組策略在系統(tǒng)安全方面的十大應(yīng)用
組策略是windows系統(tǒng)自帶的，使用組策略可以方便的修改注冊表，遠(yuǎn)比手工修改注冊表方便、安全。而且組策略對于維護(hù)系統(tǒng)安全性是至關(guān)重要的，下面就是組策略在系統(tǒng)安全方面的應(yīng)用。
為了提高系統(tǒng)的安全性，許多朋友都喜歡去注冊表里動(dòng)手動(dòng)腳。殊不知，對注冊表一知半解，這簡直就是在安全面前玩火！看看筆者是如何利用圖形化直觀的界面來保衛(wèi)家園的。
場景一：晚上收工后，早就對白兄的X機(jī)眼饞萬分的小菜，偷偷地在他的機(jī)器用自己的用戶名登錄玩了一把游戲，好爽！誰知第二天一上班，白兄就直接找上門來“你為什么用我的機(jī)器？想看我的小MM……？”。小菜一臉郁悶中……
場景二：小菜正偷偷使用白兄機(jī)器，游戲需要在制作面板中調(diào)整鼠標(biāo)及其他設(shè)置，雙擊控制面板時(shí)卻出現(xiàn)一“限制”窗口，內(nèi)容為“本次操作由于這臺(tái)計(jì)算機(jī)的限制而被取消。請與您的系統(tǒng)管理員聯(lián)系。”無奈只好做罷……
場景三：小菜因偷用機(jī)器“被捕”，心里好不是滋味，請來一DOS高手智，想在DOS下給“聞到死”環(huán)境下成長起來的白兄一點(diǎn)顏色。“開始→運(yùn)行”，輸入CMD——黑黑的窗口出現(xiàn)，然而寒光一閃：“命令提示符已被系統(tǒng)管理員停用。按任意鍵繼續(xù)...”倒~~~
主角閃亮登場
單擊“開始”菜單，選擇“運(yùn)行”命令，輸入gpedit.msc后按回車鍵，看！主角組策略粉墨登場了，如圖1。
小知識(shí)：什么是組策略？
它是Win2000/XP/2003下的一個(gè)工具，前身是98下的系統(tǒng)策略編輯器。組策略是系統(tǒng)策略的更高級(jí)擴(kuò)展，它具有更多的管理模板和更靈活的設(shè)置對象以及更多的功能，目前主要應(yīng)用于員Win2000/XP/2003系統(tǒng)。無論是系統(tǒng)策略還是組策略，它們的基本原理都是修改注冊表中相應(yīng)的配置項(xiàng)目，從而達(dá)到配置計(jì)算機(jī)的目的，只是它們的一些運(yùn)行機(jī)制發(fā)生了變化和擴(kuò)展而已。
演出已經(jīng)開始
1.偷用機(jī)器者，一個(gè)也跑不了
【位置】計(jì)算機(jī)配置→Windows設(shè)置→安全設(shè)置→本地策略→安全選項(xiàng)。
【設(shè)置】雙擊“交互式登錄：不顯示上次的用戶名”，在彈出的屬性窗口中選擇“已啟用”，如圖1。
小提示
在Windows 2000系統(tǒng)下，系統(tǒng)啟動(dòng)時(shí)會(huì)自動(dòng)顯示出上次登錄時(shí)的用戶名。啟用該項(xiàng)策略后，將不再出現(xiàn)上次登錄的用戶名。這下，小白不怕了，小菜也不擔(dān)心不知道本機(jī)合法登錄用戶名的黑客入侵了。
在Windows XP系統(tǒng)中，默認(rèn)啟動(dòng)方式下會(huì)出現(xiàn)歡迎屏幕，所有用戶一覽無余。應(yīng)該先更改用戶登錄方式。方法是：打開“控制面板”，選擇“用戶帳戶”，在“用戶帳戶”窗口單擊“更改用戶登錄或注銷的方式”，如圖2。取消“使用歡迎屏幕”復(fù)選框，單擊“應(yīng)用選項(xiàng)”按鈕。以后用戶登錄的界面就和Windows 2000一樣了。
2.入侵者戒
【位置】計(jì)算機(jī)配置→Windows設(shè)置→安全設(shè)置→帳戶策略→帳戶鎖定策略。
【設(shè)置】雙擊“帳戶鎖定閾值”策略，設(shè)置“3次無效登錄”。然后可以把“帳戶鎖定時(shí)間”策略設(shè)置為“30”分鐘或更長時(shí)間。
【功能】當(dāng)非法用戶在3次輸入錯(cuò)誤密碼后，封鎖其帳戶，禁止登錄。
3.誰動(dòng)了我的奶酪
【位置】計(jì)算機(jī)配置→Windows設(shè)置→安全設(shè)置→本地策略→審核策略
【設(shè)置】把“審核帳戶登錄事件”策略設(shè)置為“成功、失敗”后，打開“事件查看器”，就能查看近期有哪些用戶登錄過你的電腦了；把“審核過程追蹤”策略設(shè)置為“成功、失敗”，可以察看用戶運(yùn)行過哪些程序。如圖3所示，通過事件查看器可以發(fā)現(xiàn)用戶“羅艷軍”運(yùn)行過QQ.exe程序。
小提示
打開“事件查看器”的方法：單擊“開始→運(yùn)行”，輸入“eventvwr.msc”后回車。
4.我的機(jī)器你別關(guān)
【位置】計(jì)算機(jī)配置→Windows設(shè)置→安全設(shè)置→本地策略→用戶權(quán)利指派
【設(shè)置】在“拒絕從網(wǎng)絡(luò)訪問此計(jì)算機(jī)”策略的屬性窗口中添加某一用戶，則該用戶就沒有權(quán)利從網(wǎng)絡(luò)訪問這臺(tái)計(jì)算機(jī)；在“關(guān)閉系統(tǒng)”策略的屬性窗口中刪除某一群組，如圖4所示，則該群組的用戶就沒有權(quán)利關(guān)閉系統(tǒng)（該用戶的“開始”菜單中沒有“關(guān)閉計(jì)算機(jī)”這一菜單項(xiàng)）。
5.訪問“控制面板”遭拒
【位置】用戶配置→管理模板→控制面板
【設(shè)置】雙擊該策略，在彈出的屬性窗口中把該策略設(shè)置為“已啟用”。
【功能】啟用該策略后，當(dāng)我們雙擊控制面板時(shí)出現(xiàn)一“限制”窗口，內(nèi)容為“本次操作由于這臺(tái)計(jì)算機(jī)的限制而被取消。請與您的系統(tǒng)管理員聯(lián)系。”
6.“我的電腦”無硬盤？
【位置】用戶配置→管理模板→Windows 組件→Windows資源管理器
【設(shè)置】雙擊“隱藏我的電腦中的這些指定的驅(qū)動(dòng)器”策略，選擇需要隱藏的驅(qū)動(dòng)器。
【功能】這些被隱藏的驅(qū)動(dòng)器將不會(huì)出現(xiàn)在“我的電腦”和“資源管理器”中，在Word的新建或打開窗口中也不會(huì)出現(xiàn)。
小提示
還是可以直接在地址欄中輸入隱藏的盤符（如D:\）來訪問。
7.我的驅(qū)動(dòng)器不對你開放
【位置】用戶配置→管理模板→Windows 組件→Windows資源管理器
【設(shè)置】雙擊“防止從我的電腦訪問驅(qū)動(dòng)器”策略，彈出屬性窗口如圖5所示，根據(jù)需要選擇適當(dāng)?shù)倪x項(xiàng)即可。
【功能】上一功能只是隱藏驅(qū)動(dòng)器，但直接輸入地址還可以訪問，就白了還是捉迷藏而已。要想真正禁止用戶使用，就得用這個(gè)功能。啟用后，就算你看到有這個(gè)磁盤，也會(huì)提示“本次操作由于這臺(tái)計(jì)算機(jī)的限制而被取消。請與您的系統(tǒng)管理員聯(lián)系”。放心了吧？
小提示
此時(shí)在命令提示符狀態(tài)仍能進(jìn)入被限制的驅(qū)動(dòng)器，使用DIR命令可查看文件系統(tǒng)，并能運(yùn)行程序。為了更有效地保護(hù)你的系統(tǒng)，請參考下一條措施。
8.DOS高手也傻了眼
【位置】用戶配置→管理模板→系統(tǒng)
【設(shè)置】雙擊“阻止訪問命令提示符”策略，選擇“已啟用”，并在“也停用命令提示符腳本處理嗎？”下拉列表框中選擇“是”。
【功能】當(dāng)我們使用命令提示符窗口時(shí)，將會(huì)出現(xiàn)一提示“命令提示符已被系統(tǒng)管理員停用。按任意鍵繼續(xù)...”。
9.別亂動(dòng)注冊表編輯器
【位置】用戶配置→管理模板→系統(tǒng)
【設(shè)置】雙擊“阻止訪問注冊表編輯工具”策略，選擇“已啟用”。同時(shí)在“禁止后臺(tái)運(yùn)行regedit”后選擇“是”。
【功能】運(yùn)行regedit啟動(dòng)“注冊表編輯器”時(shí)，會(huì)彈出一錯(cuò)誤提示“注冊編輯已被管理員停用”，從而禁止用戶通過注冊表編輯器訪問注冊表。
10.我的程序你別用
【位置】用戶配置→管理模板→系統(tǒng)
【設(shè)置】雙擊“不要運(yùn)行指定的Windows應(yīng)用程序”策略，選擇“已啟用”單選按鈕，然后單擊“顯示”按鈕，這時(shí)將出現(xiàn)一“顯示內(nèi)容”窗口，該窗口中顯示的是禁止運(yùn)行的程序列表。單擊“添加”按鈕，在文本框中輸入禁止運(yùn)行的程序名稱即可，如圖6所示。
【功能】當(dāng)你運(yùn)行這些被禁止的程序時(shí)，將出現(xiàn)提示窗口“本次操作由于這臺(tái)計(jì)算機(jī)的限制而被取消。請與您的系統(tǒng)管理員聯(lián)系。”
小提示
只需輸入禁止運(yùn)行的程序名，不需在程序名前加路徑。
怎么樣？經(jīng)過這重重防線的設(shè)置，電腦安全多了吧？不過，最后提醒一句：不要自己給自己添亂！因?yàn)檫@些設(shè)置是一把雙刃劍。不僅可以限制別人，同時(shí)，也限制了自己！如果擔(dān)心熟悉組策略的用戶再運(yùn)行組策略編輯器將相關(guān)選項(xiàng)改回來，在圖6中填入gpedit.msc吧，這樣連組策略編輯器也甭想進(jìn)來了，呵呵。還是得給自己留下一條后路喲。
希望本文介紹的組策略在系統(tǒng)安全方面的十大應(yīng)用能夠?qū)ψx者有所幫助。
【編輯推薦】
