# Bloquear ejecutable

## Tabla de contenido

1. [Qué es Bloquear ejecutable](#qué-es-bloquear-ejecutable)
2. [Creación y eliminación de una política de bloqueo de ejecutables](#creación-y-eliminación-de-una-política-de-bloqueo-de-ejecutables)
3. [Bloquear ejecutable mediante regla de ruta](#bloquear-ejecutable-mediante-regla-de-ruta)
4. [Bloquear ejecutable mediante valor hash](#bloquear-mediante-valor-hash)
5. [Bloquear ejecutable para el grupo Todas las computadoras](#bloquear-ejecutable-para-todas-las-computadoras)
6. [Bloquear ejecutable para computadoras específicas](#bloquear-ejecutable-para-computadoras-específicas)
7. [Sugerencias de solución de problemas](#sugerencias-de-solución-de-problemas)

Los administradores de TI siempre manejan una gran cantidad de software y aplicaciones para su TI. Con muchas aplicaciones que administrar, los administradores de TI tendrán la necesidad de restringir el uso de ciertas aplicaciones; para ello, pueden aprovechar la capacidad de Bloquear ejecutable de Endpoint Central.

## Qué es Bloquear ejecutable

Bloquear ejecutable es la capacidad mediante la cual los administradores de TI pueden restringir la inicialización y el funcionamiento de un ejecutable. Esto bloquea la ejecución de archivos exe que se inician sin instalación en la red. Si un software debe prohibirse en su red, puede configurar el [software prohibido](https://www.manageengine.com/products/desktop-central/help/inventory/configure_prohibited_software.html) para lograrlo.

### Bloquear un ejecutable

1. [Usando regla de ruta](#bloquear-ejecutable-mediante-regla-de-ruta)
2. [Usando regla hash](#bloquear-ejecutable-mediante-regla-de-ruta)

Verifique estos requisitos previos para implementar una regla de bloqueo de ejecutables:

- [La directiva de grupo local debe estar habilitada en la máquina de destino](#sugerencias-de-solución-de-problemas)
- [La directiva de seguridad predeterminada debe establecerse como "Sin restricciones"](#sugerencias-de-solución-de-problemas)
- La directiva de grupo local debe estar habilitada para el administrador

Haga clic aquí para ver el video:

### Bloquear ejecutable

[Enlace](https://www.manageengine.com/products/desktop-central/demo/inventory/block-exe.html?feature_page_thumbnail)

## Creación y eliminación de una política de bloqueo de ejecutables

1. Para crear una regla de bloqueo de ejecutables, vaya a **Inventory** > **Block Executable** > **Add Policy**.
2. Agregue los grupos personalizados a los que se aplicará esta regla.
3. Luego, agregue el ejecutable que debe bloquearse utilizando una regla de ruta o una regla hash.

Para eliminar una regla, vaya a Inventory > Block Executable, seleccione las políticas que desea eliminar y haga clic en el botón **Remove Policy**.

## Bloquear ejecutable mediante regla de ruta

Los administradores de TI pueden bloquear un ejecutable mediante la regla de ruta cuando el nombre del archivo o la ruta de acceso de destino permanece estático. La regla de ruta funciona con la lógica del nombre del archivo y sus extensiones. Cambiar el nombre o la ubicación del archivo provocará que falle la ejecución de la regla aplicada. Esta regla puede usarse para bloquear aplicaciones incluso si no están disponibles en su red. Mediante la regla de ruta, los administradores de TI pueden bloquear los ejecutables ubicados dentro del valor proporcionado.

## Bloquear mediante valor hash

El hash es un valor único que representa el ejecutable. Para usar este método, los administradores de TI deben calcular el valor hash de la aplicación de destino y agregarlo a la regla para bloquear ese ejecutable. Si desea bloquear un ejecutable de más de 200 MB de tamaño, use el fragmento de código adjunto a continuación para calcular el valor hash. Al calcular el valor hash, proporcione la ruta completa de la ubicación del archivo del software que desea bloquear mediante el valor hash.

**Nota:**

- El bloqueo de ejecutables mediante el valor hash de AppLocker solo es aplicable a Windows 10 compilación 1803 y posteriores, así como a Windows Server 2019 y posteriores.
- Para calcular el valor hash de AppLocker, use Microsoft PowerShell, ya que el fragmento de código del valor hash de AppLocker no es compatible con el símbolo del sistema.

**Comandos de Windows**

*Tamaño del archivo*

```
dir <"FILE LOCATION">
```

Comando de ejemplo:

```
dir "C:\Program Files\Google\Chrome\application\chrome.exe"
```

![File Size Block exe](https://www.manageengine.com/products/desktop-central/help/images/file-size-block-exe.png)

*Hash MD5 del archivo*

```
certutil -hashfile <"FILE LOCATION"> md5
```

Comando de ejemplo:

```
certutil -hashfile "C:\Program Files\Google\Chrome\application\chrome.exe" md5
```

![MD5 Hash Generation for Block exe](https://www.manageengine.com/products/desktop-central/help/images/md5-hash-generation-for-block-exe.png)

*Hash SHA256 del archivo*

```
certutil -hashfile <"FILE LOCATION"> sha256
```

Comando de ejemplo:

```
certutil -hashfile "C:\Program Files\Google\Chrome\application\chrome.exe" sha256
```

![SHA256 Hash Generation for Block exe](https://www.manageengine.com/products/desktop-central/help/images/sha256-hash-generation-for-block-exe.png)

*Hash AppLocker del archivo*

```
(Get-AppLockerFileInformation -Path <"FILE LOCATION">).Hash -replace '^SHA256 0x', 'Hash: '
```

Comando de ejemplo:

```
(Get-AppLockerFileInformation -Path "C:\Program Files\Google\Chrome\application\chrome.exe").Hash -replace '^SHA256 0x', 'Hash: '
```

![Applocker Hash for Block exe](https://www.manageengine.com/products/desktop-central/help/images/applocker-hash-for-block-exe.png)

## Bloquear ejecutable para todas las computadoras

Endpoint Central tiene de forma predeterminada un grupo personalizado llamado "All Computers Group", que contiene todas las computadoras administradas. Si desea bloquear un ejecutable para todas las computadoras administradas, puede elegir el grupo personalizado predeterminado y seleccionar el ejecutable que debe bloquearse.

## Bloquear ejecutable para computadoras específicas

Para bloquear un ejecutable para un destino específico, cree un nuevo grupo personalizado o use los grupos personalizados existentes. Los grupos personalizados pueden ser de cualquier tipo, como únicos o estáticos. Puede bloquear un ejecutable eligiendo un grupo personalizado que contenga computadoras.

Bloquear ejecutable no admite bloquear ejecutables que sean iniciados por el sistema.

## Sugerencias de solución de problemas

1. **¿Cómo habilitar la directiva de grupo local en la máquina de destino?**  
   Realice manualmente las siguientes acciones en la computadora de destino:

   1. Vaya a **Ejecutar**
   2. Escriba **gpedit.msc**
   3. Haga clic en Directiva de grupo
   4. Haga clic en **"Turn Off Local Group Policy Objects Processing"** como se muestra a continuación.

      ![](https://www.manageengine.com/products/desktop-central/help/images/blockexe1.png)

   5. Asegúrese de haber elegido "Not Configured" como se muestra en la imagen a continuación.

      ![](https://www.manageengine.com/products/desktop-central/help/images/blockexe2.png)

      Ahora ha habilitado la directiva de grupo local en la máquina de destino.

2. **¿Cómo habilitar la directiva de grupo local en la computadora de destino?**  

   Realice manualmente las siguientes acciones en la computadora de destino:

   1. Vaya a **Ejecutar**
   2. Escriba **gpedit.msc**
   3. Haga clic derecho en **"Local Computer Policy"**, elija **Properties** para asegurarse de que "Disable Computer Configuration Settings" no esté seleccionado.

      ![](https://www.manageengine.com/products/desktop-central/help/images/blockexe3.png)

      Ahora ha habilitado la directiva de grupo local en la computadora de destino.

3. **¿Cómo establecer la directiva de seguridad predeterminada como "Sin restricciones"?**  
   Realice las siguientes acciones en la computadora de destino:

   1. Vaya a **Ejecutar**
   2. Escriba **gpedit.msc**
   3. Haga clic en "Security Levels" y haga doble clic en "Unrestricted" como se muestra a continuación.

      ![](https://www.manageengine.com/products/desktop-central/help/images/blockexe4.png)

   4. Asegúrese de que el estado esté configurado como "Default" como se menciona en la imagen a continuación.

      ![](https://www.manageengine.com/products/desktop-central/help/images/blockexe5.png)

      Ahora ha habilitado la directiva de grupo local en la computadora de destino.

4. **¿Cómo habilitar la directiva de grupo local para el administrador?**  
   Realice las siguientes acciones en la computadora de destino:

   1. Vaya a **Ejecutar**
   2. Escriba **gpedit.msc**
   3. Haga clic en **"Software Restriction Policy"**
   4. Haga doble clic en **"Enforcement"** para asegurarse de que **"All Users"** esté seleccionado como se muestra en la imagen a continuación.

      ![](https://www.manageengine.com/products/desktop-central/help/images/blockexe6.png)

      Ahora ha habilitado la directiva de grupo local para los administradores.