使用windows組策略對計算機(jī)進(jìn)行安全配置

1、綜合性實(shí)驗(yàn)項(xiàng)目名稱：使用windows組策略對計算機(jī)進(jìn)行安全配置、實(shí)驗(yàn)?zāi)康募耙?1 .組策略是管理員為用戶和計算機(jī)定義并控制程序，網(wǎng)絡(luò)資源及操作系統(tǒng)行為的主要工具通過使用組策略可以設(shè)置各種軟件，計算機(jī)和用戶策略。2 .我們通過實(shí)驗(yàn)，學(xué)會使用組策略對計算機(jī)進(jìn)行安全配置。、實(shí)驗(yàn)基本原理:組策略是管理員為用戶和計算機(jī)定義并控制程序，網(wǎng)絡(luò)資源及操作系統(tǒng)行為的主要工具通過使用組策略可以設(shè)置各種軟件，計算機(jī)和用戶策略。三、主要儀器設(shè)備及實(shí)驗(yàn)耗材：PC機(jī)一臺，Windows2000系統(tǒng)，具有管理員權(quán)限賬戶登錄四、注意事項(xiàng)必須以管理員或管理員組成員的身份登錄win2000系統(tǒng)計算機(jī)配置中設(shè)置的組策略級別要高

2、于用戶配置中的級別策略五、實(shí)驗(yàn)內(nèi)容與步驟1 .在“開始”菜單中，單擊“運(yùn)行”命令項(xiàng)，輸入gpedit.msc并確定，即可運(yùn)行程序。依次進(jìn)行以下實(shí)驗(yàn)：隱藏驅(qū)動器平時我們隱藏文件夾后，別人只需在文件夾選項(xiàng)里顯示所有文件，就可以看見了，我們可以在組策略里刪除這個選項(xiàng)。1.使用策略前，查看“我的電腦”的驅(qū)動器，如圖6-1所示昌m®m軟盤一飆，本地磁盤（C：）光盤（口:）控制面板niHinmamriAiBiviEir,圖6-1使用策略前，我的電腦，如圖6-2所示。2 .選擇“用戶配置一管理模板一windows組件一windows資源管理器”臊作®查看出囪的囹隔省樹|卜菖機(jī)"

3、策略期配置PKS軟件設(shè)置Windaws設(shè)置莒理模板Windows姐件r+1LJNetMeeting由_InternetExplorer由二3Windows資源管理器國LjMkrosoFtManagementConsole1二任務(wù)計劃程序二IWindows安裝服務(wù):口WindowsUpdate_J任務(wù)欄和開始菜單1桌面一|控制面板6*耳立1于通正雅妻i奉聿罪名卡-I二九M 策略|說明爭 隱藏.我的電胞”中的這些指定的驅(qū)動器r未配置©商啟用®禁用0選擇下列組合中的一個正艮制所有驅(qū)動器圖6-23.使用策略后，查看“我的電腦”的驅(qū)動器，如圖6-3所示圖6-3使用策略后,我的電腦隱藏

4、驅(qū)動器(2) .禁止來賓賬戶本機(jī)登錄使用電腦時，我們有時要離開座位一段時間，如果有很多正在打開的文檔還沒有處理完成或者正在使用隱私內(nèi)容時，為了避免有人動用電腦，我們一般會把電腦鎖定。但是在局域網(wǎng)中，為了方便網(wǎng)絡(luò)登錄，我們有時候會建立一些來賓賬戶，如果對方利用這些賬戶來注銷當(dāng)前賬戶并登錄到別的賬戶，就會給正常工作帶來影響。我們可以通過“組策略”來禁止一些賬戶在本機(jī)上的登錄，讓對方只能通過網(wǎng)絡(luò)登錄。在“組策略”窗口中依次才T開“計算機(jī)配置一>windows設(shè)置一>安全設(shè)置一>本地策略一>用戶權(quán)限分配”，然后雙擊右側(cè)窗格的”拒絕本地登錄”項(xiàng)，在彈出的窗口中添加要禁止的用戶或組

5、即可實(shí)現(xiàn)，如圖6-4所示圖6-4選擇用戶和組采取拒絕本地登錄策略，如圖6-5所示圖6-5拒絕本地登錄(3) .開啟審核策略在“計算機(jī)配置一windows設(shè)置一安全設(shè)置一本地策略一審核策略”上，我們可以看到它可以審核策略更改，登錄事件，對象訪問，過程追蹤，目錄服務(wù)訪問，特權(quán)使用等，這些審核可以記錄下你某年某月某日某時某分某秒做過了什么操作：幾時登錄，關(guān)閉系統(tǒng)或更改過哪些策略等等，如圖6-6所示圖6-6審核策略我們應(yīng)該養(yǎng)成經(jīng)常在“控制面板一管理工具一事件查看器”里查看事件的好習(xí)慣。比如，當(dāng)你修改過“組策略”后，系統(tǒng)就發(fā)生了問題，此時“事件查看器“就會及時告訴你修改了哪些策略，在“登錄事件”里，你可

6、以查看到詳細(xì)的登錄事件，知道有人就嘗試使用禁用的賬戶登錄，誰的賬戶密碼已過期而要啟用哪些審核，只要雙擊相應(yīng)的項(xiàng)目，選中“成功”和“失敗”兩個選項(xiàng)即可.禁止彳改IE瀏覽器主頁如果你不希望他人或網(wǎng)絡(luò)上的一些惡意代碼對自己設(shè)定的IE瀏覽器主頁進(jìn)行隨意的更改，我們可以選擇“用戶配置一管理模板一windows組件一internetexplorer禁用更改主頁設(shè)置”，如圖6-7所示禁用更改主頁設(shè)置層性第咯I說明I國禁用更改主頁設(shè)置r未配置©G追用也Wc禁用但上一策略出I下一策略值I確定I取消I應(yīng)用®I圖6-7禁止更改主頁設(shè)置禁止更改主頁設(shè)置后，查看Internet屬性，如圖6-8所示圖

7、6-8所示Internet屬性1 .還提供了“更改歷史記錄設(shè)置，更改顏色設(shè)置，更改internet臨時文件設(shè)置”等項(xiàng)目的禁用功能。如果啟用了這個策略，在IE瀏覽器的“Internet選項(xiàng)”對話框，在“常規(guī)”選項(xiàng)卡的“主頁”區(qū)域的設(shè)置將變灰禁止更改歷史記錄設(shè)置，如圖6-9所示禁用更改歷史記錄設(shè)置屋性a兇第咯I說明I國禁用更改歷史記錄設(shè)置未配置。Gi菖由“市下c禁用如上一策略U)I下一策略I璃定I取消I應(yīng)用應(yīng)圖6-9更改歷史記錄設(shè)置禁止更改顏色設(shè)置，如圖6-10所示圖6-10更改顏色設(shè)置禁止更改internet臨時文件設(shè)置，如圖6-11所示圖6-11更改internet臨時文件設(shè)置2 .如果設(shè)置了

8、“用戶配置一管理模板一windows組件一InternetexplorerInternet控制面板一禁用常規(guī)頁”，則“常規(guī)”選項(xiàng)被刪除禁用常規(guī)頁，如圖6-12所示禁用富視頁展性策略|說明|用禁用常挑頁未配置©宦用螫c禁用如上彳策咯(£)I下一策略國)I確定|取消|應(yīng)用國|圖6-12常規(guī)頁設(shè)置3.逐級展開“用戶設(shè)置一管理模板一windows組件一Internetexplorer",包括了"Internet控制面板，脫機(jī)頁，瀏覽器菜單，工具欄，持續(xù)行為，管理員認(rèn)可”等策略選項(xiàng)。利用它可以打造一個極有個性和安全的IE,如圖6-13所示inlX I二軟件設(shè)置*3

9、口 Windows 設(shè)置管理模板Q用尸配置，軟件設(shè)置: Windows 置_|管理模板三_J Widows組件0 口 PJetMsetrig _J Internet Explorer_I intemet控制面4 口脫機(jī)頁 二I瀏覽器菜單 ，工具欄_|持建行為口管理員認(rèn)可的控_ 田U Window資源管理器 司 口 Microsoft ManagemeniI任事計劃程序口 Window安裝服務(wù) _Windows Update -I操作®查看9W囪甌/虛策略/設(shè)置士internet控制面板!«iiiMAiikmuiii.buiiMaiiiiiiiiiKMailuiMauwiii

10、iiiHibuiiiii口脫機(jī)頁口瀏覽器菜單口工具欄捋續(xù)行為管理員方的控件他對撥號連接使用*自動檢ur未被配：號搜索:禁用在瀏覽器中通過按F3查找文件未被麻梗案:禁用自定義攫素未枝配1國顯示有關(guān)代理腳本下載失畋的出錯信息未被配:靜標(biāo)識管理器:禁止用戶使用標(biāo)識未裾比卻禁止自動完成功能保存密碼耒猴配1峰禁用InternetExplorer的外部商標(biāo)未被配：稼I禁用Internet連接向?qū)春?yōu)母禁用唾置Web設(shè)置呦能耒橫配命禁用導(dǎo)入和導(dǎo)出收薇夾未被配：國禁用更改Internet臨時文件設(shè)置已啟用國禁用更改主頁設(shè)置已后庠第禁用更改代理服務(wù)器設(shè)置未被配：禁用更改分級設(shè)置未被配歸圖6-13IE管理設(shè)置(5).禁用IE組件自動安裝計算機(jī)配置一管理模板一windows組件一Internetexplorer禁用Internetexplorer組件的自動安裝一啟用，將會禁止Internetexplorer自動安裝組件。這樣可以防止Internetexplorer在用戶訪問到需要某個組件的網(wǎng)站時