У меня локалка - 15 ПК. Рабочие станции под ХР SP2. Сервера пока нет.
Вопрос такого плана. Как настроить систему безопасности средствами Windows так, чтобы сеть была максимально защищена от вирусов? и еще как ограничить права пользователей, чтобы у них небыло возможности работать с флэш-накопителями, устанавливать программы и изменять что-либо на системном разделе. Просто устал бороться с вирусами >:(.
Спасибо
[QUOTE=userch;265433]У меня локалка - 15 ПК. Рабочие станции под ХР SP2. Сервера пока нет.
Вопрос такого плана. Как настроить систему безопасности средствами Windows так, чтобы сеть была максимально защищена от вирусов? и еще как ограничить права пользователей, чтобы у них небыло возможности работать с флэш-накопителями, устанавливать программы и изменять что-либо на системном разделе. Просто устал бороться с вирусами >:(.
Спасибо[/QUOTE]
1. Создать для них ограниченную учетную запись. Не забудьте только пароль поставить на учетную запись с правами администратора [B]и на учетную запись "Администратор" видную только из под безопасного режима[/B].
Защиту BIOS тоже лучше поставить оставив загрузку [B]только[/B] с винчестера и запаролив BIOS. (Проверьте после не принимает ли BIOS "пустой" пароль)
2. USB можно отключить в BIOS или с помощью твикеров.
Например [URL="http://xptweak.sourceforge.net/"]XP Tweaker[/URL] использовать и в разделе "Защита" -> "Проводник" указать что скрывать и запретить доступ ко всем дискам что вам НЕ нужны. После принятия изменений в реестре в ключе [B]HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer[/B] появятся 2 параметра [B]NoViewOnDrive[/B] и [B]NoDrives[/B] их нужно перенести в [B][COLOR="Red"]HKLM[/COLOR]\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer[/B] (Будет для всех пользователей) или если нужно для конкретного пользователя в [B]HKEY_USERS\[COLOR="Red"]S-1-5-21-1085031214-162531612-1177238915-1004[/COLOR][/B] (Красная часть пути в вас другая будет). Определить эту часть можно загрузившись из под ограниченной учетной записи и проверить куда у вас есть доступ к под-ключам в [B]HKEY_USERS\бла-бла-бла[/B]
Исходный ключ [B]HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer[/B] можно удалить после этих манипуляций.
Короткая справка по ключам:
В разделе [B]HKCU[/B] хранятся параметры [B]текущего[/B] пользователя.
В разделе [B]HKLM[/B] хранятся параметры для всех пользователей (Эти настройки имеют больший приоритет)
В разделе [B]HKEY_USERS\бла-бла-бла[/B] хранятся параметры пользователей что на машине вообще есть.
P.S: Перед тем как применить настройки можно пролечить ПК [URL="http://virusinfo.info/showthread.php?t=1235"]тут по правилам[/URL].
[QUOTE=zerocorporated;265445] или если нужно для конкретного пользователя в [B]HKEY_USERS\[COLOR="Red"]S-1-5-21-1085031214-162531612-1177238915-1004[/COLOR][/B] (Красная часть пути в вас другая будет). Определить эту часть можно загрузившись из под ограниченной учетной записи и проверить куда у вас есть доступ к под-ключам в [B]HKEY_USERS\бла-бла-бла[/B][/QUOTE]
Дополнение: определить эту часть можно проще - в
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\[b][color=blue]ProfileList[/color][/b][/code]
Перечисляются все SID номера в дереве слева. Если выделить такой номер, то тогда вы увидите в правом окне реальное имя данной учётной записи.
Если не ошибаюсь, то тогда по умолчанию пользователи имеют туда право чтения. Встроенный админ там НЕ перечисляется пока вы реально не использовали эту учётную запись.
Против особенно предприимчивых пользователей, я рекомендую переименовать встроенный админ во что-нибудь, которое не намекает на власть, и дать пароль не менее 15 знаков.
P.S.1: Для безопасности учётных записей пользователей надо бы принимать ещё кое-какие меры. Допустим, возможно вас интересует как отключить автозапуск на дисках (через автозапуск на носителях происходит очень часто заражение). Меры через политики Майкрософта обходятся относительно легко, но есть другие варианты:
[url]http://virusinfo.info/showthread.php?t=20291[/url]
Также не мешает прочитать:[url=http://security-advisory.virusinfo.info/]Безопасный Интернет - Универсальная защита для Windows ME – Vista[/url]
P.S.2: Если смотреть в мой профиль - 'Найти все темы p2u', то тогда вы там увидите 7 тем про Belarc Advisor. Перечисляются всякие меры именно против 'угроз изнутри'. Настоятельно рекомендую!
Paul
Очень эффективная зашита получается, если в [I]Local Security Policy[/I] запретить запуск посторонних программ, оставив пользователям права запускать только те программы которые установлены Администраторам (Security level: disallowed). Также можно воспользоваться сторонней программой [URL="http://www.beyondlogic.org/solutions/trust-no-exe/trust-no-exe.htm"]Trust-no-exe[/URL]
Конечно, это будет работать только в том случаи, если у пользователей будет права [I]Limited User[/I].
P.S При использовании [I]Software restriction policies[/I] возможно понадобится подправить правила для LNK файлов, иначе пользователи не смогут запускать программы через [I]shortcut[/I] из Satart Menu, Desktop.
Большое спасибо всем за ответы! С понедельника попробую их исспользовать 8)
Ещё можно защититься без антивируса от целового семейства vbs скрипт вирусов- довольно популярное творение в червях.
Делается банальным удалением/переименованием wscript.exe
Альтернативно есть ещё програмка, будет выскакивать окошко перед исполнением скрипта- но это мало подходит- юзеры будут же жать YES :)
К сожалению когда используются скрипты в повседневной жизни- это не удобно. Не нашёл пока способа позволять исполнять разрешённые скрипты по умолчанию админом, может кто знает способ?