Использование групповых политик для управления безопасностью

Еще одно штатное средство операционной системы Windows, с помощью которой вохможно настроить безопасность для групп пользователей и раздать права доступа к программам.

Групповые политики (Group Policy Object, GPO) — это набор правил, в соответствии с которыми производится настройка рабочей среды Windows. Групповые политики создаются и настраиваются как для домена в целом, так и для отдельного персонального компьютера. Все настройки учетных записей, операционной системы, аудита, системного реестра, параметров безопасности, установки программного обеспечения и прочие параметры развертываются и обновляются в рамках домена при помощи параметров групповой политики. Функциональность групповых политик с каждой следующей операционной системой Windows стабильно увеличивается, и в Windows 7 она включает в себя уже 3200 настроек.

Использование групповых политик позволяет решить следующие основные задачи: снизить риск заражения компьютера вредоносными программами, снизить риск утечки данных и снизить стоимость сопровождения системы. Для запуска редактора объетов групповой политики необходимо в командной строке написпать команду gpedit.msc.

Редактор объектов групповой политики содержет два основных раздела: Конфигурация компьютерв и Конфигурация пользователя. Параметры раздела «Конфигурация компьютера» всегда применяются при запуске компьютера, а параметры раздела «Конфигурация пользователя» при входе пользователя в систему. Все политики распределены по разделам. Часть параметров одновременно присутствует в разделах «Конфигурация компьютера» и «Конфигурация пользователя» при конфликте параметров параметр в папке «Конфигурация компьютера» имеет преимущество перед параметром находящимся в папке «Конфигурация пользователя». Окно редактора разделено на две части, в левой находится дерево с разделами, в правой политики из выбранного раздела.

Для работы с групповыми политиками для набора компьютеров в домене администраторам следует воспользоваться более функциональными инструментами. Первым таким инструментом является консоль управления групповыми политиками (Group Policy Management Consol), которая представляет собой универсальный и, в тоже время, бесплатный административный инструмент. По умолчанию консоль не установлена в Window 7.

Консоль управления групповыми политиками позволяет выполнять следующие действия:

• — одновременно работать с несколькими групповыми настройками;
• — применять групповые политики к разным группам пользователей;
• — создавать шаблоны с настройками групповых политик;
• — устанавливать различные фильтры для политик;
• — создавать сценарии применения групповых политик;

Таким образом, для настройки безопасности в сети администратору нужно создать наборы политик, применить их ко всем компьютерам в сети или к группам компьютеров. Например, настроить шифрование дисков, запретить использование «ненужных» приложений, создать белые и черные списки с внешними устройствами или полностью запретить доступ к внешним устройствам.

Вторым инструментом от Microsoft для работы администратора с групповыми политиками является Advanced Group Policy Management. Данный инструмент позволяет редактировать объекты групповой политики в автономном режиме, осуществлять контроль версий объектов, а также автоматическое резервное копирование в случае их изменений. С его помощью можно делегировать редактирование кому угодно, изменения не повлияют на компьютеры пользователей, пока имеющий права на установку администратор их не утвердит. По сути дела, он предоставляет функции, необходимые администраторам больших корпоративных сетей.

Следует отметить, что два данных инструмента являются бесплатными, и их можно скачать с сайта компании Microsoft. Сторонние производители также оценили важность инструментов для работы с групповыми политиками и предлагают свои разработки, которые либо имеют другой пользовательский интерфейс, либо дополнительный набор сервисных функций.

Windows 7 позволяет одновременно реализовать несколько сценариев для увеличения безопасности компьютера при работе с внешними устройствами как с использованием только групповых политик, так и в их связке с другими механизмами безопасности. В зависимости от решаемой задачи, администратор может выбрать либо один из сценариев организации безопасности, либо их совокупность. Все административные инструменты предпологают два набора операций при настройке групповой политики, собственно конфигурирование политик и применение данных политик к группам пользователей.