用组策略从十大方面保护Windows安全.docx
- 文档编号:25702535
- 上传时间:2023-06-11
- 格式:DOCX
- 页数:10
- 大小:477.28KB
用组策略从十大方面保护Windows安全.docx
《用组策略从十大方面保护Windows安全.docx》由会员分享,可在线阅读,更多相关《用组策略从十大方面保护Windows安全.docx(10页珍藏版)》请在冰豆网上搜索。
用组策略从十大方面保护Windows安全
用组策略从十大方面保护Windows安全
Windows操作系统中组策略的应用无处不在,如何让系统更安全,也是一个常论不休的话题,下面就让我们一起来看看通过组策略如何给Windows系统练就一身金钟罩。
一、给我们的IP添加安全策略?
在“计算机配置”→“Windows设置”→“安全设置”→“IP安全策略,在本地计算机”下与有与网络有关的几个设置项目(如图1)。
如果大家对Internet较为熟悉,那也可以通过它来添加或修改更多的网络安全设置,这样在Windows上运行网络程序或者畅游Internet时将会更加安全。
?
图1
小提示 由于此项较为专业,其间会涉及到很多的专业概念,一般用户用不到,在这里只是给网络管理员们提个醒,因此在此略过。
二、隐藏驱动器
平时我们隐藏文件夹后,别人只需在文件夹选项里显示所有文件,就可以看见了,我们可以在组策略里删除这个选项:
选择“用户配置→管理模板→Windows组件→Windows资源管理器”(如图2)。
图2
三、禁用指定的文件类型
在“组策略”中,我们可以禁用SHS、MSI、BAT、CMD、COM、EXE等程序文件类型,而且不影响系统的正常运行。
这里假设我们要禁用注册表的REG文件,不让系统运行REG文件,具体操作方法如下:
1.打开组策略,点击“计算机配置→Windows设置→安全设置→软件限制策略”,在弹出的右键菜单上选择“创建软件限制策略”,即生成“安全级别”、“其他规则”及“强制”、“指派的文件类型”、“受信任的出版商”项(图3)。
图3
2.双击“指派的文件类型”打开“指派的文件类型属性”窗口,只留下REG文件类型,将其他的文件全部删除,如果还有其他的文件类型要禁用,可以再次打开这个窗口,在“文件扩展名”空白栏里输入要禁用的文件类型,将它添加上去。
3.双击“安全级别→不允许的”项,点击“设为默认”按钮。
然后注销系统或者重新启动系统,此策略即生效,运行REG文件时,会提示“由于一个软件限制策略的阻止,Windows无法打开此程序”。
4.要取消此软件限制策略的话,双击“安全级别→不受限的”,打开“不受限的?
属性”窗口,按“设为默认值”即可。
如果你鼠标右键点击“计算机配置→Windows设置→安全设置→软件限制策略→其他规则”,你会看到它可以建立哈希规则、Internet?
区域规则、路径规则等策略,利用这些规则我们可以让系统更加安全,比如利用“路径规则”可以为电子邮件程序用来运行附件的文件夹创建路径规则,并将安全级别设置为“不允许的”,以防止电子邮件病毒。
提示:
为了避免“软件限制策略”将系统管理员也限制,我们可以双击“强制”,选择“除本地管理员以外的所有用户”。
如果用你的是文件类型限制策略,此选项可以确保管理员有权运行被限制的文件类型,而其他用户无权运行。
四、未经许可,不得在本机登录
使用电脑时,我们有时要离开座位一段时间。
如果有很多正在打开的文档还没有处理完成或者正在下载东西、挂POPO等等,为了避免有人动用电脑,我们一般会把电脑锁定。
但是在局域网中,为了方便网络登录,我们有时候会建立一些来宾账户,如果对方利用这些账户来注销当前账户登录到别的账户,那就麻烦了。
既然我们不能删除或禁用这些账户,那么我们可以通过“组策略”来禁止一些账户在本机上登录,让对方只能通过网络登录。
在“组策略”窗口中依次打开“计算机配置→Windows设置→安全设置→本地策略→用户权限分配”,然后双击右侧窗格的“拒绝本地登录”项,在弹出的窗口中添加要禁止的用户或组即可实现(图4)。
图4
如果我们想反其道而行之,禁止用户从网络登录,只能从本地登录,可以双击“拒绝从网络访问这台计算机”项将用户加上去。
五、给“休眠”和“待机”加个密码
只有“屏幕保护”有密码是远远不够安全的,我们还要给“休眠”和“待机”加上密码,这样才会更安全。
让我们来给“休眠”和“待机”加上密码吧。
在“组策略”窗口中展开“用户配置→管理模板→系统→电源管理”,在右边的窗格中双击“从休眠/挂起恢复时提示输入密码”,将其设置为“已启用”(图5),那么当我们从“待机”或“休眠”状态返回时将会要求你输入用户密码。
图5
六、自动给操作做个记录
在“计算机配置→Windows设置→安全设置→本地策略→审核策略”上,我们可以看到它可以审核策略更改、登录事件、对象访问、过程追踪、目录服务访问、特权使用等(图6)。
这些审核可以记录下你某年某月某日某时某分某秒做过了什么操作:
几时登录、关闭系统或更改过哪些策略等等。
图6
我们应该养成经常在“控制面板→管理工具→事件查看器”里查看事件的好习惯。
比如,当你修改过“组策略”后,系统就发生了问题,此时“事件查看器”就会及时告诉你改了哪些策略。
在“登录事件”里,你可以查看到详细的登录事件,知道有人曾尝试使用禁用的账户登录、谁的账户密码已过期……而要启用哪些审核,只要双击相应的项目,选中“成功”和“失败”两个选项即可。
注意:
WindowsXPHomeEdition没有“组策略”,只有WindowsXPProfessional版本才有“组策略”,这一点注意。
七、限制IE浏览器的保存功能?
当多人共用一台计算机时,为了保持硬盘的整洁,需要对浏览器的保存功能进行限制使用,那么如何才能实现呢?
具体方法为:
选择“用户设置”→“管理模板”→“Windows组件”→“Internet?
Explorer”→“浏览器菜单”分支。
双击右侧窗格中的“‘文件’菜单:
禁用‘另存为…’菜单项”,在打开的设置窗口中选中“已启用”单选按钮(如图7)。
图7
提示
我们还可以对“‘文件’菜单:
禁用另存为网页菜单项”、“‘查看’菜单:
禁用‘源文件’菜单项”和“禁用上下文菜单”等策略项目进行修改,这样我们的IE将会安全一些。
八、禁止修改IE浏览器的主页
如果您不希望他人或网络上的一些恶意代码对自己设定的IE浏览器主页进行随意更改的话,我们可以选择“用户配置”→“管理模板”→“Windows?
组件”→“Internet?
Explorer”分支,然后在右侧窗格中,双击“禁用更改主页设置”策略启用即可(如图8)。
图8
小提示
(1)在图8,还提供了更改历史记录设置、更改颜色设置和更改Internet临时文件设置等项目的禁用功能。
如果启用了这个策略,在IE浏览器的“Internet选项”对话框中,其“常规”选项卡的“主页”区域的设置将变灰。
(2)如果设置了位于“用户配置”→“管理模板”→“Windows组件”→“InternetExplorer”→“Internet控制面板”中的“禁用常规页”策略,则无需设置该策略,因为“禁用常规页”策略将删除界面上的“常规”选项卡。
(3)逐级展开“用户设置”→“管理模板”→“Windows组件”→“Internet?
Explorer”分支,我们可以在其下发现“Internet控制面板”、“脱机页”、“浏览器菜单”、“工具栏”、“持续行为”和“管理员认可的控件”等策略选项。
利用它可以充分打造一个极有个性和安全的IE。
九、把Administrator藏起来
Windows系统默认的系统管理员账户名是Administrator。
因此,为了避免有人恶意破解系统管理员Administrator账户的密码,我们可以将Administrator改为其他名字以加强安全。
点击“开始→运行”,输入gpedit.msc,打开“组策略”,如图9所示,选择“计算机配置→Windows设置→安全设置→本地策略→安全选项”,在右边窗格里双击“账户:
重命名系统管理员账户”项,在上面输入你想要的用户名。
重新启动计算机后,输入的新用户名即刻生效。
如果再新建一个Guest用户,用户名为Administrator,然后再加上十分复杂的密码就更安全。
图9
提示:
为了避免让人在Windows的登录框中看到曾经登录过的用户名,就要双击“交互式登录:
不显示上次的用户名”子项,选择“已启用”将该策略启用。
这样上次登录到计算机的用户名就不会显示在Windows的登录画面中。
十.禁用IE组件自动安装
选择“计算机配置”→“管理模板”→“Windows组件”→“InternetExplorer”项目,双击右边窗口中“禁用Internet?
Explorer组件的自动安装”项目,在打开的窗口中选择“已启用”单选按钮(如图10),将会禁止“InternetExplorer”自动安装组件。
这样可以防止“InternetExplorer”在用户访问到需要某个组件的网站时下载该组件,篡改IE的行为也会得到遏制!
相对来说IE也会安全许多!
图10
小提示
如果禁用该策略或不对其进行配置,则用户在访问需要某个组件的网站时,将会收到一则消息,提示用户下载并安装该组件。
有时用户看也不看就选择“安装”则往往会出问题。
网上的很多恶意代码往往都是这样工作的。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 策略 大方 保护 Windows 安全