- Administrative Template các khuôn mẫu dùng có sẵn dùng để quản trị mà Windows đã thiết lập sẵn cho người dùng dễ sử dụng, thay vì phải viết các đoạn scripts.. Cách sử dụng: Đây là các
Trang 1ĐẠI HỌC QUỐC GIA HỒ CHÍ MINH TRƯỜNG ĐẠI HỌC KINH TẾ- LUẬT
KHOA TIN HỌC QUẢN LÝ
MÔN: AN TOÀN VÀ BẢO MẬT HỆ THỐNG THÔNG TIN
ĐỀ TÀI: TÌM HIỂU GROUP POLICY EDITOR
Trang 2MỤC LỤC
I Giới thiệu chung: 4
1 Group Policy: 4
2 Sử dụng Group Policy: 4
a Khởi động Group Policy : 4
b Cách sử dụng: 5
II Đặc điểm mới của policy trong win 7 so với win Vista: 6
1 Giới thiệu 6
2 Vấn đề phát sinh trong bảo mật của Vista 6
3 Security Center và Action Center 6
4 Các thiết lập UAC linh hoạt hơn 7
5 Sự nâng cao trong BitLocker 8
III Một số tính năng bảo mật của Group Policy 12
1 Account Policies: 12
a Password Policies: 12
b Acount lockout Policy: 16
2 Local Policies: 17
3 Thao tác về Internet Explorer (IE) 23
4 Thao tác về Windows Explorer 27
5 Thao tác về Logon 29
6 Ngăn chặn phần mềm ứng dụng chạy trong Windows: 30
7 Bổ sung thêm Internet Search 31
8 Khóa không cho phép tắt tính năng xác định lệnh khi xoá tập tin, thư mục: 33
9 Tắt vùng thông báo trên thanh tác vụ: 36
10 Gõ bỏ một biểu tượng trên Control Panel: 38
11 Chỉ hiển thị những biểu tượng nào đó trên Control Panel: 41
Trang 314 Tùy biến cửa sổ Windows Security: 44
15 Tùy biến thanh Places: 45
16 Tăng danh sách trên Recent Documents: 46
17 Bật tính năng Shutdown Event Tracker: 47
18 Hạn chế sử dụng ứng dụng của người dùng 49
19 Giấu bớt những thành phần Control Panel trong Windows 7 50
20 Chống truy cập ổ đĩa: 55
IV Kết luận: 57
Tài liệu tham khảo 57
Trang 4TÌM HIỂU VỀ LOCAL GROUP POLICY EDITOR TRONG WIN 7
I Giới thiệu chung:
Trong trường hợp dùng chung máy tính hoặc theo quy định từng doanh nghiệp, người quản trị chỉ cho phép từng người dùng cuối sử dụng một số ứng dụng cụ thể.
Với phiên bản Windows 7 Professional hay Ultimate, bạn có thể thực hiện dễ dàng việc
này dễ dàng nhờ Local Group Policy.
Trong thực tế, một máy tính thường được sử dụng bởi nhiều người dùng chung và được
sở hữu bởi người chủ sở hữu nó nhưng việc này đôi khi đem lại sự phiền toái cho chínhngười chủ này Có những lúc vì lí do nào đó mà bạn không muốn người khác (con cái,
em, bạn bè ) sử dụng một phần mềm ứng dụng nào đó trên máy tính của mình và vấn đềđược đặt ra là làm sao để ngăn chặn họ sử dụng!
1 Group Policy:
Là một công cụ có sẵn trong Windows cung cấp cho các nhà quản trị mạng các cách thức
để triển khai các chính sách, phần mềm thông qua các script hoặc các dòng lệnh có sẵn của Windows.
Ở đây, do sử dụng máy tính ở dạng local (máy riêng lẻ) không sử dụng trên môi trường
network (mạng) nên chúng ta chỉ khai thác một số tính năng có sẵn mà Group Policy
mang lại cho người dùng
2 Sử dụng Group Policy:
a Khởi động Group Policy :
- Vào Run (Windows+R), gõ dòng lệnh gpedit.msc
- Local Policy có 2 phần là Computer Policy và User Configuration Chúng ta chỉ thiết lập ở phần User Configuration.
- Administrative Template (các khuôn mẫu dùng có sẵn dùng để quản trị mà Windows
đã thiết lập sẵn cho người dùng dễ sử dụng, thay vì phải viết các đoạn scripts) Click vàodấu cộng để mở
Trang 5Windows Components: thiết lập các thay đổi cho các ứng dụng tiện ích trên Windows Start Menu & Taskbar: Thiết lập các thay đổi cho thực đơn Start & thanh Taskbar Desktop, Control Panel, Share Folder, Networks, Systems
b Cách sử dụng:
Đây là các khuôn mẫu có sẵn nhằm giúp người dùng thiết lập các thay đổi một cách dễ
dàng thông qua 3 tùy chọn: Not Configurated (không cấu hình), Enabled (kích hoạt),
Disabled (vô hiệu hoá).
Vd: Bạn click chuột vào Start Menu & Taskbar để thiết lập các thay đổi ở Start Menu.
Cửa sổ bên phải sẽ hiện ra các Templates, Double click Remove MyDocument icon
from Start Menu (Gỡ bỏ biểu tượng My Document ra khỏi nút Start) Chọn Enable để
kích hoạt Nhấn Ok để hoàn tất Mở lại nút Start để kiểm tra kết quả.
Trang 6II Đặc điểm mới của policy trong win 7 so với win Vista:
1 Giới thiệu
Phiên bản beta với các tính năng gần như hoàn tất của Windows 7 đã được Microsoftphát hành gần đây Những gì đã được thay đổi sẽ ảnh hưởng như thế nào đối với hệ điềuhành và vấn đề bảo mật mạng? Ỏ đây, nhóm tôi sẽ tập trung một cách chi tiết vào nhữngthay đổi về mặt giao diện quản lý bảo mật, những thay đổi về User Account Control,những nâng cao đối với BitLocker, về những tính năng mới như AppLocker và BiometricFramework
2 Vấn đề phát sinh trong bảo mật của Vista
Tính năng mã hóa ổ đĩa BitLocker drive, các điều khiển cha, phần mềm chống malware
đi kèm (Windows Defender) và những cải tiến trong Windows firewall, Data PreventionExecution (DEP), IE với chế độ bảo vệ, bảo vệ dịch vụ và các tính năng quản lý số, nângcấp lên Crypto API, Network Access Protection (NAP) client, những cải thiện vềEncrypting File System (EFS), các chính sách hạn chế phần mềm và một loạt các nângcao về bảo mật được giới thiệu trong Vista Service Pack 1 đã được thêm vào một số cáccải thiện có liên quan đến bảo mật, chẳng hạn như thẩm định BitLocker, bộ tạo số giảngẫu nhiên Random Number Generator (RNG) cũng được thiết kế lại hay việc ký các fileRemote Desktop Protocol (RDP),…
Mặc dù vậy tính năng bảo mật mà hầu hết người dùng thông báo là User Account
Control (UAC), tính năng dành cho tất cả các tài khoản người dùng, gồm có các tài khoản quản trị, chạy trong chế độ người dùng chuẩn (standard user) một cách mặc định và yêu cầu nâng quyền khi cần đến các đặc quyền cao hơn Bản tính của UAC cùng với tính năng bảo vệ máy trạm Secure Desktop nhằm ngăn chặn malware truy cập vào máy tính của bạn bằng các nhắc nhở về quyền quản trị nhưng cũng làm bực mình khi chúng xuất hiện quá nhiều và trở thành một sự hạn chế cho Vista.
Thách thức đặt ra cho nhóm Windows 7 là làm thế nào để hệ điều hành này được an toànhơn Vista trong khi đó sự bảo mật tỏ ra “trong suốt” hơn đối với người dùng
3 Security Center và Action Center
Security Center, truy cập thông qua Control Panel và dự định cung cấp một location tậptrung để quản lý các thiết lập có liên quan đến bảo mật, đã được giới thiệu trong
Windows XP SP2 và tiếp tục trong Vista Với Windows 7, sự tập trung này mang tính
cao hơn Security Center bị loại bỏ và một Action Center được sử dụng để thay thế cho nó.
Trang 7Hình: Action Center tập trung nhiều nhiệm vụ quản trị mang tính bảo mật
4 Các thiết lập UAC linh hoạt hơn
Trong Vista, bạn có thể vô hiệu hóa UAC thông qua Group Policy, tuy nhiên đây khôngphải là một giải pháp hữu hiệu vì nó bỏ mặc bạn và tạo lỗ hổng cho kẻ tấn công khai thác
Trong Windows 7, bạn có thể thiết lập UAC để nâng quyền mà không cần nhắc nhở, đây là một ý tưởng được phát triển hơn Các phiên bản Home của Vista không có bộ soạn thảo Group Policy chính vì vậy rất khó khăn cho bạn trong việc chỉnh sửa registry để thực hiện thiết lập UAC Microsoft đã cải tiến và làm cho nó trở nên dễ dàng hơn nhiều trong việc điều khiển hành vi của UAC trong Windows 7.
- Always Notify: Bạn sẽ nhận được các nhắc nhở của UAC khi cài đặt phần mềm
hoặc thực hiện các thay đổi đối với hệ thống
- Notify Only When Programs Try to Make Changes: Bạn sẽ nhận được các nhắc
nhở nếu một chương trình nào đó yêu cầu các đặc quyền nâng cao, tuy nhiên sẽkhông khi bạn thực hiện các thay đổi đối với các thiết lập của Windows (mặcđịnh)
- Notify Only When Programs Try to Make Changes (Do Not Dim the Desktop):
Giống như mặc định ngoại từ Secure Desktop bị vô hiệu hóa trong khi nhắc nhở
- Never Notify: Không được nhắc nhở khi thay đổi các thiết lập Windows hoặc khi
cài đặt phần mềm mới (không được tiến cử sử dụng)
Trang 8Hình 2: Một slider bar cho phép bạn điều khiển UAC nhắc nhở bạn như thế nào trong Windows 7
5 Sự nâng cao trong BitLocker
BitLocker, một sản phẩm có trong Vista phiên bản Enterprise và Ultimate, cho phép mãhóa toàn bộ các phân vùng bằng AES, sử dụng Trusted Platform Module (TPM) chip cótrong một số máy tính hoặc USB key Tính năng này nhằm ngăn chặn việc khởi động vào
hệ điều hành hoặc truy cập dữ liệu đã được mã hóa một cách trái phép (cho ví dụ, việc càiđặt một instance khác của hệ điều hành và khởi động trong đó) Nó là một công cụ rấthữu dụng cho các hệ thống di động vì nguy cơ mất dữ liệu lớn hơn
Trong Vista, BitLocker ban đầu chỉ được sử dụng để mã hóa phân vùng mà ở đó hệ điềuhành được cài đặt Service Pack 1 có bổ sung thêm tính năng mã hóa nhiều phân vùng đĩa
cố định, tuy nhiên bạn không thể sử dụng nó để mã hóa các ổ đĩa ngoài
Trong Windows 7, BitLocker đã có những cải tiến nâng cao để hỗ trợ mã hóa cho các ổ đĩa ngoài và các thiết bị nhớ flash Tính năng này hiện được mang tên
“BitLocker to Go” Đây là một tính năng được rất nhiều nhiều công ty chờ đợi vì lưu trữ các dữ liệu nhạy cảm trên các USB key đang dần trở nên phổ biến.
Trang 9Hình: Trong Windows 7, bạn có thể sử dụng mã hóa BitLocker, remove các ổ đĩa cũngnhư fix chúng.
Bạn có thể chọn cách sử dụng một mật khẩu nào đó để mở đĩa, hoặc có thể sử dụng thẻthông mình và PIN, xem thể hiện trong hình
Hình: Khi mã hóa một đĩa bằng BitLocker, bạn có thể sử dụng mật khẩu hoặc thẻ thôngminh để mở Internet
Bạn cũng có thể thiết lập một khóa khôi phục để có thể mở thiết bị của mình nếu quênmất mật khẩu Khóa khôi phục có thể được lưu vào file hoặc được in hoặc lưu vào mộtvùng an toàn nào đó (hoặc cả hai) Nó có thể được thực hiện một cách nhanh chóng, phụthuộc vào kích thước của ổ đĩa Khi thực hiện sẽ có một thanh bar thể hiện tiến trình đượcthực hiện như trong hình
Trang 10Hình: Thanh bar quá trình giúp bạn nắm được thông tin trong tiến trình mã hóa
AppLocker
Windows 7 còn có một chốt chặn khác đó là AppLocker, đây là một tính năng mới của Group Policy Tính năng mới này cho phép các quản trị viên có thể điều khiển các phiên bản của các ứng dụng mà người dùng có thể cài đặt và sử dụng Điều này làm cho bạn hoàn toàn có thể ngăn chặn người dùng cài đặt và chạy các phiên bản của các ứng dụng cũ hơn có chứa các lỗ hổng về bảo mật.
Các trong phiên bản trước đây của Windows có sử dụng Software RestrictionPolicies để điều khiển chương trình nào mà người dùng có thể chạy Tuy nhiênAppLocker đã cải thiện để người dùng cấu hình một cách dễ dàng hơn thông qua ba kiểurule: Path, File Hash và Publisher Rule Publisher thay thế cho Certificate Rules trongSRP và cho phép bạn có thêm khả năng linh hoạt và nhiều tùy chọn Chúng cũng khókhăng hơn để có thể bị đánh lừa
Framework sinh trắc học (Biometric Framework)
Trong Vista, nếu muốn sử dụng đăng nhập theo vân tay, bạn phải sử dụng phần mềm
được cung cấp bởi hãng sensor nhận dạng vân tay Một tính năng mới trong Windows
7 là Biometric Framework có thể cung cấp sự hỗ trợ một cách bẩm sinh cho các thiết bị hỗ trợ dấu vân tay và làm cho các chuyên gia phát triển trở nên dễ dàng hơn khi đặt vấn đề bảo mật sinh trắc học vào các ứng dụng của họ Bạn sẽ thấy một applet mới trong Control Panel có tên gọi Biometric Devices được sử dụng để quản
lý dấu vân tay.
Trang 11Hình: Bạn có thể quản lý các thiết bị sinh trắc học thông qua Control Panel
Các thiết lập có thể được điều chỉnh để cho phép người dùng đăng nhập vào Windowshoặc vào miền bằng thông qua các thiết bị sinh trắc học
Trang 12III Một số tính năng bảo mật của Group Policy
Trang 13Với những người sử dụng có không có thói quen ghi nhớ nhiều mật khẩu, khi buộcphải thay đổi mật khẩu thì họ vẫn dùng chính mật khẩu cũ để thay cho mật khẩu mới,
điều này là một kẽ hở lớn lên quan trực tiếp đến việc lộ mật khẩu Thiết lập này bắt
buộc một mật khẩu mới không được giống bất kỳ một số mật khẩu nào đó do ta quyết định Có giá trị từ 0 đến 24 mật khẩu.
* Maximum password age:
Trang 14Thời gian tối đa mật khẩu còn hiệu lực, sau thời gian này hệ thống sẽ yêu cầu tathay đổi mật khẩu Việc thây đổi mật khẩu định kỳ nhằm nâng cao độ an toàn cho tàikhoản, vì một kẻ xấu có thể theo dõi những thói quen của bạn, từ đó có thể tìm ra mậtkhẩu một cách dễ dàng Số giá trị từ 1 đến 999 ngày Giá trị mặc định là 42.
* Minimum password age:
Xác định thời gian tối thiểu trước khi có thể thay đổi mật khẩu Hết thời gian nàybạn mới có thể thay đổi mật khẩu của tài khoản, hoặc bạn có thể thay đổi ngay lập tức
bằng cách thiết lập giá trị là 0 Giá trị từ 0 đến 999 ngày Bạn cần thiết lập
“Minimum password age” lớn hơn không nếu bạn muốn chính sách “Enforce password history” có hiệu quả, vì người sử dụng có thể thiết lập lại mật khẩu nhiều lần theo chu kỳ để họ có thể sử dụng lại mật khẩu cũ.
* Minimum password length:
Trang 15Độ dài nhỏ tối thiểu cuả mật khẩu tài khoản (Tính bằng số ký tự nhập vào) Độ dàicủa mật khẩu có giá trị từ 1 đến 14 ký tự Thiết lập giá trị là không nếu bạn không sửdụng mật khẩu Giá trị mặc định là 0.
* Password must meet complexity requirements: Quyết định độ phức tạp của mậtkhẩu Nếu tính năng này có hiệu lực Mật khẩu của tài khoàn ít nhất phải đạt nhữngyêu cầu sau:
- Không chứa tất cả hoặc một phần tên tài khoản người dùng
Trang 16* Store password using reversible encryption for all users in the domain:
Lưu trữ mật khẩu sử dụng mã hóa ngược cho tất cả các người sử dụng domain Tínhnăng cung cấp sự hỗ trợ cho các ứng dụng sử dụng giao thức,nó yêu cầu sự am hiểu vềmật khẩu của người sử dụng Việc lưu trữ mật khẩu sử dụng phương pháp mã hóangươc thực chất giống như việc lưu trữ các văn bản mã hóa của thông tin bảo vệ mậtkhẩu Mặc đinh: Disable
b Acount lockout Policy:
* Account lockout duration:
Trang 17Xác định số phút còn sau khi tài khoản được khóa trước khi việc mở khóa đươcthực hiện Có giá trị từ 0 đến 99.999 phút Có thể thiết lập giá trị 0 nếu không muốnviệc tự động Unlock Mặc định không có hiệu lực vì chính sách này chỉ có khi chínhsách “Account lockout threshold” được thiết lập.
* Account lockout threshold:
Xác định số lần cố gắng đăng nhập nhưng không thành công Trong trường hợp nàyAcount sẽ bị khóa Việc mở khóa chỉ có thể thực hiện bởi người quản trị hoặc phải đợiđến khi thời hạn khóa hêt hiệu lực Có thể thiết lập giá trị cho số lần đăng nhập sai từ 1đến 999 Trong trường hợp thiết lập giá trị 0, account sẽ không bị khóa
* Reset account lockout counter after:
Thiết lập lại số lần cố gắng đăng nhập về 0 sau một khoảng thời gian quy định.Thiết lập này chỉ có hiệu lực khi “Account lockout threshold” được thiết lập
2 Local Policies:
Trang 18Các chính sách cục bộ:
User rights Assignment: Ấn định quyền cho người sử dụng Quyền của người sử
dụng ở đây bao gồm các quyền truy cập, quyền backup dữ liệu, thay đổi thời gian của
hệ thống… Trong phần này, để cấu hình cho một mục nào đó bạn có thể nháy đúpchuột lên mục đó và nhấn nút Add user or group để trao quyền cho user hoặc Groupnào bạn muốn
Trang 19* Access this computer from the network: Với những kẻ tò mò, tọc mạch thì tại saochúng ta lại phải cho phép chúng truy cập vào máy tính của mình Với thiết lập nàybạn có thể tuy ý thêm, bớt quyền truy cập vào máy cho bất cứ tài khoản hoặc nhómnào.
Trang 20* Act as part of the operating system: Chính sách này chỉ định tài khoản nào sẽđược phép hoạt động như một phần của hệ thống Mặc định, tài khoản Aministrator cóquyền cao nhất, có thể thay đổi bất kỳ thiết lập nào của hệ thống, được xác nhận nhưbất kỳ một người dùng nào, vì thế có thể sử dụng tài nguyên hệ thống như bất kỳngười dùng nào Chỉ có những dịch vụ chứng thực ở mức thấp mới yêu cầu đặc quyềnnày.
* Add workstations to domain: Thếm một tài khoản hoặc nhóm vào miền Chínhsách này chỉ hoạt động trên hệ thống sử dụng Domain Controller Khi được thêm vàomiền, tài khoàn này sẽ có thêm các quyền hoạt động trên dịch vụ thư mục (ActiveDirectory), có thể truy cập tài nguyên mạng như một thành viên trên Domain
* Adjust memory quotas for a process: Chỉ định những ai được phép điều chỉnh chỉtiêu bộ nhớ dành cho một quá trình xử lý Chính sách này tuy có làm tăng hiệu suấtcủa hệ thống nhưng nó có thể bị lạm dụng để phục vụ cho những mục đích xấu như tấncông từ chôi dịch vụ DoS (Dinal of Sevices)
Trang 21* Allow logon through Terminal Services: Terminal Services là một dịch vụ chophép chúng ta đăng nhập từ xa đến máy tính Chính sách này sẽ quyết định giúp chúng
ta những ai được phép sử dụng dịch vụ Terminal để đăng nhập vào hệ thống
* Back up files and directories: Tương tự như các chính sách trên, ở đây sẽ cấp phépcho những ai sẽ có quyền backup dữ liệu
Trang 22* Change the system time: Cho phép người sử dụng nào có quyền thay đổi thời giancuả hệ thống.
* Create global objects: Cấp quyền cho những ai có thể tạo ra các đối tượng dùngchung
Trang 23* Shut down the system: Cho phép ai có quyền Shutdown máy.
Và còn rất nhiều chính sách khác nữa
3 Thao tác về Internet Explorer (IE).
Tìm nhánh User Configuration/Windows Settings/Internet Explorer Maintenance/Browser User Interface
Trang 24- Browser Tittle: nhấp kép rồi đánh dấu kiểm vào ô “Customize Tittle Bars”, gõ vàomột cái tên như AAA Mở IE ở chế độ about: blank sẽ thấy dòng chữ “MicrosoftInternet Explorer provided by AAA”!
- Custom logo: bạn có thể thay logo của Microsoft ở phía trên góc phải trình duyệt IEbằng logo của riêng mình (chỉ hỗ trợ các file BMP có 16-256 màu và kích cỡ là 22×22hay 38×38) Hộp “Customize the static logo bitmaps” dành cho hình tĩnh còn hộp
“Customize the animated bitmaps” dành cho hình động
Trang 25Tìm nhánh User Configuration/Administrative Templates/Windows
Trang 26- Toolbars: enable phần “Configure Toolbar Buttons” sẽ cho tùy chọn hiển thị các núttrên thanh công cụ của IE.
Tìm nhánh Computer Configuration/Administrative Templates/WindowsComponents/Internet Explorer
Trang 27- “Security Zone: Use only machine settings”: bắt buộc tất cả các user đều phải chungmột mức độ security như nhau.
- “Security Zone: Do not allow users to add/delete sites”: trong Security Zone có danhsách các site nguy hiểm do người dùng thiết lập, enable tùy chọn này sẽ không chothay đổi danh sách đó (cách tốt nhất là giấu luôn thẻ Security)
- “Disable Periodic Check for Internet Explorer software updates”: ngăn không cho IE
tự động tìm phiên bản mới của nó
4 Thao tác về Windows Explorer.
Tìm nhánh User Configuration/Administrative Templates/Windows
Components/Windows Explorer:
Trang 28- Maximum number of recent document: quy định số lượng các tài liệu đã mở hiểnthị trong My Recent Documents.
- Do not move deleted files to the Recycle Bin: file bị xóa sẽ không được đưa vàoRecycle Bin
- Maximum allowed Recycle Bin size: giới hạn dung lượng của Recycle Bin, tínhbằng đơn vị phần trăm dung lượng của ổ đĩa cứng
- Hide the dropdown list of recent files trong folder Common Open File Dialog: khôngcho hiển thị danh sách recent file trong các hộp thoại Open (như Word, Excel…)
Trang 295 Thao tác về Logon
Tìm nhánh Computer Configuration/Administrative Templates/Logon
- Always use classic logon: làm hộp thoại Logon/Shutdown của Windows 7