组策略在系统安全方面的应用

armymanuse

为了提高系统的安全性，许多朋友都喜欢去注册表里动手动脚。殊不知，对注册表一知半解，这简直就是在安全面前玩火！看看笔者是如何利用图形化直观的界面来保卫家园的。
- e+ c" V& l) h! K, V3 A
+ J4 x, w* r; u: q: Z( \+ ^7 c场景一：晚上收工后，早就对白兄的X机眼馋万分的小菜，偷偷地在他的机器用自己的用户名登录玩了一把游戏，好爽！谁知第二天一上班，白兄就直接找上门来“你为什么用我的机器？想看我的小MM……？”。小菜一脸郁闷中……
% E& z: J- X, T" |+ \
* G& H  o# l. v/ P( t9 g场景二：小菜正偷偷使用白兄机器，游戏需要在制作面板中调整鼠标及其他设置，双击控制面板时却出现一“限制”窗口，内容为“本次操作由于这台计算机的限制而被取消。请与您的系统管理员联系。”无奈只好做罢……
* L) H2 i  R! w2 K
场景三：小菜因偷用机器“被捕”，心里好不是滋味，请来一DOS高手智，想在DOS下给“闻到死”环境下成长起来的白兄一点颜色。“开始→运行”，输入CMD——黑黑的窗口出现，然而寒光一闪：“命令提示符已被系统管理员停用。按任意键继续...”倒~~~

5 Q$ i' U. \" g主角闪亮登场
7 f+ h6 W9 n( ~) |9 U9 Z1 \
单击“开始”菜单，选择“运行”命令，输入gpedit.msc后按回车键，看！主角组策略粉墨登场了，如图1。
- V4 x9 M' c: l
小知识：什么是组策略？

5 c# L" S! b0 W2 ~它是Win2000/XP/2003下的一个工具，前身是98下的系统策略编辑器。组策略是系统策略的更高级扩展，它具有更多的管理模板和更灵活的设置对象以及更多的功能，目前主要应用于员Win2000/XP/2003系统。无论是系统策略还是组策略，它们的基本原理都是修改注册表中相应的配置项目，从而达到配置计算机的目的，只是它们的一些运行机制发生了变化和扩展而已。
% d! _: v  x; h3 I
6 A4 p+ ~& G5 @8 E0 D7 ?2 f0 j6 a演出已经开始
, t5 A: L" n. a* u; L2 L
1.偷用机器者，一个也跑不了

【位置】计算机配置→Windows设置→安全设置→本地策略→安全选项。

【设置】双击“交互式登录：不显示上次的用户名”，在弹出的属性窗口中选择“已启用”，如图1。
7 t  A* S1 {1 O
+ c) K; F4 M- O; o4 R2 S
  I. C5 t% W7 u' h* q& D% V. m( C
% t& s* g- y1 i! b4 `

0 Y2 v& x! }5 A, v! L! Y

小提示
6 [) e; l7 k2 P
●在Windows 2000系统下，系统启动时会自动显示出上次登录时的用户名。启用该项策略后，将不再出现上次登录的用户名。这下，小白不怕了，小菜也不担心不知道本机合法登录用户名的黑客入侵了。

- f- E5 N2 t7 H●在Windows XP系统中，默认启动方式下会出现欢迎屏幕，所有用户一览无余。应该先更改用户登录方式。方法是：打开“控制面板”，选择“用户帐户”，在“用户帐户”窗口单击“更改用户登录或注销的方式”，如图2。取消“使用欢迎屏幕”复选框，单击“应用选项”按钮。以后用户登录的界面就和Windows 2000一样了。

- E3 }/ j& v& A4 f: N7 k9 E5 C0 a
) e4 s/ ]4 G3 K5 H  c, c
7 v3 }$ `4 v4 d
2.入侵者戒
' J& E9 n  L( n$ a# A% Q
  @3 c1 F& ]) I( ^$ u( o: R【位置】计算机配置→Windows设置→安全设置→帐户策略→帐户锁定策略。
3 U/ }! b, c) c; k1 @3 {; y' {
【设置】双击“帐户锁定阈值”策略，设置“3次无效登录”。然后可以把“帐户锁定时间”策略设置为“30”分钟或更长时间。
: ]6 H3 a' l! b0 F
【功能】当非法用户在3次输入错误密码后，封锁其帐户，禁止登录。
% Q0 W6 J6 a0 K, J* x; T) W& P
2 s& g9 f) q& o* R1 c3.谁动了我的奶酪
5 U  y* A2 G( k3 C: |
【位置】计算机配置→Windows设置→安全设置→本地策略→审核策略

【设置】把“审核帐户登录事件”策略设置为“成功、失败”后，打开“事件查看器”，就能查看近期有哪些用户登录过你的电脑了；把“审核过程追踪”策略设置为“成功、失败”，可以察看用户运行过哪些程序。如图3所示，通过事件查看器可以发现用户“罗艳军”运行过QQ.exe程序。
/ ~6 V6 O) N; z: m/ J4 s
5 ~/ U! a! ]3 l. o1 K/ _7 _小提示
( r; p, D$ ?) J% H/ K' T
打开“事件查看器”的方法：单击“开始→运行”，输入“eventvwr.msc”后回车。

4.我的机器你别关
5 C* a& ^, n# _# {6 L9 _
【位置】计算机配置→Windows设置→安全设置→本地策略→用户权利指派

【设置】在“拒绝从网络访问此计算机”策略的属性窗口中添加某一用户，则该用户就没有权利从网络访问这台计算机；在“关闭系统”策略的属性窗口中删除某一群组，如图4所示，则该群组的用户就没有权利关闭系统（该用户的“开始”菜单中没有“关闭计算机”这一菜单项）。



% b' c; U3 L% q& K+ N0 `5 ^) S& H
# b6 j1 X+ O( @" t8 f. V
& f# ^2 M" d3 U8 d
4 E# Y- j* G6 a2 }4 f  M8 ~

0 q6 a) M2 {. q2 w9 F" j; d  l5.访问“控制面板”遭拒

【位置】用户配置→管理模板→控制面板

【设置】双击该策略，在弹出的属性窗口中把该策略设置为“已启用”。
8 i# Q7 H, M( H( R6 l/ ~
【功能】启用该策略后，当我们双击控制面板时出现一“限制”窗口，内容为“本次操作由于这台计算机的限制而被取消。请与您的系统管理员联系。”
" o8 ~/ W, w% U6 S$ z' l
. Q, F# ^, a, |# A" f* z* [, K9 a6.“我的电脑”无硬盘？

* r6 U4 n! q8 {! {5 R【位置】用户配置→管理模板→Windows 组件→Windows资源管理器

) n, v- u7 E4 T9 n/ y【设置】双击“隐藏我的电脑中的这些指定的驱动器”策略，选择需要隐藏的驱动器。

【功能】这些被隐藏的驱动器将不会出现在“我的电脑”和“资源管理器”中，在Word的新建或打开窗口中也不会出现。
. }, u5 f/ F+ \% F1 a
* J& D" s$ L  h& b$ t$ m小提示

3 D  I# X& }! e; O9 t/ \( s& ^还是可以直接在地址栏中输入隐藏的盘符（如D:\）来访问。
5 ^) ~$ Q. O4 j; Y3 e
& n/ I. }& M2 u% L8 D: E4 C# @, ^3 y7.我的驱动器不对你开放
) d* G6 y- B/ [6 Z! w& a0 q& f
【位置】用户配置→管理模板→Windows 组件→Windows资源管理器

$ }; }% m/ B4 ^8 S【设置】双击“防止从我的电脑访问驱动器”策略，弹出属性窗口如图5所示，根据需要选择适当的选项即可。
2 |/ {! g! S$ j) M& M6 \- t6 P
7 a/ W8 p  Z/ ]$ c【功能】上一功能只是隐藏驱动器，但直接输入地址还可以访问，就白了还是捉迷藏而已。要想真正禁止用户使用，就得用这个功能。启用后，就算你看到有这个磁盘，也会提示“本次操作由于这台计算机的限制而被取消。请与您的系统管理员联系”。放心了吧？

2 v  o' m, M. i3 k+ \2 f小提示

此时在命令提示符状态仍能进入被限制的驱动器，使用DIR命令可查看文件系统，并能运行程序。为了更有效地保护你的系统，请参考下一条措施。
  q; b  l( e  l  @% I2 T
+ R- X, O& O! X3 d8.DOS高手也傻了眼

5 i1 q8 H9 ~# Z2 y/ ~3 o【位置】用户配置→管理模板→系统

& Y9 S5 r4 u2 C& H$ b/ R; `【设置】双击“阻止访问命令提示符”策略，选择“已启用”，并在“也停用命令提示符脚本处理吗？”下拉列表框中选择“是”。

【功能】当我们使用命令提示符窗口时，将会出现一提示“命令提示符已被系统管理员停用。按任意键继续...”。

5 C6 K% X: z+ I7 o7 j1 d% s
: q1 ~: U# z+ G- Y1 D1 \9 k4 E
+ z  y7 S: x# o, B. B" p
2 X. I" p0 c7 F! I  v  v+ \0 H) x9.别乱动注册表编辑器

. N1 J2 s) y: C7 [8 \* @* m【位置】用户配置→管理模板→系统

【设置】双击“阻止访问注册表编辑工具”策略，选择“已启用”。同时在“禁止后台运行regedit”后选择“是”。
$ j: \& X9 z) w, M) g
【功能】运行regedit启动“注册表编辑器”时，会弹出一错误提示“注册编辑已被管理员停用”，从而禁止用户通过注册表编辑器访问注册表。
+ F/ r1 g# E( `0 g0 E
10.我的程序你别用
0 J- C5 Y' E# i& R9 l
& |. ~, `4 y2 k- `8 z& Z0 o! i; d【位置】用户配置→管理模板→系统

& e8 C* \6 U3 W【设置】双击“不要运行指定的Windows应用程序”策略，选择“已启用”单选按钮，然后单击“显示”按钮，这时将出现一“显示内容”窗口，该窗口中显示的是禁止运行的程序列表。单击“添加”按钮，在文本框中输入禁止运行的程序名称即可，如图6所示。

" |" S; h- n/ ~, D# V: `$ K【功能】当你运行这些被禁止的程序时，将出现提示窗口“本次操作由于这台计算机的限制而被取消。请与您的系统管理员联系。”

8 W1 |( \4 x* H9 g1 n# k6 _% D8 R* A
- T. _. E. g! ^% f! u0 x5 q
1 m$ E8 |  L2 d& f: }
小提示
8 f4 V8 X, q4 i4 m4 w( G
3 z0 R/ f* p6 V  a: V只需输入禁止运行的程序名，不需在程序名前加路径。
- |, Q% J0 M' c( x+ ~  Q
怎么样？经过这重重防线的设置，电脑安全多了吧？不过，最后提醒一句：不要自己给自己添乱！因为这些设置是一把双刃剑。不仅可以限制别人，同时，也限制了自己！如果担心熟悉组策略的用户再运行组策略编辑器将相关选项改回来，在图6中填入gpedit.msc吧，这样连组策略编辑器也甭想进来了，呵呵。还是得给自己留下一条后路哟。

conexy

However you can never use such a tool if you are using Home Edition XP

armymanuse

原帖由 conexy 于 2006-9-12 09:52 PM 发表
! V$ B1 b+ [% Y9 fHowever you can never use such a tool if you are using Home Edition XP

! K/ N0 c# B+ U  G2 l7 n这只是转载的小文章，虽然有的人用不到，但是，应该从中能得到一些启发。