2.5 针对组策略的攻防

1、预备知识：组策略

（1）组策略的概念

        组策略是Windows操作系统中一个能让系统管理员充分管理用户工作环境的工具，通过它可以为用户设置不同的工作环境。组策略包括“计算机配置”和“用户配置”两部分，分别对计算机和用户的相关配置环境产生影响。运行gpedit.msc可以打开组策略编辑器。可以通过以下两种方式配置组策略：

• 本地计算机组策略。本地计算机组策略可以用来设置单一计算机的组策略，在这个组策略内的计算机配置只会被应用到这台计算机中，而用户配置会被应用到在此计算机登录的所有用户中。
• 域的组策略。域的组策略在域内可以针对站点、域或者组织单位来设置组策略。其中，域组策略内的设置会被应用到域内所有计算机和用户中，而组织单位的组策略会被应用到该组织单位内的所有计算机和用户中。

（2）组策略的安全设置

        组策略为计算机和用户控制应用程序、系统设置和管理模板提供了一种操作便捷的管理机制，主要有：

        1）隐藏windows自带的防火墙。在日常生活中，一些用户会关闭windows自带的防火墙功能，从而对系统安全带来隐患。不管是域用户还是本地用户，都可以通过组策略的设置来隐藏windows的防火墙，使用户无法对其进行操作。

        2）AppLocker。利用AppLocker管理员可以方便地对域用户或本地用户进行配置，以确定用户可在计算机上安装或者运行哪些程序，以及使用哪些脚本。AppLocker通过组策略来管理和配置，可将其部署到整个网络环境中。

（3）本地安全策略

        通过“本地安全策略”中的“安全设置”来实现对本地计算机的安全管理，主要包括账户策略、本地策略、公钥策略、软件限制策略等类型。

（4）域与域控制器策略

        在域与域控制器中设置的安全策略会被应用到域内的所有计算机和用户中。如果仅对域内的组织单位设置安全策略，此策略会应用到该组织单位内的所有计算机与用户中。

2、实验清单

        windows server 2008 R2

3、实验步骤

（1）取消关机前的提示信息

        当windows server 2008R2计算机进行关机操作时，系统会要求提供关机理由，此操作会带来日常操作的不便。

步骤1：选择“开始”——“运行”选项，输入“gpedit.msc”命令；

 步骤2：在“本地组策略编辑器”窗口中依次选择“计算机配置”——“管理模板”——“系统”选项，在右侧列表框中选择“在登录时不显示‘管理您的服务器’页”选项；

 步骤3：选中“已禁用”

 （2）阻止用户从“开始”菜单执行“关机”“重新启动”等命令

        为阻止前的页面：

 步骤1：依次选择“本地计算机策略”——“用户配置”——“管理模板”——“‘开始’菜单和任务栏”选项，在右侧列表中选取“删除并阻止访问‘关机’‘重新启动’‘睡眠’和‘休眠’”命令；

 步骤2：选择“已启用”选项；，此设置会立即应用到所有用户；

        完成之后的效果：

 （3）禁用浏览器上的“连接”和“安全”选项卡

        未设置前的效果：

 

步骤1：依次选择“本地计算机策略”——“用户配置”——“管理模板”——“Windows组件”——“Internet Explorer”——“Internet控制面板”选项，在右侧的列表中可分别选取“禁用连接页”和“禁用安全页”选项；

 步骤2：选择“已启用”选项，此设置会立即应用到所有用户；

         设置完的效果：

（4）隐藏“windows防火墙”

        未设置前的效果：

步骤1：依次选择“本地计算机策略”——“用户配置”——“管理模板”——“控制面板”选项，在右侧列表框中选择“隐藏指定的‘控制面板’项”选项；

步骤2：选择“已启动”选项，然后单击“显示”——“添加”，在“显示内容”对话框中依次输入“Windows 防火墙”（注意：Windows和防火墙之间有一个空格），再点击”确认“；

         设置后的效果：