Лекция 14. Настройка
параметров безопасности ОС Windows 7
1.
Введение
2.
Группы политик,
отвечающих за безопасность
3.
Краткий обзор опций
безопасности
4.
Дополнительные
Параметры безопасности в Windows 7
5.
Установка
параметров безопасности для реестра
6.
Заключение
1.
Введение
Windows
7 - это последняя клиентская ОС для компьютеров от компании Microsoft, которая построена
с учетом сильных и слабых сторон своих предшественников, Windows XP и Windows Vista.
Каждый аспект базовой операционной системы, а также выполняемых ею служб, и то,
как она управляет приложения, загруженными в нее, были пересмотрены, и по возможности
были приняты меры по улучшению ее безопасности. Все сервисы были усовершенствованы
и новые опции безопасности делают эту ОС более надежной. Помимо некоторых основных
усовершенствований и новых служб, ОС Windows 7 предоставляет больше функций безопасности,
улучшенные возможности аудита и мониторинга, а также возможности шифрования подключений
и данных. В Windows 7 имеют место некоторые усовершенствования внутренней защиты
для обеспечения безопасности такими внутренними компонентами системы, как Kernel
Patch Protection (защита патча ядра), Service Hardening (упрочение сервисов), Data
Execution Prevention (предотвращение несанкционированного выполнения данных), Address
Space Layout Randomization (внесение случайности в верстку адресного пространства)
и Mandatory Integrity Levels (обязательные уровни целостности).
Windows
7 создана для надежного использования. С одной стороны она была разработана в рамках
Microsoft's Security Development Lifecycle (SDL) и спроектирована для поддержки
требований Common Criteria, что позволило ей получить сертификацию Evaluation Assurance
Level (EAL) 4, которая отвечает требованиям федерального стандарта обработки информации
(Federal Information Processing Standard - FIPS) #140-2. При использовании Windows
7 как отдельной системы ее можно защищать личными средствами безопасности. Windows
7 содержит множество различных инструментов безопасности, но именно в сочетании
с Windows Server 2008 (R2) и Active Directory эта ОС становится бронежилетом. Используя
дополнительные методы безопасности таких инструментов, как Group Policy, вы можете
контролировать каждый аспект безопасности ваших компьютеров. Если Windows 7 используется
в домашнем офисе или личных целях, ее также можно защищать во избежание многих нынешних
методов взлома, и систему можно быстро восстанавливать после сбоя, поэтому, хотя
совместное использование этой ОС с Windows 2008 является более надежным, оно вовсе
необязательно для применения высокого уровня безопасности в Windows 7. Также следует
учитывать тот факт, что, хотя Windows 7 безопасна по своей природе, это вовсе не
означает, что вам нужно полностью полагаться на стандартную конфигурацию и что нет
необходимости вносить изменения для улучшения безопасности. Также не стоит забывать
о том, что со временем вы будете подвергнуты риску заражения каким-то вредоносным
кодом или интернет атаке, когда компьютер используется в любой публичной сети. Если
компьютер используется для любого типа публичного доступа в интернет, ваша система
и сеть, к которой она подключена, становятся доступными для возможных атак.
Ключевую роль в обеспечении
безопасности данных, хранимых на PC, играют настройки безопасности
операционной системы. Настройки призваны оптимально сконфигурировать параметры системы
таким образом, чтобы минимизировать риск потери данных вследствие реализации каких-либо
вредоносных, ошибочных и др. воздействий, а так же сократить список уязвимостей
вашей системы.
Когда операционная система "чувствует" угрозу, то она способна
незамедлительно вам об этом сообщить с помощью различных диалоговых окон на экране.
Когда эти сообщения появляются на экране, то иногда у вас есть возможность изменить
поведение данной системы безопасности, что может привести к нежелательным последствиям
(в случае, если вы пропустите критические сообщения). В операционной системе
"Windows 7" есть базовые настройки безопасности, которые, в случае необходимости,
можно легко сбросить.
Рассмотрим подробнее расширение Параметры безопасности
(Security Settings), с помощью которого конфигурируются параметры системы безопасности
операционной системы. Политики, определяемые этим расширением, действуют на компьютеры
и частично на пользователей.
Политики учетных записей (Account Policies). Настройка
политик безопасности учетных записей в масштабах домена или локальных учетных записей.
Здесь определяются политика паролей, политика блокировки паролей и политика Kerberos,
распространяющаяся на весь домен.
Локальные политики (Local Policies). Настройка
политики аудита, назначение прав пользователей и определение различных параметров
безопасности.
Журнал событий (Event Log). Настройка политик безопасности,
определяющих работу журналов событий приложений, системы и безопасности.
Группы с ограниченным доступом (Restricted Groups).
Управление членством пользователей в заданных группах. Сюда обычно включают встроенные
группы, такие как Администраторы (Administrators), Операторы архива (Backup Operators)
и другие, имеющие по умолчанию права администратора. В эту категорию могут быть
включены и иные группы, безопасность которых требует особого внимания и членство
в коюрых должно регулироваться на уровне политики.
Системные службы (System Services). Настройка безопасности
и параметров загрузки для работающих на компьютере служб.
Реестр (Registry). Настройка прав доступа к различным
разделам реестра. (Значения параметров реестра можно задавать в доменных GPO объектах
с помощью предпочтений (preferences).)
Файловая система (File System). Настройка прав
доступа к определенным файлам.
Политики проводной сети (IEEE 802.3) (Wired Network (IEEE 802.3) Policies). Настройка параметров клиентов, подключающихся
к проводным сетям, принадлежащим разным доменам.
Брандмауэр Windows в режиме повышенной безопасности (Windows Firewall with Advanced Security). Настройка
правил и других параметров встроенного брандмауэра Windows (Windows Firewall).
Политики диспетчера списка сетей (Network List
Manager Policies). Настройка типов размещения для сетей, доступных компьютеру.
Политики беспроводной сети (IEEE 802.111) (Wireless Network (IEEH 802.11) Policies). Централизованная настройка параметров
(включая методы проверки подлинности) клиентов беспроводной сети в доменах Active
Directory.
Политики открытого ключа (Public Key Policies).
Настройка политик безопасности в отношении шифрования информации с помощью EFS и
BitLocker, авторизации корневого сертификата в масштабах домена, авторизации доверенного
сертификата и т.д.
Политики ограниченного использования программ
(Software Restriction Policies). Политики, указывающие на то, какие приложения могут,
а ка кие программы не могут выполняться на локальном компьютере.
Защита доступа к сети (Network Access Protection). Настройка
поли тик, определяющих требования к клиенту, подключающемуся к сети, и предоставляющих
полный или ограниченный доступ к сети в зависимо сти от того, насколько клиент соответствует
этим требованиям. В процее се проверки могут анализироваться различные аспекты безопасности:
на личие обновлений программных средств и антивирусной защиты, параметры конфигурации
и брандмауэра, список открытых и закрытых портов TCP/IP и т.д.
Политики управления приложениями (Application Control
Policies). Управление средством AppLocker, представляющим собой новую функцию в
системах Windows 7 и Windows Server 2008 R2, предназначенную для контроля за установкой
и использованием приложений в корпоративной среде.
Политики IP-безопасности (IP Security Policies).
Настройка политик безопасности IP для компьютеров, находящихся в определенной области
действия.
Конфигурация
расширенной политики аудита (Advanced Audit Policy Configuration).
Политики, позволяющие централизованно настраивать аудит в системах Windows 7 и Windows
Server 2008 R2.
Краткий обзор опций безопасности, которые можно настроить в списке центра действий:
Центр
действий (Action Center): центр действий пришел на замену центру безопасности. В
центре действий вы можете указывать действия, которые ОС будет выполнять. С вашего
разрешения действия могут выполняться. Здесь вам будет сказано, если ваша антивирусная
программа не обновлена. Вы можете заходить в центр действий для выполнения действий,
связанных с безопасностью.
Опции
интернета (Internet Options): веб просмотр любого типа открывает двери для потенциальных
рисков, связанных с интернетом. Если вы используете прокси-сервер, пользуетесь веб
фильтрацией (и мониторингом) и постоянно обновляете свою ОС самыми последними обновлениями,
вы можете оказаться в ситуации, где безопасность может быть скомпрометирована. В
приложении опций интернета в панели управления (Internet Options Control Panel)
вы можете указывать зоны безопасности, разрешать доступ только к определенным URL
адресам, разворачивать расширенные параметры безопасности в закладке Дополнительно
(Advanced) и многое другое. Сам браузер оснащен фильтром фишинга, который предотвращает
атаки фишинга (Phishing), а также имеет другие настраиваемые опции, такие как InPrivate
Browsing, которая не позволяет хранить вашу личную информацию, что особенно полезно
при использовании компьютера в публичных интернет-кафе.
Брандмауэр
Windows: как и любой другой программный или аппаратный межсетевой экран, брандмауэр
Windows Firewall может предотвращать базовые атаки по умолчанию, и его можно настраивать
многогранно для высокого уровня контроля над тем, что может входить и исходить с
системы вашего компьютера, когда он подключен к публичной или частной сети. Перейдя
в панель управления и выбрав брандмауэр Windows, вы получите доступ к большинству
параметров конфигурации брандмауэра. Вы можете нажать на кнопку дополнительных параметров
(Advanced) в диалоге для доступа к дополнительным параметрам и опциям конфигурации.
В Windows 7 вы можете разворачивать несколько политик брандмауэра одновременно и
использовать обозначение домена (Domain designation) для более простой настройки
и управления брандмауэром Windows.
Персонализация
(Personalization): опции персонализации представляют собой то место, где можно изменять
внешний вид Windows, но здесь же вы можете настраивать пароли своей экранной заставки.
Если Windows 7 используется на предприятии, пользователей необходимо научить тому,
как запирать свои рабочие станции всякий раз, когда они покидают свое рабочее место,
или создать параметры политики, которые бы делали это автоматически после определенного
периода бездействия системы; экранная заставка, если настроить ее на запрос повторного
входа после такого периода, может быть очень полезной. Дома это может стать вашей
лучшей линией защиты, если вы покидаете компьютер и забываете его запереть.
Обновления
Windows Update: все версии программного обеспечения требуют определенный уровень
исправлений. Можно подготавливать, тестировать и пытаться разработать идеальный
продукт, но невозможно учесть все. Также обновления и новые выпуски программ требуются
для обновления вашей системы в течение ее использования. Поскольку в системе имеются
усовершенствования, требования, необходимые для других технологий разработки, новые
уязвимости безопасности и обновления драйверов для более хорошей производительности
и функциональности, всегда будет необходимость в использовании Windows Update. Windows
(и Microsoft) Upd ate или производственные версии управления исправлениями (например,
WSUS) используются для централизованного управления и установки обновлений. Эти
инструменты используются для контроля, отслеживания и мониторинга ваших текущих
и будущих потребностей в обновлениях. Настройте автоматическое обновление, или возьмите
за правило делать это вручную, поскольку это просто необходимо делать. Если вы не
будете обновлять свою систему, как рекомендуется (а иногда требуется), вы подвергаете
себя риску атаки.
Программы
и функции (Programs and Features): помимо обновлений Windows Updates вам также нужно
часто проверять, что установлено у вас в системе, особенно если вы работаете в интернете
и/или загружаете программные продукты с интернет серверов. Например, установка простого
обновления Java, если вы не внимательно прочитали информацию по нему во время установки,
может также установить панель инструментов в вашей системе, которая интегрируется
в ваш веб браузер. Сейчас это контролируется более жестко, но в любом случае, вам
следует время от времени проверять, что установлено у вас в системе.
Windows
Defender: шпионские программы - это приложения, которые изначально использовались
для незаконной торговой деятельности, и которые выполняют такие вещи, как повышение
нагрузки, перенаправление вашего обозревателя и отправка информации о ваших действиях.
Хотя антивирусные программы блокируют некоторые из таких приложений, Windows Defender
(или другое ПО для удаления шпионских программ) нужно использовать для отчистки
оставшихся шпионских программ. Куки (Cookies), хотя и безвредные по своей природе,
могут иногда подвергаться манипуляциям для незаконных целей. Убедитесь, что Windows
Defender часто обновляется новыми файлами дефиниций и исправлениями, чтобы быть
уверенным в том, что он способен обнаружить самые свежие шпионские программы. SpyNet
- это сообщество, к которому обращаются специалисты Microsoft для наблюдения, изучения
и устранения ущерба от шпионских программ.
Пользовательские
учетные записи (User Accounts): управление учетными записями пользователей является
основой защиты доступа к вашему компьютеру, равно как и ко всему, что работает под
его управлением. Например, если вы создадите новую учетную запись пользователя и
включите ее в группу администраторов, у вас будет полный доступ к системе компьютера.
Если вы настроите учетную запись в качестве обычного пользователя, то ее разрешения
будут очень ограниченными и позволят выполнять лишь ряд базовых функций пользователя.
Вы также можете настроить пароли, которые при создании в соответствие с требованиями
политики паролей, заставляют пользователей создавать сложные для взлома пароли,
что предотвращает большинство базовых атак. Если установлен Windows Server 2008
и Active Directory, вы можете получать доступ к домену, который (если вы являетесь
его участником) позволит вам более гибко настраивать разрешения файловой системы
NTFS для папок и файлов, а также прочих ресурсов с общим доступом, таких как принтеры.
Опции
питания (Power Options): приложение Power Options Control Panel является тем местом,
где вы настраиваете стандартное поведение операционной системы, когда она отключена,
закрыта или находится в спящем режиме. Для большей степени безопасности рекомендуется
устанавливать параметр на запрос пароля при выходе машины из спящего режима. Всякий
раз, когда появляется возможность включения контроля доступа пользователей, следует
ее использовать.
Итак, если вам нужно применить меры безопасности в Windows 7, меню Пуск может
сослужить хорошую службу в качестве отправной точки для укрепления системы и открывает
дверь ко многим доступным инструментам. Есть много опций, которые можно использовать
для укрепления вашей системы Windows 7, особенно панель управления. Использование
меню Пуск также является простым способом обеспечить основную линию защиты вашей
системы после изначальной установки. Рекомендуется создавать основную линию безопасности
после первичной установки и конфигурации вашей системы, что потребует от вас настройки
всех параметров безопасности, приложений и загрузки исправлений и обновлений с последующим
созданием резервной копии всей системы с помощью утилиты System Restore. Так у вас
будет снимок системы в свежем состоянии на тот случай, если вам нужно будет вернуть
систему в такое состояние. Можно создать точку восстановления, которая может использоваться,
если система была взломана, и это позволит вам вернуть базовое состояние системы
с примененными параметрами безопасности.
SeAuditPrivilege. Данный параметр разрешает службе
или учетной записи указывать параметры аудита доступа к объектам для отдельных ресурсов
(файлов, объектов Active Directory, разделов реестра). То есть создавать записи
в стандартном журнале безопасности системы (eventvwr. msc) при помощи API-функции
ReportEvent.
Еще
данное право разрешает очищать журнал безопасности оснастки eventvwr. msc.
По
умолчанию данное право предоставлено группе "Администраторы". Вы же можете
самостоятельно выбрать пользователей и группы, которым будет предоставлено данное
право. Для этого надо войти в раздел Конфигурация компьютера > Конфигурация Windows
> Параметры безопасности > Локальные политики > Параметры безопасности
оснастки "Редактор локальной групповой политики" и включить политику
"Управлять аудитом и журналом безопасности".
SeCreatePermanentPrivilege. Данный параметр позволяет
службе или учетной записи создавать постоянные объекты, которые будут не удаляемыми
при отсутствии ссылок на них. Например, создавать объекты каталога с помощью диспетчера
объектов.
По
умолчанию данное право никому не предоставлено, но вы можете самостоятельно выбрать
пользователей и группы, которым будет предоставлено данное право. Для этого надо
войти в раздел Конфигурация компьютера > Конфигурация Windows > Параметры
безопасности > Локальные политики > Параметры безопасности оснастки
"Редактор локальной групповой политики" и использовать политику
"Создание постоянных общих объектов раздела".
SeCreateTokenPrivilege. Данный параметр разрешает
службе или учетной записи создавать первичные маркеры. То бишь: учетная запись может
создать маркер, содержащий любые SID и привилегии, и запустить с его помощью процесс.
По
умолчанию данное право никому не предоставлено, но вы можете самостоятельно выбрать
пользователей и группы, которым будет предоставлено данное право. Для этого надо
войти в раздел Конфигурация компьютера > Конфигурация Windows > Параметры
безопасности > Локальные политики > Параметры безопасности оснастки
"Редактор локальной групповой политики" и использовать политику
"Создание маркерного объекта".
SeEnableDelegationPrivilege. Данный параметр используется в Active Directory для делегирования
учетных записей и определяет, может ли данная учетная запись устанавливать параметр
"Делегирование разрешено" для пользовательского или компьютерного объекта.
Этот
параметр можно устанавливать только для тех учетных записей пользователей или компьютеров,
для которых снят флажок "Учетная запись не может быть делегирована". По
умолчанию в Windows 7 данное право никому не предоставлено. А на контроллере домена
данное право по-умолчанию предоставлено группе "Администраторы".
Вы
можете самостоятельно выбрать пользователей и группы, которым будет предоставлено
данное право. Для этого надо войти в раздел Конфигурация компьютера > Конфигурация
Windows > Параметры безопасности > Локальные политики > Параметры безопасности
оснастки "Редактор локальной групповой политики" и использовать политику
"Разрешить доверия к учетным записям компьютеров и пользователей при делегировании".
SeLockMemoryPrivilege. Данное право разрешает службе
или учетной записи выполнять блокировку физических страниц памяти.
Блокировка
физических страниц памяти запрещает сброс блокированных страниц в файл подкачки
на диск. То есть они всегда будут находиться в оперативной памяти.
В Windows
7 данное право по умолчанию никому не предоставлено.
Вы
можете самостоятельно выбрать пользователей и группы, которым будет предоставлено
данное право. Для этого войдите в раздел Конфигурация компьютера > Конфигурация
Windows > Параметры безопасности > Локальные политики > Параметры безопасности
оснастки "Редактор локальной групповой политики" и используйте политику
"Блокировка страниц в памяти".
SeMachineAccountPrivilege. Данное право необходимо,
чтобы диспетчер учетных данных безопасности SAM разрешил добавление компьютера к
домену. Если пользователь обладает данным правом, он может добавить до десяти компьютеров
в домен.
По
умолчанию данное право предоставлено пользователям, прошедшим проверку подлинности
на контроллере домена.
Вы
можете самостоятельно выбрать пользователей и группы, которым будет предоставлено
данное право. Для этого войдите в раздел Конфигурация компьютера > Конфигурация
Windows > Параметры безопасности > Локальные политики > Параметры безопасности
оснастки "Редактор локальной групповой политики" и используйте политику
"Добавление рабочих станций к домен".
SeSyncAgentPrivilege. Данное право позволяет пользователям выполнять синхронизацию
Active Directory. Оно позволяет читать объекты и свойства каталога Active Directory,
даже если их атрибуты защиты это запрещают.
В Windows
7 данное право по умолчанию никому не предоставлено.
Вы
можете самостоятельно выбрать пользователей и группы, которым будет предоставлено
данное право. Для этого войдите в раздел Конфигурация компьютера > Конфигурация
Windows > Параметры безопасности > Локальные политики > Параметры безопасности
оснастки "Редактор локальной групповой политики и используйте политику
"Синхронизировать данные службы каталогов".
В некоторых
случаях доступ к редактированию реестра может получить не только администратор или
непосредственный владелец компьютера, но и простые пользователи. Подобные ситуации
потенциально опасны тем, что лица, не обладающие достаточным опытом, при изменении
каких-либо настроек случайно выведут реестр из строя, что отрицательно скажется
на работоспособности системы. Именно по этой причине в Microsoft Windows XP имеется
возможность ограничить доступ к отдельным разделам и подразделам реестра для отдельных
пользователей и групп пользователей. Для этого:
1.
Выделите в Панели разделов ключ или подраздел, для которого вы хотите настроить
параметры безопасности;
параметр безопасность
операционная система
2.
Выполните последовательность команд Правка->Разрешения (Edit->Permissions).
На экране появится окно настройки параметров безопасности для выбранного раздела
реестра (рис. 20.4);
3.
В списке Группы или пользователи (Group or user names) выберите обозначение пользователя
или группы пользователей, для которых устанавливаются разрешения. Чтобы удалить
из списка пользователя или группу пользователей, нажмите на кнопку Удалить (Remove).
4.
Для того чтобы добавить в список локального или сетевого пользователя, либо группу
пользователей, щелкните мышью на кнопке Добавить (Add). На экране появится окно
Выбор: Пользователи или Группы (Select users or groups). Чтобы изменить тип добавляемого
объекта, нажмите на кнопку Типы объектов (Object types) и выберите из предлагаемого
списка требуемый вариант: Встроенные участники безопасности (Built-in security principals),
Группы (Groups) и Пользователи (Users). В том же окне вы можете установить компьютер,
для которого настраиваются параметры безопасности, щелкнув мышью на кнопке Размещение
(Locations). По умолчанию предлагается локальный компьютер. Сами имена добавляемых
в список объектов можно ввести через точку с запятой в поле Введите имена выбираемых
объектов (Enter the object names to select). Допускается использование следующих
форматов имен:
выводимое
имя, например, имя и фамилия пользователя;
имя
объекта, например, сетевое имя компьютера;
имя
пользователя, в том виде, в котором оно зарегистрировано на целевом компьютере;
имя_объекта@имя_домена
- напр., сетевое имя компьютера в зарегистрированном домене локальной сети;
имя_домена\имя_объекта
- напр., имя зарегистрированного пользователя в одном из доменов локальной сети.
5.
В нижней части окна настройки параметров безопасности установите флажки для тех
типов действий, которые разрешены или запрещены выбранным пользователям или группам
пользователей на данном компьютере. Предлагаются варианты Полный доступ (Full control),
Чтение (Read) и Особые разрешения (Special permissions) (см. ниже). Следует понимать,
что эти разрешения и запреты настраиваются не для всего реестра в целом, а только
для ветви, ключа или подраздела, который вы первоначально указали в Панели разделов
программы Редактор реестра.
Под
особыми разрешениями в терминологии системы безопасности реестра Windows XP понимаются
такие настройки доступа к элементам реестра, которые управляются правилами владения
объекта, наследования и аудита. Владелец объекта в Windows XP - это пользователь
операционной системы, который создал данный объект, либо наделен полномочиями администратора
для управления этим объектом, включая возможности его полной настройки и удаления.
Применительно к реестру Windows XP владелец объекта может управлять всеми разрешениями
для данного объекта вне зависимости от разрешений, установленных для объекта по
умолчанию. Владельцем всех элементов реестра в Windows XP автоматически считается
администратор компьютера.
Правило
наследования разрешений подразумевает, что разрешения и запреты, установленные для
родительского элемента реестра Windows, наследуются его дочерними элементами. Например,
разрешения, настроенные для ветви реестра HKLM автоматически наследуются всеми ключами
и подразделами данной ветви. При указании особых разрешений администратор компьютера
может изменить этот принцип, задав для некоторых дочерних ключей и подразделов реестра
иные разрешения, нежели для всей ветви в целом.
Аудит
событий безопасности позволяет фиксировать и записывать в специальный журнал безопасности
Microsoft Windows XP Professional все системные события, относящиеся к вопросам
общей безопасности системы. В частности, к таким действиям относятся обращения пользователей
компьютера к реестру Windows, защищенным файлам и папкам, попытки пользователей
выполнить запрещенные администратором компьютера или политикой безопасности действия.
При этом в журнале фиксируются объект аудита, действия, подвергаемые аудиту, точные
типы действий для аудита, имя пользователя, выполнявшего подвергаемые аудиту действия
или пытавшегося выполнить какие-либо запрещенные процедуры. Впоследствии журнал
безопасности может быть проанализирован администратором компьютера с целью выявления
недостатков системы безопасности и брешей в защите Windows от несанкционированных
действий пользователей.
Разрешения,
действующие для реестра Windows XP, жестко привязываются к пользователям и группам
пользователей, с одной стороны, и к фактическим объектам, для которых они назначены,
с другой. Наиболее эффективными с точки зрения безопасности считаются разрешения,
заданные для пользователя, группы пользователей или компьютера в целом на основе
членства в группах, либо явно указанные администратором. К разрешениям, которые
могут быть настроены для пользователя, группы пользователей или компьютера, относятся
следующие:
чтение
установленных для объекта разрешений;
смена
владельца объекта;
создание
или удаление связи между объектами;
запись
избирательной таблицы в реестре;
просмотр
подразделов текущего раздела реестра;
просмотр
и изменение значений параметров;
создание
и удаление подразделов в текущем разделе;
полный
доступ к разделу реестра.
Настройка
особых разрешений для какого-либо раздела или подраздела реестра осуществляется
в окне Дополнительные параметры безопасности, которое открывается по щелчку мышью
на кнопке Дополнительно в окне настройки параметров безопасности для выбранного
раздела реестра. Ниже будут подробно описаны основные возможности при настройке
особых разрешений для какого-либо раздела реестра.
1.
Параметры безопасности реестра windows 7.
Редактор реестра (regedit)
- инструмент, предназначенный для опытных пользователей. Этот инструмент
предназначен для просмотра и изменения параметров в системном реестре, в котором
содержатся сведения о работе. Изменения параметров безопасности реестра так же способны
повысить уровень безопасности данных.
Отключить редактирование
меню Пуск
Откройте раздел
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
и создайте в нем параметр типа DWORD с именем NoChangeStartMenu и значение
параметра должно быть равно 1
Запрет запуска Панели
управления
В разделе
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
создайте параметр типа DWORD с именем NoControlPanel и установите значение
параметра 1
Отключить запуск
Диспетчера задач В разделе HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies
создайте дополнительный подраздел с именем System (если его нет) и в этом
разделе создайте параметр типа DWORD с именем DisableTaskMgr и значение 1.
Теперь при вызове Диспетчера задач этот пункт в меню Панели задач будет не
активен
Отключить автозагрузку
USB-устройст, приводов, съемных дисков, сетевых дисков
Открываем раздел реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
и создаем новый раздел с именем Explorer В этом разделе создаем параметр
типа DWORD с именемNoDriveTypeAutoRun Значение параметра выбираем на своё
усмотрение 0x1 - отключить автозапуск на приводах неизвестных типов 0x4
- отключить автозапуск съёмных устройств 0x8 - отключить автозапуск НЕсъёмных
устройств 0x10 - отключить автозапуск сетевых дисков 0x20 - отключить
автозапуск CD-приводов 0x40 - отключить автозапуск RAM-дисков 0x80
- отключить автозапуск на приводах неизвестных типов 0xFF - отключить автозапуск
вообще всех дисков
Отключить просмотр
общих ресурсов анонимным пользователям
В разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
измените значение параметраrestrictanonymous на 1
Отключаем "расшаренные"
административные ресурсы C$, D$, ADMIN$
Открываем редактор реестра
и в разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
создаем параметр типа DWORD и именем AutoShareWks. Значение параметра - 0.
Теперь если открыть Управление компьютером - Общие папки - Общие ресурсы, то кроме
IPC$ ничего не должно быть.
Отключение запуска
Командной строки
Откройте раздел HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows
и создайте дополнительный подраздел System с параметром типа DWORD DisableCMD,
значение параметра могут иметь следующие:
·
0 - разрешить использовать Командную строку
·
1 - запретить использовать Командную строку
·
2 - разрешить запуск командных файлов
Отключить изменение
обоев рабочего стола
В разделе HKEY_CURRENT_USER\
Software\ Microsoft\ Windows\ CurrentVersion\ Policies создайте подраздел ActiveDesktop
и в нем параметр типа DWORD с именем NoChangingWallPaper со значением 1
Отключение Рабочего
стола
Откройте раздел
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
и создайте в нем параметр типа DWORD с именем NoDesktop и значением 1.
Вернуть Рабочий стол можно изменить параметр на 0 или удалить его.
Запрет запуска Редактора
реестра (regedit)
Откройте раздел HKEY_CURRENT_USER\
Software\ Microsoft\ Windows\ CurrentVersion\ Policies и создайте в нем подраздел System. В этом
подразделе создайте параметр типа DWORD с имнем DisableRegistryToolsс именем
1.
Примечание. Если не сделать экспорт этого раздела где параметр DisableRegistryTools
имеет значение 0, или не создать заранее reg-файл, для возврата запуска Редактора
реестра, то запуск будет невозможен. Для создания reg-файла откройте блокнот и скопируйте
в него эти строки
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword: 00000000
Сохраните этот файл
под любым, удобным для вас именем, и поменяйте расширение txt на reg. Теперь для
возврата запуска Редактора реестра запустите этот файл.
Отключение автоматического
обновления Internet Explorer
Откройте раздел HKEY_CURRENT_USER\Software\Microsoft\Internet
Explorer\Main и установите значение параметра NoUpdateCheck равное 1
Запретить автоматическое
обновление Media Player
Откройте раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MediaPlayer\PlayerUpgrade
и создайте строковый параметр AskMeAgain со значение no. И проверьте
параметр EnableAutoUpgrade, его значение установите no
Запрет запуска определенных
программ
Задать список программ,
которые не будут запущены пользователем можно в разделе HKEY_CURRENT_USER\ Software\Microsoft\Windows\
CurrentVersion\Policies\Explorer\DisallowRun. Если подраздела DisallowRun
нет - создайте его. Создайте строковый параметр (REZ_SZ) с именем1 (порядковый
номер программ, вторая программа будет с именем 2, и т. д) Значени е параметров
- это имя программы с расширение exe, например AkelPad. exe
Отключение сообщения
о недостатке свободного места Откройте раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer,
создайте в нем параметр типа DWORD с именем NoLowDiskSpaseChecks и установите
значение параметра 1 Откройте раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
Search\Gather и измените значение параметра LowDiskMinimumMBytes на 0
Откройде раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Search\Gathering Manager
и измените значение параметра BackOffLowDiskThresholdMB на 0 Примечание:
Чтобы менять значения в разделе могут понадобится права администратора. Для этого
надо сделать следующее: Пуск - Все программы - Стандартные. Правой клавишей на Командная
строка - Запуск от имени администратора. Ведите команду regedit. Теперь
на разделе Gathering Managerкликните правой кнопкой и выберите Разрешения.
В открывшемся окне выберите Дополнительно. Перейдите во вкладку Владелец
и выберите свою учетную запись (У вас должны быть права администратора). Применить
и ОК.
После этих изменений,
если на диске будет меньше 10% свободно места, не будет работать система восстановления
и дефрагментация диска.
Запрет на установку
простого пароля
Дополнительная функция
для усложнения пароля. По мимо установки минимальной длины, это параметр задает
еще и буквенно-цифровой пароль. Откройте раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies,
создайте подраздел Networkи в этом подразделе создайте параметр типа DWORD
с именем AlphanumPwds и значение параметра установите 1
Запретить отсылать
данные в Microsoft SpyNet
Если вы используете
"Защитник Windows", встроенный в Windows 7 по умолчанию, то Microsoft
собирает информацию не только об ошибках в программах, но и о вашей ОС. Чтобы отключить
оправку данных: Пуск - Панель управления - Защитник Windows. В открывшемся окне
нажмите на иконку "Программы" в верхнем меню, затем перейдите по ссылке
"Microsoft SpyNet". В диалоговом окне выберите опцию "Не присоединяться
к сообществу Microsoft SpyNet" и сохраните изменения
В данном реферате были
рассмотрены опции и параметры безопасности ОС Windows 7, а
так же базовые (и расширенные) способы их изменения с целью повышения защищенности
данных, хранимых на PC.
Win7 обладает достаточной
высокой встроенной защищенностью от внешних угроз, а так же гибким набором настроек,
повышающих безопасность ОС в целом. Списки настроек и параметров приведены в самом
реферате, а так же различные способы редактирования данных настроек с целью повышения
безопасности ОС.
http://www.winline.ru/os/windows_7/
http://www.magicpc.
spb.ru/
http://www.anti-malware.ru/
http://windxp.com.ru/
http://www.os-7.ru
http://www.winpedia.ru
Размещено на Allbest.ru
Оставьте свой комментарий
Авторизуйтесь, чтобы задавать вопросы.