v dokumentaci UAC. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/how-it-works

Filtrovaný token má odebrány administrátorské SID (Administrators je označeno „deny only") a privilegia. explorer.exe je rodič všech uživatelem spouštěných procesů, proto vše běží jako standardní uživatel, dokud uživatel neodsouhlasí elevaci. Po souhlasu se proces spustí s plným tokenem – identita i profil jsou stejné, jen s právy správce. Právě toto (plný token existuje po celou relaci) je slabina, kterou řeší Administrator protection na dalším snímku. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/how-it-works

Administrator protection nahrazuje split token: uživatel je celou dobu jen standardní uživatel, elevace probíhá pod jinou identitou (skrytý účet generovaný systémem, oddělený profil – v elevovaném procesu tedy není HKCU ani %USERPROFILE% uživatele, ani jeho SSO pověření a síťové disky). Elevace je auditovatelná: ETW události 15031 (Elevation Approved) a 15032 (Elevation Denied/Fail) providera Microsoft-Windows-LUA. Microsoft sám uvádí (KB5120998), že ani Administrator protection není formální bezpečnostní hranicí, jen ztěžuje elevation-of-privilege útoky; Google Project Zero publikoval v lednu 2026 sérii obcházení, která Microsoft opravoval. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/administrator-protection/ Zdroj: https://support.microsoft.com/servicing/os/windows-11/2026/08/kb5120998-windows-11-24h2-25h2-update

České názvy dvou nových zásad v gpedit nejsou v dokumentaci Microsoftu k dispozici (stránka settings-and-configuration je zatím anglicky, cs-cz verze se přesměruje); ověřit na Windows 11 25H2 v učebně před přednáškou. Laboratorní VM v E05 jsou en-us, studenti tedy vidí anglické názvy. Historie: ohlášeno na Ignite 11/2024, testováno v Insider Canary od podzimu 2024; poprvé vydáno ve volitelné aktualizaci KB5067036 (28. 10. 2025), Google Project Zero (J. Forshaw) mezitím nahlásil 9 obcházení (všechna opravena v KB5067036 nebo následnými bulletiny; článek 26. 1. 2026). „As of 1st December 2025 the Administrator Protection feature has been disabled by Microsoft while an application compatibility issue is dealt with“ – nasazování obnoveno KB5120998 (buildy 26200.9278 / 26100.9278, „Preview“). KB5120998: „not classified as a formal security boundary“. Obsah volitelné aktualizace přechází podle běžného cyklu do následující bezpečnostní aktualizace (KB5124008, 8. 9. 2026, buildy .9445); její stránka podpory ale Administrator protection výslovně nezmiňuje a údaj pochází jen z tisku (pureinfotech, 4sysops) – proto není na snímku. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/administrator-protection/ Zdroj: https://support.microsoft.com/servicing/os/windows-11/2026/08/kb5120998-windows-11-24h2-25h2-update Zdroj: https://projectzero.google/2026/26/windows-administrator-protection.html Zdroj: https://pureinfotech.com/kb5124008-windows-11-september-2026-update/

Zabezpečená plocha také znemožňuje ovládat vstupně-výstupní zařízení, nelze tedy programově najet kurzorem myší na Ano a stisknout ho. Původní deck uváděl limit 150 sekund (údaj z dokumentace Windows Vista). Aktuální dokumentace UAC žádnou konkrétní hodnotu neuvádí; v praxi je výzva po cca 2 minutách zamítnuta (Administrator protection loguje „timeout" jako událost 15032). Číslo proto na snímku není – neověřeno pro Windows 11. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/how-it-works

Snímek z Windows 11 24H2 (starý Win32 dialog, nemá náhradu v Nastavení). Posuvník mění hodnoty ConsentPromptBehaviorAdmin a PromptOnSecureDesktop v HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System; EnableLUA od Windows 8 nemění (nejnižší úroveň nastavovala EnableLUA=0 jen ve Windows 7). Ověřit na W11-1: reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA po posunutí posuvníku dolů. Zdroj: https://woshub.com/user-account-control-slider-and-group-policy-settings/ Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Povolení provádění změn v systému Windows nástroji pocházejícími ze systému Windows (2. nastavení) snižuje počet oken (výzev) o cca 2/3, jelikož většina úkolů, jež vyžaduje elevaci oprávnění, se týká změn nastavení systému Windows. Odpovídající hodnoty registru (ConsentPromptBehaviorAdmin / PromptOnSecureDesktop): 2/1, 5/1, 5/0, 0/0. Od Windows 8 nejnižší úroveň EnableLUA nemění (zůstává 1): elevace se jen tiše schvalují, restart není nutný a aplikace z Microsoft Store fungují dál. Úplné vypnutí UAC (EnableLUA=0) jde jen zásadou „Spustit všechny správce v Režimu schválení správce“ = Zakázáno nebo registrem – viz Zásady (1). Zdroj: https://woshub.com/user-account-control-slider-and-group-policy-settings/ AutomatedLab v E05 UAC ve VM vypíná (EnableLUA=0), skript ho na W11-1 znovu zapíná přes Set-LabVMUacStatus. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Ve Windows 11 se složka Ovládacích panelů „Nástroje pro správu" jmenuje „Nástroje Windows" (Windows Tools). gpedit.msc není v edici Home; secpol.msc také ne – tam zbývá registr nebo Intune. Snímek gpedit z Windows 11 24H2 (Možnosti zabezpečení, zásady Řízení uživatelských účtů: …). Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Vynucení zabezpečené plochy (zásada na snímku (3)) má přednost před volbami „bez zabezpečené plochy" u chování výzev. Registr: ConsentPromptBehaviorAdmin 0 = bez výzvy, 1 = pověření na zab. ploše, 2 = souhlas na zab. ploše, 3 = pověření, 4 = souhlas, 5 = souhlas pro ne-Windows binárky (výchozí). Laboratorní skript E05 nastavuje výchozí hodnotu -ConsentPromptBehaviorAdmin 5. Názvy zásad odpovídají cvičení E05 (česky) a en-us VM (anglicky v závorce). Hlášení „This app can't be activated when UAC is disabled“ se váže na EnableLUA=0, ne na posuvník Řízení uživatelských účtů. Zdroj: https://windowsreport.com/app-cant-be-activated-uac-disabled/ Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Registr: ConsentPromptBehaviorUser 0 = zamítnout, 1 = pověření na zab. ploše, 3 = pověření (výchozí). Skript E05 nastavuje -ConsentPromptBehaviorUser 3; Lab 01 pak zkouší hodnotu Automatically deny. Původní deck uváděl u Enterprise výchozí „zamítnout" – aktuální dokumentace uvádí jednotné výchozí „Prompt for credentials"; zamítání je doporučení Windows security baseline. Český název zásady „Konfigurovat typ režimu schválení správce" je překlad autora, ověřit v gpedit na 25H2. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/administrator-protection/

I při povolené zabezpečené ploše je možné se před aktivováním zabezpečené plochy přepnout do jiného okna a pozdržet tím aktivaci zabezpečené plochy. Výzva pro elevaci oprávnění pak bliká na liště jako normální spuštěná aplikace. Při přepnutí na tuto výzvu se před jejím zobrazením aktivuje zabezpečená plocha, bezpečnost tedy není nikterak narušena (výzva se vykresluje až po zobrazení zašedlého snímku plochy). Detekce instalátorů: heuristika podle názvu souboru (setup, install, update) a hlavičky – funguje jen pro 32bit interaktivní procesy bez manifestu requestedExecutionLevel. Dokumentace uvádí výchozí „Enabled (default for home edition only) / Disabled (default)"; v praxi mají Pro stanice EnableInstallerDetection=1 – ověřit na 25H2. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

UIAccess = aplikace pro usnadnění přístupu (čtečky obrazovky, vzdálená pomoc), které potřebují kreslit přes okna s vyšší integritou; deklarují uiAccess="true" v manifestu. Vzdálená pomoc (msra.exe) je zastaralá; nástupci jsou Rychlá pomoc (Quick Assist) a Remote Help v Intune – obě umí elevovat vzdáleně, Rychlá pomoc přes UAC výzvu na straně uživatele. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Virtualizace může způsobovat problémy, pokud je potřeba sdílet zapsaná data nebo nastavení mezi uživateli (každý uživatel má svou vlastní kopii dat a nastavení). Aplikace s manifestem (requestedExecutionLevel) virtualizaci nemají; 64bit aplikace nikdy. Ve Správci úloh (Podrobnosti) lze přidat sloupec „Virtualizace UAC" a u procesu ji zapnout/vypnout. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/user-account-control/settings-and-configuration

Změny příslušenství uživatele ve skupinách se projeví až po jeho novém přihlášení (kdy získá nový přístupový token). LSA je ve Windows 11 22H2+ chráněný proces (LSA protection, RunAsPPL) a v edicích Enterprise/Education běží Credential Guard ve výchozím nastavení (VBS izolace hashů a Kerberos lístků). Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-22h2

Historie: Windows 8 přinesla obrázkové heslo a PIN, Windows 10 Windows Hello (obličej, duhovka, otisk) a „Microsoft Passport" – ten byl přejmenován na Windows Hello for Business. Obrázkové heslo: KB5101650 (14. 7. 2026, buildy 26100.8875 / 26200.8875) – „picture password is no longer available for new enrollment"; existující nastavení funguje, po odstranění se nedá znovu zapnout. Windows Hello s místním účtem je jen pohodlné přihlášení (není kryté asymetrickým klíčem); plnou hodnotu má s účtem Microsoft, Entra ID nebo AD. Zdroj: https://support.microsoft.com/en-us/servicing/os/windows-11/2026/07/july-14-2026-kb5101650-os-builds-26200-8875-and-26100-8875 Zdroj: https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/ Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-22h2

WHfB nefunguje s Microsoft Entra Domain Services. Biometrická data neopouštějí zařízení, nejsou roamována. Cloud Kerberos trust (od 2022) nepotřebuje PKI ani synchronizaci klíčů do AD – v hybridním prostředí je dnes výchozí volba; key trust vyžaduje Server 2016+ DC a synchronizaci klíče (Entra Connect), certificate trust vyžaduje PKI + AD FS / Intune SCEP. Zdroj: https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/ Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-22h2

Passkeys fungují ve všech podporovaných verzích Windows (WebAuthn API), ale správu v Nastavení přinesla až aktualizace KB5030310 pro 22H2 (a 23H2). Edice: Pro, Enterprise, Pro Education / SE, Education. Podpora správců hesel třetích stran (plugin passkey manager – 1Password, Bitwarden, Microsoft Password Manager) je GA od listopadové (2025) bezpečnostní aktualizace Windows 11 – blog Windows IT Pro „Windows 11 expands passkey manager support" (11/2025); uživatel volí výchozího poskytovatele v Nastavení → Účty → Přístupové klíče → Pokročilé možnosti. Firemní zásady pro souhlas aplikací (24H2): dokumentace (stav 12. 5. 2026) je stále uvádí jako Insider s cílem GA do konce června 2026 – k 17. 9. 2026 neověřeno, zkontrolovat před přednáškou. Zdroj: https://learn.microsoft.com/en-us/windows/security/identity-protection/passkeys/ Zdroj: https://techcommunity.microsoft.com/blog/windows-itpro-blog/windows-11-expands-passkey-manager-support/4467572

LAPS: řeší stejné heslo místního správce na všech stanicích (pass-the-hash, laterální pohyb). Entra-joined zařízení zálohují jen do Entra ID, AD-joined jen do AD, hybridní si vyberou; Entra registered (BYOD) LAPS nepodporuje. Licence: Entra ID Free stačí, ve Windows zdarma ve všech edicích. Konfigurace: LAPS CSP (Intune → Account protection), zásady skupiny (Computer Configuration → Administrative Templates → System → LAPS), PowerShell modul LAPS (Get-LapsADPassword, Reset-LapsPassword). OOBE: Microsoft v roce 2025 odstranil oblíbené obcházení (bypassnro) – cvičení E01 řeší instalaci bez účtu Microsoft odpovědním souborem. Zdroj: https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview

Složitá hesla musí obsahovat znaky alespoň ze 3 z 5 kategorií (velká písmena, malá písmena, číslice, speciální znaky, ostatní abecední znaky Unicode – např. asijská písma), mít alespoň 6 znaků a nesmí obsahovat jméno účtu ani část zobrazovaného jména delší než 2 znaky. Zdroj: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/password-must-meet-complexity-requirements Uzamykání účtů může způsobovat problémy např. při periodicky vykonávaných akcích (zálohování apod.), kdy někdo zablokuje účet, jenž je pro tuto akci používán. Historie: vestavěný Administrator se dříve nezamykal. Od Windows 11 22H2 (build 22528+, resp. čisté instalace s kumulativní aktualizací z 11. 10. 2022 před OOBE) je výchozí Prahová hodnota uzamčení účtu 10 pokusů, Doba trvání uzamčení 10 minut a nová zásada „Allow Administrator account lockout" povolena (KB5020282) – platí jen pro čisté instalace, upgradované stanice si nechávají staré hodnoty. Český název zásady na 24H2: „Povolit uzamčení účtu administratora“. Zdroj: https://support.microsoft.com/en-us/topic/kb5020282-account-lockout-available-for-built-in-local-administrators-bce45c4d-f28d-43ad-b6fe-70156cb2dc00 Max. stáří 0–999 dní. Min. délka v GUI 0–14; od Windows 10 2004 / Server 2022 lze zásadou „Relax minimum password length limits" povolit 0–128 (a zásadou „Minimum password length audit" nejprve auditovat). Microsoft dnes doporučuje delší fráze místo nucené expirace (baseline od 2019 expiraci hesel nevyžaduje). Snímek z Windows 11 24H2 (čistá instalace: Doba uzamčení účtu 10 min., Povolit uzamčení účtu administrátora – Povoleno, Prahová hodnota 10 chybných pokusů). Zdroj: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/minimum-password-length Zdroj: https://support.microsoft.com/en-us/topic/minimum-password-length-auditing-and-enforcement-on-certain-versions-of-windows-5ef7fecf-3325-f56b-cc10-4fd565aacc59

Ztráta EFS certifikátů při resetu správcem: DPAPI master key je odvozen z hesla uživatele; při změně hesla samotným uživatelem (zná staré) se přešifruje, při resetu správcem ne. Proto stále platí: zálohovat EFS certifikát (další snímek) nebo mít agenta obnovení dat. Disk pro resetování hesla funguje jen pro místní účty; ve Windows 11 je dialog stále v Ovládacích panelech.

EFS existuje jen v edicích Pro a vyšších. Osobní certifikáty lze přenést i Zálohováním Windows / USMT (migrují se s profilem), ale zálohu .pfx mimo počítač to nenahrazuje.

Při zálohování uživatelských dat se uložená pověření nezálohují (Zálohování Windows synchronizuje jen část přes účet Microsoft). Před přechodem na zabezpečenou plochu je potřeba zvolit Ctrl+Alt+Del. PowerShell: cmdkey /list, cmdkey /add:server /user:jméno /pass; z pohledu útočníka jsou pověření chráněna DPAPI – uživatel je může dešifrovat (mimikatz vault::cred), proto neukládat pověření správce (viz runas /savecred). Historie: Windows 7 trezor Windows (Windows Vault), Windows 8 Credential Locker s roamingem přes účet Microsoft (bez možnosti zamknout heslem, nedoporučováno s roaming profily); Credential Locker W8 = Správce pověření W10/W11. Webová pověření dříve plnil Internet Explorer (vyřazen 2022) – dnes je zapisují jen aplikace používající Web Authentication Broker; Edge má vlastní úložiště hesel.

Od Windows 8 se spouští služba Čipová karta (Smart Card) jen pokud je připojena čtečka čipových karet (a zastavuje jakmile je odpojena), dříve běžela neustále. Dokumentace virtuálních čipových karet: „Windows Hello for Business and FIDO2 security keys are modern, two-factor authentication methods for Windows. Customers using virtual smart cards are encouraged to move to Windows Hello for Business or FIDO2." Formálně na seznamu deprecated features nejsou. Zdroj: https://learn.microsoft.com/en-us/windows/security/identity-protection/virtual-smart-cards/virtual-smart-card-overview

Zásada „Interactive logon: Require smart card" se dnes jmenuje „Interactive logon: Require Windows Hello for Business or smart card" (dokumentace: Windows 10 1703+ / Windows 11) – český název v gpedit ověřit na 25H2. Odhlášení při odebrání karty vyžaduje běžící službu Zásady odebrání čipové karty (SCPolicySvc). Zdroj: https://learn.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/interactive-logon-require-smart-card Zdroj: https://learn.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/

Nezapomínat na uvozovky při specifikaci programu (hlavně, když má být spouštěn s parametry). runas nikdy neelevuje – spustí proces s tokenem zadaného uživatele tak, jak ho vytvoří LSA, tedy u správce s filtrovaným tokenem (viz další snímek). Elevaci dělá jen UAC (Spustit jako správce, -Verb RunAs) nebo sudo.

Pozor na ukládání pověření (lokálního) správce do Správce pověření přes /savecred, oprávnění lze pak zneužít pro spouštění jiných aplikací – jde o klasickou techniku eskalace (runas /savecred se uloženým pověřením spustí cokoli bez dotazu). Bezpečnostní baseline proto doporučuje zásadu „Přístup k síti: Nepovolit ukládání hesel a pověření pro síťové ověřování".

Sudo for Windows je open source (github.com/microsoft/sudo), součást Windows 11 24H2 a novějších. Zapnutí v Nastavení bylo ve 24H2 v sekci „Pro vývojáře", aktuální dokumentace uvádí System → Advanced (stránka byla přejmenována) – český název ověřit na 25H2 v učebně. Bezpečnostní varování Microsoftu: v režimech disableInput a normal může škodlivý proces zneužít spojení mezi neelevovaným a elevovaným sudo.exe. Zdroj: https://learn.microsoft.com/en-us/windows/advanced-settings/sudo/

Přejmenování WDAC na App Control for Business proběhlo v dokumentaci 2024; Device Guard byl název z Windows 10 1507. Microsoft: AppLocker „is a defense-in-depth security feature and not considered a defensible Windows security feature" – pro robustní ochranu použít App Control. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/appcontrol Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/feature-availability Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features

Kapitola zůstává v kondenzované podobě, protože typy pravidel (hash, certifikát, cesta) se stejně objevují v AppLockeru a cvičení E05 Lab 03 na SRP odkazuje. Oficiální stav: „Software Restriction Policies were deprecated beginning with Windows 10 build 1803 and also applies to Windows Server 2019 and above." Nevynucování na Windows 11 22H2 (čistá instalace) je komunitní zjištění (Born, MalwareTips 11/2022; souvisí s tím, že registr indikuje aktivní AppLocker a SRP/SAFER se tím vypne) – Microsoft to nikde explicitně nepotvrzuje; na upgradovaných stanicích SRP stále může fungovat. Zdroj: https://learn.microsoft.com/en-us/windows-server/identity/software-restriction-policies/software-restriction-policies Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features

Výchozí pravidla jsou zároveň akce u ostatních typů pravidel (říkají, co dělat, pokud dané pravidlo sedí).

Konfigurace počítače → Nastavení systému Windows → Nastavení zabezpečení → Zásady omezení softwaru; uzel je prázdný, dokud se nezvolí Nové zásady omezení softwaru. Snímek z Windows 11 24H2 po volbě Nové zásady omezení softwaru.

U nástroje AppLocker se nijak explicitně neuvádí, že by ověřování validity certifikátu zatěžovalo počítač. Zóny sítě: hodnota se bere z atributu Zone.Identifier (Mark of the Web) souboru, který zapisují Edge i jiné prohlížeče, a z nastavení zón v Ovládací panely → Možnosti Internetu → Zabezpečení (dialog zůstává kvůli IE mode a WinINet aplikacím). Pravidla zóny se týkají jen Instalační služby systému Windows. Zdroj: https://learn.microsoft.com/en-us/windows-server/identity/software-restriction-policies/software-restriction-policies

V případě omezování spouštění DLL knihoven je potřeba specifikovat povolující pravidla pro všechny DLL knihovny, jež spouštěná aplikace používá, ne jen pro danou aplikaci. Vynucení lze omezit na všechny uživatele kromě místních správců; určené typy souborů rozšiřují seznam přípon považovaných za spustitelné (.bat, .cmd, .vbs, .js, …).

E05 ponechává pro W11-domain edici Education (jediná živě ověřená); text E05 správně uvádí, že od KB 5024351 (2023) vynucují AppLocker všechny edice včetně Windows 11 Pro. Při konfiguraci nástroje AppLocker je vhodné AIS nejprve spustit ručně a ověřit si, zda vše funguje, jak má, a teprve pak přepnout start AIS na automatické spouštění po startu počítače. Špatné nastavení nástroje AppLocker totiž může zablokovat celý systém (znemožnit spouštění důležitých součástí systému). Při automatickém vytváření pravidel se generují pravidla vydavatele pro všechny podepsané soubory a pravidla cesty nebo algoritmu hash pro ostatní soubory. PowerShell: Get-AppLockerPolicy -Effective, Set-AppLockerPolicy, Test-AppLockerPolicy, Get-AppLockerFileInformation. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/applocker/requirements-to-use-applocker Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/applocker/applocker-overview

U pravidel vydavatele se nevybírá certifikát, ale digitálně podepsaný soubor. Název souboru není název souboru v souborovém systému, ale v digitálním podpisu. Pravidla vydavatele jsou nejflexibilnější, proto se primárně vytváří při automatickém generování pravidel. Pravidla vydavatele umožňují rozlišovat soubory také na úrovni podepsán/nepodepsán. Proměnných nástroje AppLocker je jen pár – %REMOVABLE% odkazuje na vyměnitelná média (CD/DVD), %HOT% na USB disky.

PowerShell skripty pod AppLockerem (a App Control) běží v Constrained Language Mode, pokud nejsou povoleny. Rozšíření kolekcí (rule collection extensions) je od Windows 10 / Server 2016 a nastavuje se v XML zásady (ServiceEnforcement), ne v GUI. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/feature-availability

MSIX (od Windows 10 1809) je nástupce APPX i MSI/App-V pro moderní i klasické (Win32) aplikace; balíček sdílí jednu identitu (vydavatel, název, verze), proto jedno pravidlo pokryje celou aplikaci a přežije aktualizace. Instalátor zabalené aplikace = .msix/.appx soubor sám; distribuce: Microsoft Store, Intune, winget (repozitář msstore), App Installer. Praktický důsledek pro E05, Lab 04: Poznámkový blok ve Windows 11 je zabalená aplikace Microsoft.WindowsNotepad ze Store. Pravidlo Deny v kolekci Pravidla spouštění zablokuje jen zástupný C:\Windows\System32\notepad.exe (Win+R, cmd); dlaždice ve Startu se řídí touto kolekcí a její události končí v protokolu Packaged app-Execution. Cvičení E05 to u Lab 04 dokumentuje. Zdroj: https://learn.microsoft.com/en-us/answers/questions/2199864/applocker-issues-on-windows-11-24h2 Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/applocker/packaged-apps-and-packaged-app-installer-rules-in-applocker

Většina výchozích pravidel jsou pravidla cesty, výjimkou jsou pravidla vydavatele povolující spouštění všech digitálně podepsaných souborů. Známá slabina výchozích pravidel: uživatelsky zapisovatelné podadresáře ve %WINDIR% (např. Tasks, Temp) – doporučuje se přidat výjimky nebo použít App Control, který zapisovatelnost cest kontroluje za běhu.

Snímek z Windows 11 24H2: Editor správy zásad skupiny (RSAT, doménový objekt zásad skupiny AppLocker z cvičení E05 Lab 04) – Konfigurace počítače → Zásady → Nastavení systému Windows → Nastavení zabezpečení → Zásady řízení aplikací → AppLocker → Pravidla pro spustitelné soubory s výchozími pravidly; v místním gpedit.msc je cesta stejná (bez uzlu Zásady). Pravidla souborů DLL se objeví teprve po jejich povolení na záložce Upřesnit ve vlastnostech nástroje AppLocker. Historie: ve Windows 8 se toto povolení neukládalo a platilo jen pro danou instanci Editoru místních zásad skupiny.

Rozdíl od SRP: v AppLockeru explicitní Odepřít vždy přebije Povolit bez ohledu na specifičnost; v SRP rozhodovala specifičnost pravidla.

Cvičení E05 Lab 04 postupuje stejně: nejprve Audit only (varování 8003 v logu EXE and DLL), potom Enforce rules (chyba 8004). Události lze centrálně sbírat přes Event Forwarding nebo Intune / Defender for Endpoint (advanced hunting).

Vlastnosti uzlu AppLocker: karta Vynucení (Nakonfigurováno → Vynutit pravidla / Pouze audit pro každou kolekci) a karta Upřesnit (Povolit kolekci pravidel DLL). Snímky z Windows 11 24H2 (vlastnosti uzlu AppLocker v doménovém objektu zásad skupiny).

Přejmenování: Device Guard (2015) → Windows Defender Application Control (2017) → App Control for Business (2024). Zásady lze podepisovat – podepsaná zásada je odolná i proti správci. Doporučený postup Microsoftu: začít od zásady Smart App Control (%windir%\schemas\CodeIntegrity\ExamplePolicies\SmartAppControl.xml), přidat vlastní LOB aplikace, nasadit v auditu, pak vynutit. Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/appcontrol Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/feature-availability

Stanice v C304 (Windows 11 Education 25H2, image přes UWF) mají SAC nejspíš vypnutý – ověřit v Zabezpečení Windows. Český název sekce v aplikaci Zabezpečení Windows („Ovládání aplikací a prohlížeče" → „Smart App Control" / „Chytré řízení aplikací") ověřit na 25H2 – dokumentace v češtině není k dispozici. Pro vývojáře: aplikace podepsané certifikátem z Trusted Root Program projdou; nepodepsané nástroje (interní skripty, Python .exe z PyInstalleru) SAC blokuje – proto se u „power userů" vypne sám. Dokumentace: „Smart App Control starts in evaluation mode and switches off within 48 hours for enterprise managed devices unless the user turns it on first"; blokovací seznam zranitelných ovladačů je od Windows 11 22H2 zapnutý na všech zařízeních a vynucený při HVCI, SAC nebo S mode; při zapnutém SAC (nebo App Control s ISG) přechází Defender AV na stanicích s jiným antivirem do pasivního/hybridního režimu (dělá jen reputační dotazy). Zdroj: https://learn.microsoft.com/en-us/windows/apps/develop/smart-app-control/overview Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/design/microsoft-recommended-driver-block-rules Zdroj: https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/appcontrol