让组策略保护WindowsXP的安全

1、oray让组策略保护windows xp的安全作者：官方客服2007-8-29 1 1:38:08类别：其他默认安装完windows xp之js,我们的windows xp并不很安全。因此，我们有必要对系统进行一些 修修补补，一般情况下我们都要动用到注册表。诚然，修改注册表是一种非常冇效的方法，但是它需要一 定的计算机知识，否则极有可能会引起系统崩溃。不过，如果我们注意使用windows xp屮的组策略， 就可以轻松地打造一个安全的windows xp,而无需我们动用注册表编辑器！一、了解xp的组策略大家还记得windows 98时代，我们曾用过windows 98安装光盘上的“策略编辑器”的

2、软件，当时 想必也为它的神奇功能而惊叹不已!“纽策略”工具的原理与windows 98屮的“策略编辑器”原理相同。利 用它可以把很多平时需要冒着危险修改注册表才能够完成的操作在更为直观的界面中操作完成。因此，通俗地说，“组策略”就是一个另类的注册农编辑器，利用它就可以更改系统中的某些重要设置。 不仅可以省去记忆键值的痛苦，还可以免受修改注册农不慎带来的危险。小提示组策略不等同于“注册表编辑器”，“注册农编辑器”理论上可以更改任意的键值，从而让它更满足我们 的耍求。但是组策略只是对某些项目进行控制，因此从某种意义上来说，组策略能够完成的任务，修改注 册表一定能够完成。但反之，修改注册表能够完成的

3、任务，通过组策略就不一定能够有效。二、组策略的启动单击“开始“运行”命令，在“运行”对话框的“打开”栏中输入“gpedit.msc”，然后单击“确定”按扭即 可启动windows xp组策略编辑器。在打开的组策略窗口屮（如图1所示），我们可以发现左侧窗格屮是以树状结构给出的控制对彖，右侧 窗格中则是针对左边某-配置可以设置的貝体策略。便图片附件小提示“计算机配置”和“用户配置”的联系与区别另外，您或许已经注意到,左侧窗格中的“本地计算机”策略是由“计算机配置”和“用户配置”两大子键构成，并且这两者小的部分项目是重复的，如两者下而都含冇“软件设置 windows设置”等。那么在不 同子键下进行相

4、同项h的设置有何区别呢？其实，这里的“计算机配置”是对整个计算机中的系统配置进行设 置的，它对当前计算机中所有用户的运行环境都起作用；而“用户配置”则是对当前用户的系统配置进行设 置的，它仅对当前用户起作用。例如，二者都捉供了“停用自动播放”功能的设置，如杲是在“计算机配置” 中选择了该功能，那么所有用户的光盘自动运行功能都会失效；如果是在“用户配童'小选择了此项功能， 那么仅仅是该用户的光盘自动运行功能失效，其他用户则不受影响。设置时需注意这一点。三、川组策略打造完全xp通过组策略工具，我们可以对系统进行一些设詈，使它更加安全。下面就是非常实用的例子：1.限制ie浏览器的保存功能当多

5、人共用一台计算机时，为了保持硕盘的密洁，需耍对浏览器的保存功能进行限制使川，那么如何 才能实现呢？具体方法为：选择“用户设置”一“管理模板”一“windows组件”一“internet explorer”一“浏 览器菜单”分支。双击右侧窗格小的“'文件'菜单：禁用'另存为'菜单项”（如图2）,在打开的设置窗口屮选 中“已启用”单选按钮（如图3）° 團图片附件tn组策略文祥® 悴作(£> mci)梢的册)j養理複械任务程和幵強奠b!栓ims飯 j茎車文件更 jfmi* _j imdovs 媳件 _j imdca 賁？ _j li

6、croxoft i _j任齐计幻用口妹帧齐j vmdovs in*_j lindors lei j vindovy up< -_| internet e> _j internet _i廉机贡_工具兰 _j持堆行为 _itwau測览器菜单文件«*：姦用另有 为柔草攻至少 irtmet explorer v5.01搭述：禁止用户从««a 文仟"s« 中務阿e猱祁谟盎旺网诰上的 共車位賣效果启用够文伸绥型 上的另有为”金令坊谖*如果華用依療殴不对具am配 覽m扇尸场以保许网员以侵® 后爱积扩略曲/妞二祗“百耳丈更淀kjfr 文徉

7、-柔mi皿用inr 靈ms丰文井-養m > “文件-«<：> 文fr垄a； ：> mw «m：> mw »m：» uk”牧義矣-煞草 jt柔q：慕用internet啊“ 事"wk-至叫陳弩日提示“耳媲咬* mmrw mi 祸 retrace用户”乗直顷 “ "ifftr菜型;w» “发送反馈尊见“範型班 装印上下文菲型»¥用泣辉9 口申行开”秦q烦»發印“俗谡血保茅刘"-乞顼sj用ith"革罩陌 琴用另再为-ffjk.全8t格氏 驚闿关闭磁8和賢

8、理匸 禁用滋宾件楙養簸顶 琴用金kjl黑列图片附件“文件”華单：禁用“另存为”？农i小捉示在图2窗格屮，我们还可以对文件'菜单：禁用另存为网页菜单项”、"查看'菜单：禁用'源文件'菜单 项”和“禁用上下文菜单”等策略项h进行修改，这样我们的ie将会安全一些。2禁止修改ie浏览器的主页如果您不希望他人或网络上的一些恶意代码对自己设定的ie浏览器主页进行随意更改的话，我们可以 选择“用户配置”一“管理模板”一“windows组件”一“internet explorer"分支，然后在右侧窗格中，双击 “禁用更改主页设置”策略启用即可(如图4)。浜图

9、片附件ltilias a j任务崔和开姑 j魚b -i栓制回板 j其車文件旻 tmdovs iflft _j imdewa 賁？ xicroioft i_j任齐计勾ffi冃 姝如8畀_j ¥indors iiu _| tindovs mex _| vindovy upc -internet e> i internet_i逍删熱 工具性 _i持堆行为 "理馭2intornet explorer示 ssl至少 intmet explorer vs 01疮建：恭止彌尸臭改衣便空主5(主艮 是用户启如充if时量先出理的 页。4s1八_|internet整勿sb板工具吃

10、7;昨为_1宣理貝认商的控件 刻抚¥用8定义镇索*撥窮,嗾印在測垃总字通注按f3吏找交件 用internet explorer甘外前陽伸 冲”用异入和吳岀牧舷 »转用工改高员设覽污£匹亜皿 勒対後号建&使闿由如鉢r ；*參用颈存自动畑片>>w关出«*下农牺的kwh患 &修用更改internet喑时京件设覽小提示(1) 在图4窗格中，还提供了更改历史记录设置、更改颜色设置和更改internet临时文件设置等项目 的禁用功能。如果启用了这个策略，在ie浏览器的"internet选项”对话框屮，其“常规”选项卡的“主页”

11、区域的设置将变灰。(2) 如果设置了位于“用户配置”十“管理模板” 一“windows组件” tn ternet explorer ”lnterne t控制面板”中的“禁用常规页”策略，则无需设置该策略，因为“禁用常规页”策略将删除界面上的“常规”选 项卡。(3) 逐级展开“用户设置”一“管理模板”一“windows组件”一“internet explorer"分支,我们可以在 其下发现“internet控制而板”、“脱机页”、“浏览器菜单”、“工具栏”、“持续行为”和“管理员认可的控件” 等策略选项。利用它可以充分打造一个极有个性和安全的ie<,3.给我们的ip添加安全策略在

12、“计算机配置”一“windows设置”一“安全设置“ip安全策略，在本地计算机”下与有与网络有关 的儿个设置项h。如果大家対internet较为熟悉，那也可以通过它來添加或修改更多的网络安全设置，这 样往windows上运行网络程序或者畅游internet时将会更加安全。小提示由于此项较为专业，其间会涉及到很多的专业概念，一般用户用不到，在这里只是给网络管理员们捉 个醒，因此在此略过。4. 禁用ie组件自动安装选择“计算机配置”一“管理模板”一“windows组件”一“internet explorer”项h，双击右边窗口中“禁 用internet explorer组件的自动安装”项h，在打开

13、的窗口中选择“已启用”单选按钮，将会禁止intern et explorer h动安装纽件。这样可以防止internet explorer在用户访问到需要某个组件的网站时下 载该组件，篡改ie的行为也会得到遏制!和对来说ie也会安全许多！小提示如果禁用该策略或不对其进行配置，则用户在访问需要某个组件的网站时，将会收到一则消息，捉示 用户下载并安装该组件。有时用户看也不看就选择“安装”则往往会出问题。网上的很多恶意代码往往都是 这样工作的。5. 把用户的行动都记录下来可能很多人都使用windows xp作为局域网的域控制器，这样登录的用户必然较多。同时，windo ws xp也是一个运行多用户的

14、操作平台，因此我们有必要对每个用户的行为进行一淀的记录，以便到时 对它们的行为进行监控，并进行记录，以供系统管理员查看和分析。所有的这些几乎全部集中在“计算机配 .置”一“windows设置”一“安全设置”一“木地策略”一“审核策略”下。如图5,我们可以看到有很多与审核 冇关的项目：如审核策略更改、审核登录事件、审核对彖访问、审核过程追踪、审核目录服务访问、审核 特权使用、审核系统事件、审核账户登录事件和审核账户管理等等。双击某一个项h后，会出现如图6所 示窗口，勾选成功和失败前复选框。團图片附件文科(e)隊作址2*(1)略肋里4 f回e 陽fs劈：钿t算打慈-观计妹机配矍-:_j sstsi

15、? j “空如苜工邀3c国曲丰偏说哄机)舔妄全设覽* ”户黑5 匕3扫咬«6 ，4的口law，閥帀核登星踊舛 躅市疚耳竄彷何 裁i审杜辻段适呑 躅审按日* 凰务访问 觀审如殳静朿 闕审按乔扯車汗嚴計无无t 4鮭透陌*+二i戳件限制策町* s ip京全媳髦?二1黠谟欖柿-屈用户m耗揪蠶幾 *走无无无壬无痢图片附件小捉示(1) i|f核(audit)是microsoft从windows nt起开始使用的一项技术，所有被审核的对象会在系统 的日志中创建出相应的项目，并会被记录下操作的时间、审核类别及相应的结果。(2) 所有的审核记录结果，可以通过选择“开始”一“控制面板”一“管理丁具”一“管理工具”一“系统工具” 一“爭件查看器”來查看。如果双击其中的某个审核项h,还可以看到它的详细资料，包括审核项h的日期、 來源、时间、类别、类型、信息、事件、用户、计算机、描述和数据等项目(如图7)。相信通过它,对于 我们更加方便、安全地管理计算机是相当冇用的。当然，windows xp+的组策略功能非常强大。有很多有用的设置可供我们修改,只是限于篇幅,笔