1. Групповые правила
2. Шаблоны безопасности
3. Анализ безопасности системы
4. Перенос настроек в другую систему

Стандартная установка Windows XP установлена ​​по умолчанию для удовлетворения потребностей самого широкого круга пользователей. Хотя эта конфигурация достаточно безопасна, иногда стоит улучшить качество защиты системы, изменив настройки нескольких параметров. Групповая политика полезна для этой цели. Это набор опций, с помощью которых мы можем устанавливать определенные правила и поведение системы. Хотя они чаще используются администраторами, которые облегчают управление несколькими хостами, групповая политика также может использоваться для повышения уровня безопасности отдельного компьютера. Когда их использование имеет смысл? Прежде всего, когда более одного человека используют используемый компьютер, или если существует возможность такого доступа неуполномоченным лицом. Нетрудно представить ситуацию, когда мы покидаем офис за кофе, не выходя из системы. Применение механизма групповой политики поможет нам защитить систему от нашего отвлечения. Однако следует учитывать умеренность и здравый смысл, поскольку некоторые параметры могут даже снизить уровень безопасности или эффективно помешать использованию компьютера.

Групповые правила

Большую часть групповой политики можно найти в локальных настройках безопасности. Вы можете получить к ним доступ, открыв Панель управления , выбрав Производительность и обслуживание , а затем Администрирование , где находится локальная политика безопасности . Однако вы можете настроить те же параметры, используя родительский инструмент - консоль групповой политики . Чтобы научить этому, давайте запустим из командной строки: gpedit.msc . Настройки безопасности можно найти в разделе настроек Windows в разделе « Конфигурация компьютера ». Нетрудно увидеть, сколько разных вариантов у нас в распоряжении. Наиболее интересные из них можно найти в Правилах учетной записи и Локальной политике , но также стоит ознакомиться с настройками, которые находятся в других ветвях ветки дерева Локального компьютера (то есть нашей gpedit ). Большинство параметров консоли имеют краткое описание их работы. Стоит прочитать его перед настройкой, потому что название правил иногда сбивает с толку.
Попробуем найти варианты, которые нас интересуют больше всего. Конечно, они включают в себя правила паролей , которые являются подмножеством политик учетных записей . Конфигурация этих элементов по умолчанию довольно слабая, и ее стоит сделать более строгой. Прежде всего, увеличьте минимальную длину пароля. Конечно, в пределах разумного. Значение между 8-12 символами кажется подходящим.

Давайте также включим опцию: пароль должен соответствовать требованиям сложности . Мы также можем установить требование менять пароль каждый указанный период времени. Хотя это часто рекомендуется, на практике это является источником самих проблем. Пользователи путают и забывают пароль, в результате чего пишут его на наклеенных на монитор листах, или выбирают простую и понятную фразу, защищающую доступ к компьютеру.

По этой причине давайте оставим эти параметры выключенными. Стоит взглянуть на следующий набор правил учетной записи , то есть правила блокировки учетной записи . В этой части вы можете определить процедуры, которые имеют место при сбое входа пользователя. Установите порог блокировки учетной записи для трех неудачных попыток. Это затруднит угадывание нашего пароля и в то же время не будет перекрывать доступ к компьютеру, когда мы спешим ошибиться при авторизации. Продолжительность блокировки учетной записи должна быть установлена ​​на такую ​​длину, чтобы затруднить любую попытку получить несанкционированный доступ к компьютеру. Так что не должно быть ни минуты, а точнее 15-25 минут. В это время мы должны вернуться с перерыва на кофе и заметить возможную блокировку аккаунта, что должно вызвать у нас беспокойство и соответствующие действия. Если мы установим время слишком долго, оно может однажды отомстить нам. Когда мы сами блокируем свою учетную запись, мы не попадем в нее, даже если мы помним правильный пароль.

Нетрудно видеть, что длительность блокировки учетной записи связана со сбросом счетчика блокировки учетной записи . Разница в том, что когда мы делаем одну ошибку при входе в систему, после сброса счетчика блокировки учетной записи , наша ошибка будет забыта. Однако блокировка учетной записи активируется после превышения ранее установленного порога ошибки. После блокировки счетчик сбрасывается одновременно.
Давайте теперь посмотрим на местные политики . Мы можем найти здесь много ценных вариантов защиты системы. Эта коллекция разделена на две части: назначение прав пользователя и параметры безопасности . В первом случае мы можем определить, какие пользователи будут иметь какие разрешения. Однако в параметрах безопасности мы устанавливаем определенные правила, управляющие системой. Есть несколько интересных вариантов, которые могут нас заинтересовать. Мы можем, например, решить, что никто, кроме нас, не сможет выключить компьютер. Чтобы обеспечить это, мы изменим опцию закрытия системы , которая находится в разделе « Назначение прав пользователя », оставляя там соответствующие группы пользователей. Вы должны знать, что это отключит неавторизованных пользователей, возможность отключить ваш компьютер от вашей учетной записи. Тем не менее, вы все равно сможете выключить систему без входа в систему. Чтобы запретить это, мы должны найти в параметрах безопасности правило: Закрытие: разрешить выключение без входа в систему и отключить его.
Третья группа параметров конфигурации - Административные шаблоны . В них вы можете найти более подробные настройки, адаптирующие рабочую среду пользователей. Вы можете использовать параметры там, в том числе отключить доступ к панели управления или заблокировать возможность изменения настроек сетевого подключения. Мы будем использовать другой, очень ценный вариант - запрос пароля при выходе из режима гибернации / ожидания . Это очень полезная функция, которая запрашивает авторизацию, когда вы покидаете офис дольше, оставляете компьютер без ошибок. Эту опцию можно найти в административных шаблонах , расположенных в разделе « Конфигурация пользователя» дерева консоли, которое обрабатывается во время входа в систему. В папке « Система » выберите « Управление энергопотреблением» . В правом окне консоли у нас есть один - интересный вариант.
Как видите, настроек, к которым вы получаете доступ с помощью групповой политики , много, поэтому возможности настройки системы огромны.

Шаблоны безопасности

Мы уже обсуждали групповую политику . Тем не менее, как использовать их эффективно и управлять ими? Вы можете использовать шаблоны безопасности для этого . Это еще один адаптер для консоли MMC . С его помощью мы можем использовать набор правил, который был подготовлен для конкретной цели (например, шаблон Rootsec предоставляет разрешения для корневой папки системного диска). Мы также можем создать наш собственный шаблон, который изменит конфигурацию до удовлетворительной формы после восстановления исходных настроек с использованием шаблона безопасности установки .
Чтобы использовать шаблоны безопасности , мы запускаем консоль, вызывая mmc из командной строки. В меню « Файл» выберите « Добавить / удалить оснастку» . Затем на вкладке « Автономный » нажмите кнопку « Добавить» .

В появившемся окне выберите « Шаблоны безопасности» и примите наше решение с помощью кнопки « Добавить» . Мы закрываем окно для добавления автономной оснастки с помощью кнопки « Закрыть» . Затем, чтобы завершить этот шаг, нажмите ОК . Мы уже можем просматривать наши шаблоны безопасности . Как мы быстро заметили, в дополнение к настройке безопасности остальные шаблоны практически пусты. Это связано с тем, что их использование будет изменять только очень специфический диапазон настроек. С добавленным адаптером мы можем просматривать и изменять шаблоны данных.

> Не забудьте сохранить каждое изменение с помощью параметра « Сохранить» в меню « Действие» или « Сохранить как», если вы хотите сохранить изменения как шаблон с другим именем, оставив оригинал без изменений. Для принудительного использования данного шаблона нам понадобится другой адаптер. Как и раньше, мы добавляем его, выбирая оснастку « Настройка и анализ безопасности» в окне « Добавить автономную оснастку». Щелкните правой кнопкой мыши узел добавленной оснастки и выберите « Открыть базу данных» . Если у нас нет ранее созданного, мы вводим имя новой базы данных. Снова щелкните правой кнопкой мыши узел « Конфигурация и анализ безопасности» и выберите параметр « Импорт шаблона» . Теперь мы можем выбрать интересующий нас шаблон безопасности. Чтобы применить измененные параметры, щелкните правой кнопкой мыши узел « Конфигурация и анализ безопасности» и выберите параметр « Настроить компьютер сейчас» . Нам будет предложено ввести путь к журналу, который мы подтвердим, нажав OK . Изменения будут введены, и их влияние можно проверить, просматривая события, используя опцию Просмотр файла журнала .

Анализ безопасности системы

Вы также можете использовать консоль конфигурации и оснастку анализа безопасности для просмотра настроек защиты системы. Он основан на сравнении текущей конфигурации компьютера и содержимого базы данных. Таким образом, мы выясним, правильно ли применен использованный шаблон безопасности. Чтобы выполнить эту процедуру, щелкните правой кнопкой мыши узел Конфигурация и анализ безопасности и выберите опцию Анализировать компьютер сейчас . Теперь с помощью этой оснастки вы можете просматривать настройки в том же макете, который работает в шаблонах безопасности .

В правом окне будет отображен результат сравнения данных правил. Чтобы изменить их настройки в базе данных, дважды щелкните по интересующему элементу и измените его, выбрав Определить в базе данных следующие правила .

Как видите, консоль MMC является мощным инструментом. Добавляя различные оснастки, мы можем создать удобный механизм, полезный при настройке и управлении системой.

Перенос настроек в другую систему

Мы уже настроили групповую политику для компьютера, который мы используем. Однако это не единственный способ управления компьютерной безопасностью или всей сетью. Групповые политики можно настроить сверху вниз с помощью Active Directory , настроенного на сервере, управляющем доменом. Мы также можем сохранить сохраненный нами шаблон безопасности , скопировать его на другие компьютеры и применить его к этим машинам без необходимости утомительного изменения каждого параметра отдельно для каждого хоста в сети. Они сохраняются в каталоге% SystemRoot% \ Security \ Templates \ как * .inf файлы. Консоль MMC также может быть полезна. Он имеет возможность добавлять вкладки групповой политики не только на локальный компьютер, но и на удаленные узлы. Конечно, для этой цели у вас должны быть соответствующие разрешения на компьютере, к которому вы хотите получить доступ. Для управления Групповой политикой удаленного хоста в окне консоли выберите оснастку « Добавить / удалить» в меню « Файл» .

Затем, в соответствии с процедурой, которую мы уже знаем, мы добавляем групповую политику , с той разницей, что вместо локального компьютера мы выбираем параметр « Обзор» и вводим имя компьютера из сети в поле « Другой компьютер» .

Мы изучили инструменты, которые помогают определить политику безопасности компьютера. С их помощью, выполнив немного трудоемкой работы, мы можем внести ценные изменения в систему.

Похожие

Комментарии