Można to osiągnąć poprzez wybranie z menu kontekstowego skrótu do aplikacji lub pliku wykonywalnego opcji Uruchom jako… (Run as…) i zaznaczeniu pierwszej opcji: Bieżący użytkownik (Current user) oraz zaznaczeniu pola Uruchom ten program z ograniczonym dostępem (Protect my computer and data…).
Pozwala to na uruchomienie programu, tak jakby odbywało się to z konta użytkownika z ograniczeniami (bez uprawnień administracyjnych).

Rys. Funkcja: "Uruchom z ograniczonym dostępem"

Działanie tej funkcji można sprawdzić za pomocą narzędzia Process Explorer:

Rys. Process Explorer: Uprawnienia procesu iexplore.exe

Jak widać uprawnienia administracyjne zostały odebrane (Deny), a uprawnienia zwykłego użytkownika dodatkowo ograniczone (Restricted). Niestety to ostatnie powoduje czasami, że niektóre programy nie chcą działać w pełni poprawnie.

Ciągłe uruchamianie programów z wykorzystaniem menu kontekstowego Uruchom jako... może być dość uciążliwe, jednak istnieje dużo wygodniejsze i praktyczniejsze rozwiązanie.

Początkowo należy w rejestrze (regedit.exe) w gałęzi:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers]

dodać następujący klucz typu DWORD:
"Levels"=dword:00031000

Alternatywnie można pobrać plik levels.reg i dokonać jego importu do rejestru.

Następnie należy uruchomić edytor obiektów GPO z menu Start->Uruchom: gpedit.msc (Group Policy) i przejść do gałęzi: Konfiguracja komputera->Ustawienia systemu Windows->Ustawienia zabezpieczeń->Zasady ograniczeń oprogramowania (Computer Configuration->Windows Settings->Security Settings->Software Restriction Policies) i kliknąć na niej prawym przyciskiem myszy, a następnie wybrać opcję Nowe zasady ograniczeń oprogramowania (New restriction rules). Następnie należy uruchomić ponownie komputer.

Po ponownym uruchomieniu systemu należy wrócić do edytora GPO do gałęzi Zasady ograniczeń oprogramowania, kliknąć na poluWymuszanie (Enforcement) w prawym panelu i upewnić się, że wybrane są następujące opcje: Wszystkie pliki oprogramowania oprócz bibliotek (All software files except libraries) i poniżej Wszyscy użytkownicy (All users). Jeśli nie, zalecane jest właśnie takie ustawienie dostępnych właściwości.

Rys. Edycja właściwości Wymuszania

Kolejnym krokiem jest przejście do gałęzi Poziomy zabezpieczeń (Security Levels) i sprawdzenie czy dostępnych jest 5 poziomów, jak na poniższym rysunku. Jeśli dostępnych jest mniej poziomów (np. 2), należy jeszcze raz zimportować plik rejestru levels.reg i ponownie uruchomić edytor GPO.

Rys. Poziomy zabezpieczeń

Najważniejszą częścią całej operacji jest dodanie wrażliwych na ataki programów do Reguł dodatkowych (Additional Rules) definiujących, które programy uruchamiane są za pomocą konta z ograniczeniami czy konta zwykłego użytkownika. Chodzi tutaj przede wszystkim o programy intensywnie korzystające z zasobów Internetu, a więc przeglądarki, komunikatory i programy pocztowe, które są najczęstszymi celami hackerów.
W tym celu klikamy prawym przyciskiem myszy na Reguły dodatkowe i wybieramy opcję Nowa reguła ścieżki… (New path rule…).
W nowym oknie klikamy przycisk Przeglądaj… (Browse…) i lokalizujemy plik wykonywalny (*.exe) uruchamiający naszą przeglądarkę (np.C:\Program files\Internet Explorer\iexplore.exe lub C:\Program files\Avant Browser\avant.exe), a następnie z listy poziomów zabezpieczeń wybieramy: Użytkownik podstawowy. Poziom ten gwarantuje już dość wysoki poziom bezpieczeństwa podczas surfowania po Internecie w porównaniu z działaniem na najwyższych uprawnieniach administratora, a jednocześnie sprawia przy tym najmniej problemów (w przeciwieństwie np. do poziomu z ograniczeniami – część aplikacji ma problemy nawet z uruchomieniem na tym poziomie).

Rys. Dodawanie nowej aplikacji do Reguł dodatkowych

Analogiczne postępowanie zalecane jest dla komunikatorów internetowych (np. Gadu-Gadu – gg.exe) oraz aplikacji do obsługi poczty elektronicznej (np. Outlook XP – Outlook.exe, Outlook Express - Msimn.exe).

Rys. Lista dodanego oprogramowania z ograniczeniami

Wskazówka: Zazwyczaj pliki uruchamiające daną aplikację znajdują się w folderze:
C:\Program files\ lub C:\Program files\\

Opisane powyżej czynności pozwalają już na w miarę bezpieczne surfowanie po sieci z konta o uprawnieniach administratora.

Weryfikację poprawności wykonanych wyżej operacji można przeprowadzić za pomocą darmowego programu Process Explorer. Po jego uruchomieniu, na liście procesów należy dwukrotnie kliknąć na sprawdzanym procesie (np. avant.exe), a następnie przejść do zakładkiSecurity. Jeśli konto BUILTIN\Administrators ma ustawiony znacznik Deny, to operacja zmiany poziomu zabezpieczeń dla danej aplikacji zakończyła się sukcesem.

Rys. Process Explorer: Uprawnienia procesu avant.exe

Łatwo też sprawdzić działanie wprowadzonych zabezpieczeń poprzez próbę zapisania dowolnego pliku z wybranej strony internetowej w katalogu C:\WINDOWS\System32 lub C:\Program files. Dla konta administratora (bez wprowadzonych ograniczeń) próba zapisu powiedzie się. Natomiast po zmianie ustawień w edytorze Group Policy operacja taka zakończy się niepowodzeniem.

Rys. Nieudana próba pobrania pliku do katalogu C:\WINODWS\System32

Przedstawione powyżej rozwiązania pozwalają na uniknięcie większości przykrych niespodzianek czyhających na niedoświadczonego użytkownika w zakamarkach Internetu. Na pewno któreś z podanych rozwiązań będzie dla Ciebie odpowiednie. Dodatkowym zabezpieczeniem będzie świadome korzystanie z zasobów sieci i nieignorowanie komunikatów przeglądarki (w szczególności nie należy bezmyślnie klikać OK/Yes w oknach, które pojawiają się przy przeglądaniu niektórych stron internetowych!). Zalecane jest również bezwzględne korzystanie ze skanera antywirusowego działającego ciągle w tle (np. Norton Antivirus, NOD32, AntiVir Personal) oraz aplikacji "antyszpiegowskiej" MS AntiSpyware, która będzie przedmiotem jednego z moich kolejnych artykułów.