Локальная политика безопасности

Доброго времени суток. Сегодня рассмотрим не самую простую тему, а большинство ее просто игнорирует (очень часто напрасно) — это
настройки «Локальной политики безопасности» (Windows Local Security Policy).
Локальная политика безопасности - это встроенное приложение для настольных компьютеров в операционной системе Windows. Иногда ее нужно применять для улучшения безопасности учетных записей. Также она определяет и другие степени безопасности на компьютере любого пользователя. Они могут включать блокировку паролей и учетную информацию, а также установку прав пользователям. Политики безопасности домена будут переопределять Local Security Policies, поэтому следует соблюдать осторожность при применении локальных политик в домене.

Локальная политика безопасности доступна не во всех домашних версиях Windows, поэтому проверьте свою версию, чтобы убедиться, что она доступна для вас.

Существуют несколько способов войти в локальную политику безопасности на компьютере с установленной Windows.

Способ 1: с помощью поиска

Начните вводить «локальную политику безопасности» (без кавычек) в поле поиска в левой части панели задач Windows 10. Когда в списке результатов поиска появится «Локальная политика безопасности» (настольное приложение), щелкните ее, чтобы открыть.


Способ 2: из меню Пуск

Откройте меню «Пуск» Windows 10 и выберите «Все приложения»> «Администрирование Windows»> «Локальная политика безопасности».


Способ 3: через диалоговое окно «Выполнить»

В диалоговом окне «Выполнить» с помощью клавиши Win + R, вставьте в пустое поле secpol.msc и нажмите « ОК». Далее откроется локальная политика безопасности.


Способ 4: с помощью командной строки или Windows PowerShell

Шаг 1. Откройте окно командной строки или откройте окно Windows PowerShell.

Шаг 2: Введите secpol (или secpol.msc) и нажмите Enter. Затем откроется Local Security Policies .

После того того, как политика безопасности найдена, можно продолжать настраивать ее дальше.
Каждый из параметров настройки увеличивает «нагрузку» на пользователя при входе в систему, но соответственно повышает безопасность.

История паролей может быть установлена, чтобы предотвратить повторное использование пользователем одного и того же набора паролей, так как они могут быть случайно раскрыты или угаданы. История помнит до 24 паролей.
Помните, что пароли необходимо регулярно менять. Как часто они должны меняться, определяется следующими двумя настройками. Максимальные настройки заставляют пользователя обновлять пароль через заданный период времени, в то время как минимальные не позволяет пользователю менять свой пароль слишком часто.

Максимальное значение для обеих настроек составляет 999 дней.

Более длинный пароль сложнее взломать. Поэтому пользователю может потребоваться использовать пароль минимальной длины. Для большинства сетей рекомендуется 7 символов. Максимум 14 символов - это то, что может потребоваться для политики безопасности.
Несмотря на то, что безопасные пароли зачастую, очень длинные и представляют собой дискомфорт в использовании, поскольку пользователи, как правило, забывают пароли, поэтому для менее важных данных и функций могут быть приемлемы более простые пароли.

Правила сложности пароля не позволяют пользователю использовать, например, длинную строку нулей или их имя в качестве пароля.

Политика учетной записи

Злонамеренные люди могут иногда пытаться угадать пароли, особенно те, что для учетной записи администратора. Можно сдерживать эту практику, блокируя дальнейшие попытки ввода на определенный период времени.

Длительность блокировки определяет, как долго попытки входа в систему игнорируются после определенного количества неудачных попыток входа. Это может быть от 1 до 99999 минут (более двух месяцев). Параметр «0 минут» блокирует машину, пока администратор не разблокирует ее.

Порог блокировки определяет, сколько неправильных попыток входа в систему разрешено до блокировки. Может быть разрешено до 999 попыток. Цифра ноль допускает неограниченные догадки по имени пользователя и паролю.

Счетчик сброса имеет свою функцию в следующем сценарии: пользователь несколько раз набирает свой пароль неправильно и, чтобы избежать неудобства блокировки в течение следующих получаса, предпочитает подождать более короткий промежуток времени, прежде чем сделать еще один, с надеждой угадать или вспомнить пароль.

Между этими тремя параметрами политики блокировки существует логическая связь, и изменение одного из них имеет значение для остальных. В качестве иллюстрации щелкните правой кнопкой мыши элемент «Порог блокировки» и выберите «Свойства».
Выберите разумную цифру для числа недопустимых попыток входа в систему и посмотрите, что произойдет, если нажать кнопку ОК.
Независимо от того, какая опция установлена, это диалоговое окно предлагает разумные настройки для двух других. Нажмите OK, чтобы просмотреть все настройки.

Предлагаемый выбор настроек обычно вполне оправдан.

Назначение прав пользователя

Назначение прав пользователя определяет, какие пользователи или группы имеют права входа в систему или выполнения задач на компьютере. Их использование - лучший и самый гибкий способ защитить рабочую станцию, но в то же время разрешить доступ различным пользователям. Помните, что они могут быть установлены локально, но настройки всего домена могут переопределить их.
Их много, и каждый из них имеет свое применение, в зависимости от обстоятельств использования компанией сети.

Например, пользователям может быть предоставлено право резервного копирования и восстановления.

Обратите внимание на группы по умолчанию, которые имеют эту привилегию, это группа «Администраторы» и «Операторы архива». Отсюда можно легко добавить дополнительных пользователей и группы, нажав кнопку «Добавить пользователя или группу».
Как видите политика безопасности дает гибкую настройку компьютера для пользования широкому кругу людей, при сохранении хранить вашу конфиденциальную информацию скрытой, но:

Внимание!

Не изменяйте параметры локальной безопасности без особых требований, поскольку это может вызвать сбой в работе системы. В большинстве случаев для настройки безопасности достаточно стандартных средств: использования различных типов учетных записей, разрешений NTFS и родительского контроля.

Варианты настройки политики безопасности

Прежде всего, нужно отметить, что по умолчанию политика безопасности настроена оптимально для выполнения повседневных задач рядового юзера. Производить манипуляции в ней нужно только в случае возникновения необходимости решить конкретный вопрос, требующий корректировки данных параметров.

Изучаемые нами настройки безопасности регулируются с помощью GPO. В Виндовс 7 сделать это можно, используя инструменты «Локальная политика безопасности» либо «Редактор локальных групповых политик». Обязательным условием является вход в профиль системы с полномочиями администратора. Далее мы рассмотрим оба этих варианта действий.


Способ 1: Применение инструмента «Локальная политика безопасности»

Прежде всего, изучим, как решить поставленную задачу с помощью инструмента «Локальная политика безопасности».

Чтобы запустить указанную оснастку, щелкните «Пуск» и перейдите в «Панель управления».

Далее откройте раздел «Система и безопасности».

Щелкните «Администрирование».

Из предложенного набора системных инструментов выберите вариант «Локальная политика безопасности».

Также оснастку можно запустить и через окно «Выполнить». Для этого наберите Win+R и введите следующую команду:

secpol.msc

Затем щелкните «OK».

Указанные выше действия приведут к запуску графического интерфейса искомого инструмента. В подавляющем большинстве случаев возникает необходимость откорректировать параметры в папке «Локальные политики». Тогда нужно щелкнуть по элементу с этим наименованием.

В данном каталоге располагается три папки.
В директории «Назначение прав пользователя» определяются полномочия отдельных пользователей или групп юзеров. Например, можно указать, запрет или разрешение для отдельных лиц или категорий пользователей на выполнение конкретных задач; определить, кому разрешен локальный доступ к ПК, а кому только по сети и т.д.

В каталоге «Политика аудита» указываются события, предназначенные для записи в журнале безопасности.

В папке «Параметры безопасности» указываются разнообразные административные настройки, которые определяют поведение ОС при входе в неё как локально, так и через сеть, а также взаимодействие с различными устройствами. Без особой необходимости данные параметры изменять не стоит, так как большинство соответствующих задач можно решить через стандартную настройку учетных записей, родительский контроль и разрешения NTFS.

Для дальнейших действий по решаемой нами задаче щелкните по наименованию одного из указанных выше каталогов.
Переход в папку Назначение прав пользователя из каталога Локальные политики в окне оснастки Локальная политика безопасности в Windows 7

Откроется перечень политик выбранного каталога. Кликните по той из них, которую желаете изменить.

После этого откроется окошко редактирования политики. Его вид и действия, которые необходимо произвести, существенно отличаются от того, к какой именно категории она принадлежит. Например, для объектов из папки «Назначение прав пользователя» в открывшемся окне необходимо добавить или удалить имя конкретного пользователя либо группы юзеров. Добавление производится путем нажатия кнопки «Добавить пользователя или группу…».
Переход к добавлению пользователя или группы в окне редактирования политики Архивация файлов и каталогов оснастки Локальная политика безопасности в Windows 7

Если же необходимо произвести удаление элемента из выбранной политики, то выделите его и нажмите «Удалить».

Переход к удалению пользователя или группы в окне редактирования политики Архивация файлов и каталогов оснастки Локальная политика безопасности в Windows 7

После завершения манипуляций в окне редактирования политики для сохранения внесенных корректировок не забудьте нажать кнопки «Применить» и «OK», а иначе изменения не вступят в силу.
Сохранение внесенных изменений в окне редактирования политики Архивация файлов и каталогов оснастки Локальная политика безопасности в Windows 7

Мы описали изменение настроек безопасности на примере действий в папке «Локальные политики», но по такой же аналогии можно производить действия и в других каталогах оснастки, например в директории «Политики учетных записей».

Способ 2: Использование инструмента «Редактор локальной групповой политики»

Настроить локальную политику можно также при помощи оснастки «Редактор локальной групповой политики». Правда, данный вариант доступен не во всех редакциях Windows 7, а только в Ultimate, Professional и Enterprise.

В отличие от предыдущей оснастки, данный инструмент нельзя запустить через «Панель управления». Его можно активировать только путем введения команды в окно «Выполнить» или в «Командную строку». Наберите Win+R и введите в поле такое выражение:
gpedit.msc

Затем щелкните «OK».

Откроется интерфейс оснастки. Перейдите в раздел «Конфигурация компьютера».

Далее щелкните по папке «Конфигурация Windows».

Теперь щелкните по элементу «Параметры безопасности».

Откроется директория с уже знакомыми нам по предыдущему методу папками: «Политики учетных записей», «Локальные политики» и т.д. Все дальнейшие действия проводятся по точно такому же алгоритму, который указан при описании Способа 1, начиная с пункта 5. Единственное отличие состоит в том, что манипуляции будут выполняться в оболочке другого инструмента.

Настроить локальную политику в Виндовс 7 можно путем использования одной из двух системных оснасток. Порядок действий в них довольно схожий, отличие заключается в алгоритме доступа к открытию данных инструментов. Но изменять указанные настройки рекомендуем только тогда, когда вы полностью уверены, что это нужно сделать для выполнения определенной задачи. Если же таковой нет, эти параметры лучше не корректировать.

Окно Локальная политика безопасности (команда Пуск => Администрирование => Локальная политика безопасности) позволяет изменить политики, относящиеся к безопасности. Для обычного пользователя политики безопасности не представляют никакого интереса.

Лично мне намного больше нравится редактор локальной групповой политики. Для его вызова щелкните на кнопке Пуск, введите gpedit.msc и нажмите клавишу . В появившемся окне вы можете изменять локальные политики.

Хотите добавить ссылку Поиск в Интернете в меню Пуск? А может, вам нужно очищать журнал недавно открывавшихся документов при выходе из системы? Или же вы хотите скрыть область уведомления? Зайдите в окно Конфигурация пользователя => Административные шаблоны => Меню «Пуск» и панель задач и выберите нужную вам политику. Дважды щелкните на политике. В появившемся окне вы можете подробно ознакомиться с политикой. Если политика вам подходит, выберите команду Включить и щелкните на кнопке Применить.

Для вступления в силу пользовательских политик (Конфигурация пользователя) нужно выйти из системы и снова зайти, а чтобы вступили в силу политики из раздела Конфигурация компьютера, нужно перезагрузить компьютер.

Настройка политики безопасности на компьютерах с Windows XP, «Семёрка»

Настройку данных функций осуществляют (в Windows XP, «Семёрка») пользователи вручную через через специальную консоль «Local Group Politics Editor» (редактор локальных политик безопасности) или «Local Security Politics». Окно «Local Group Politics Editor» используют при необходимости внести изменения в политику учётной записи домена, управляемой посредством Active Directory. Через консоль «Local Group Politics Editor» производится настройка параметров учётных записей и регулируется безопасность на локальных хостах. Для открытия окна настроек Local Security Policy (в Windows XP, «Семёрка») нужно сделать следующее.

Нажимаем кнопку «Start» и в поисковом поле открывающемся меню вводим название окна Local Security Policy/

Нажав комбинацию кнопок +R, открываем пункт «Run», в поле ввода которого вводим sесpol.msc и нажимаем на ОК.

Сначала необходимо проверить, что учётный пользовательский аккаунт находится в администраторской группе (Windows XP, «Семёрка»). Для открытия консольного приложения ММС (в Windows XP, «Семёрка» ) нажимаем кнопку «Start» и в поисковом поле вводим mmс, после чего нажимаем на «Enter». В пустом консольном окне ММС нажимаем на надпись «Console» и выбираем «Add or Remove». В открывшемся окне выбираем консоль «Local Group Politics Editor» и нажимаем на Add.

В открывшемся диалоговом окне нужно найти и нажать на «Обзор», указать необходимые компьютеры и нажать на «Ready». В окне «Add or Remove» нажимаем на ОК. Находим открытую консоль «Local Group Politics Editor» и переходим на пункт «Computer Configuration», а после этого открываем «Security Parameters».

Локальная политика безопасности

При подсоединении вашего рабочего места к сети с доменом (Windows Сервер 2008), безопасность определяется политикой Active Directory или политика того подразделения, к которому относится компьютер.

Как применить Security Policy к компьютерам, являющимися локальными (с системой Windows XP и так далее), или подсоединённому к домену

Сейчас мы подробно рассмотрим последовательность настроек Local Security Policy и увидим различия между особенностями политики безопасности на локальном компе с Windows (XP, «Семёрка» и так далее) и на компе, подсоединённом к доменной сети через Windows Сервер 2008 R2.

Особенности настроек Security Policy на локальном компьютере

Следует напомнить, что все действия, проводимые здесь, выполнялись под учётным аккаунтом, входящим в администраторскую группу (Windows XP, «Семёрка») на локальном компьютере или в группу «Domen Administrators» (Windows Сервер 2008), в подсоединённом к доменной сети узле.

Чтобы выполнить этот пример необходимо сначала присвоить гостевому учётному аккаунту другое имя. Для этого выполняем следующие действия.

Открывается консольное приложение «Local Security Politics» или выполняется переход в узел «Security Parameters» консоли «Local Group Politics Editor»;
Переходим в раздел «Local Politics», а потом — в «Security Parameters»;
Двойным нажатием на кнопку мышки открываем «User’s accounts: Rename guest user account»;
В поле ввода прописываем Гостевая запись и нажимаем ОК.Свойства учетной записи
Компьютер нужно перезагрузить. (В Windows XP для этого нужно нажать на Завершение работы и нажать на Restart).
Заново включив комп, проверяем использование Security Policy к вашей ЭВМ. Для этого открывается Control Panel и в окне «User’s Accounts» переходим по ссылке «Другой учётный аккаунт. Управление». В открытом окне можно будет увидеть список всех учётных записей вашей локальной машины, куда входит и переименованный гостевой пользовательский учётный аккаунт.


Управление учетными записями

Применяем Security Policy для компьютеров, подключенных к доменной сети через Windows Сервер 2008 R2
Этот пример показывает последовательность операций для запрета изменения пользовательского пароля для учётной записи Test_ADUser. Напомним, что изменять параметры Security Policy возможно только будучи в группе «Domen’s administrators». Делаем следующее.

Нажимаем на «Start» и в поисковом поле вводим ММС и нажимаем «Enter». Нажимаем на надпись «Console» и выбираем строку «Add or Remove». На экране сразу появится диалоговое окно. В нём нужно выбрать оснастку «Local Group Politics Editor» и там нажать на «Обзор», чтобы выбрать компьютер.

В появившемся окне выбираем нужные компьютеры и нажимаем Done.

В окне «Add or Remove» нажимаем ОК.
Находим открывшуюся консоль «Local Group Politics Editor» и переходим на узел «Computer Configuration» и там открываем узел «Security ParametersLocal Computer/Security Parameters»
Находим параметр «Доменный контроллер: запретить изменения пароля учётных аккаунтов» и нажимаем на него два раза мышкой.
В появившемся окне выбираем «Включить» и нажимаем ОК.
Перезагружаемся.
После включения компьютеров проверяем изменения в Security Policy, перейдя на консоль ММС. В открывшейся консоли добавляем составляющую «Local users and computers» и пробуем поменять пароль своего учётного аккаунта.

Рейтинг:(голосов:1)