有人形象地把組策略稱為Windows系統(tǒng)中的“大內(nèi)高手”。與XP相比，Vista 中的組策略功能更強(qiáng)大，與系統(tǒng)的集成更加緊密，其更像Vista 系統(tǒng)中的“大內(nèi)總管”。利用組策略可以在Vista 中完成一些看似很難完成的任務(wù)。下面我們一道深入挖掘，揭開Vista 組策略內(nèi)幕，實現(xiàn)非常任務(wù)。

　　1、隱藏、限制磁盤分區(qū)，保護(hù)數(shù)據(jù)

　　無論是個人電腦還是公用電腦中都保存了某些數(shù)據(jù)資料，這些數(shù)據(jù)有時是不必讓別人知道的。特別是辦公場合的計算機(jī)由于位置開放，通常多人共用，個人電腦有時也會被他人臨時使用，所有這些對存儲其中的用戶數(shù)據(jù)的保密和安全性提出了嚴(yán)重挑戰(zhàn)，該怎么辦呢?

　　其實我們不需要第三方軟件在Vista 中通過對磁盤分區(qū)進(jìn)行隱藏或者限制即可輕易實現(xiàn)對數(shù)據(jù)的保護(hù)的。下面我們以限制C分區(qū)為例進(jìn)行演示，其具體操作步驟如下：

　　第一步：在開始菜單的“運行”對話框中，輸入“Gpedit.msc”，打開“組策略”設(shè)置窗口，在“組策略”設(shè)置窗口中，依次打開 “本地計算機(jī)策略→用戶配置→管理模板→Windows組件→Windows資源管理器”選項。

　　第二步：在右邊的設(shè)置窗口中，選擇“防止從‘我的電腦’訪問驅(qū)動器”項，在這個選項上單擊鼠標(biāo)右鍵，選擇“屬性”，接著出現(xiàn)“防止從‘我的電腦’訪問驅(qū)動器的屬性”設(shè)置窗口。在其中有三個選項，分別是“未配置”、“已啟用”、“已禁用” 。

　　第三步：我們選擇“已啟用”后，在下面就會出現(xiàn)選擇驅(qū)動器的下沉列表，如果希望限制某個驅(qū)動器的使用，只要選中該驅(qū)動器就可以了。比如，我們要限制C盤的使用，選中“僅限制驅(qū)動器C”，就可以了。如果希望關(guān)閉所有的驅(qū)動器，包括光驅(qū)等，可以選中“限制所有驅(qū)動器”。(圖1)

　　

　　圖1 阻止我的電腦訪問驅(qū)動器

　　提示：在“Windows資源管理器”下還有“隱藏‘我的電腦’中的這些指定的驅(qū)動器”這條策略，通過該策略可以因此指定的驅(qū)動器，但是這個策略可以通過IE瀏覽器突破，在地址欄中輸入C:\，回車后隱藏的C磁盤分區(qū)同樣可以訪問，相比之下我們上面的限制更徹底一些。(圖2)

　　

　　圖2 設(shè)置效果
延伸：通過上面的方法可以選擇隱藏C分區(qū)或者隱藏所有分區(qū)，那如何實現(xiàn)隱藏某個特定的分區(qū)比如E磁盤分區(qū)呢?我們可以通過修改Vista 的組策略配置文件來實現(xiàn)，該文件被存儲在“%windir%\PolicyDefinitions\”路徑下，我們需要修改的是“WindowsExplorer.adml”和WindowsExplorer.admx”兩個配置文件。

　　第一步：用記事本打開WindowsExplorer.adml文件，找到包含如下代碼的部分：

　　僅限制分區(qū) A、B、C 和 D

　　僅限制分區(qū) A、B 和 C

　　僅限制分區(qū) A 和 B

　　限制所有分區(qū)

　　例如需要隱藏E分區(qū)，則添加如下代碼，修改完成后保存退出：

　　僅限制分區(qū) E(圖3)

　　

　　圖3 限制分區(qū)

　　第二步：用記事本打開WindowsExplorer.admx文件，分別找到

　　”

　　前者是用來限制訪問分區(qū)，后者則是用來隱藏分區(qū)，例如這里還是以E分區(qū)為例進(jìn)行說明，請在兩處位置分別添加如下代碼，這里的“16”表示E分區(qū)的十進(jìn)制代碼：　　(圖4)

　　

　　圖4 添加E盤設(shè)置選項

　　第三步：替換兩個重要文件。由于訪問控制的權(quán)限問題，我們首先需要對兩個文件的訪問權(quán)限進(jìn)行修改，打開屬性對話框，切換到“安全”選項卡，單擊“高級”按鈕更改所有者后進(jìn)行相關(guān)的設(shè)置，獲得權(quán)限之后即可完成文件替換的操作。

　　現(xiàn)在，我們可以在組策略的“防止從‘我的電腦’訪問驅(qū)動器”對話框，選擇“已啟用”就可以的了。

2、給U盤通行證

　　U盤已經(jīng)很普及了，而且很多手機(jī)功能也帶U盤功能了，所以想從別人的電腦里面復(fù)制出一些文件，是非常簡單的事情，這樣對電腦里面資料就有很大的威脅，如何讓系統(tǒng)只能使用指定的U盤或者移動硬盤呢?

　　其實在Vista 系統(tǒng)中就不用擔(dān)心這個問題，我們可以通過組策略來完成這項任務(wù)。通過設(shè)置既可以禁用所有的USB存儲設(shè)備，而且還可以讓系統(tǒng)只能使用指定的U盤。

　　第一步：把自己的U盤先插入到Vista 系統(tǒng)中，讓系統(tǒng)可以正常使用U盤，接著進(jìn)入“控制面板”，雙擊“設(shè)備管理器”，在里面展開“便攜設(shè)備”，可以看見里面有你的U盤。

　　第二步：在上面點擊鼠標(biāo)右鍵來選擇“屬性”，在彈出的“屬性”窗口中點擊“詳細(xì)信息”標(biāo)簽，然后在設(shè)備“屬性”下拉框中選擇“硬件ID”，下面的“值”中會出現(xiàn)字符串，這個就是你的U盤的硬件ID，把它復(fù)制出來保存好。

　　第三步：還需要復(fù)制“通用串行總線控制器”中“USB大容量存儲設(shè)備”的硬件ID，在“設(shè)備管理器”中展開“通用串行總線控制器”列表，找到“USB大容量存儲設(shè)備”，在它的“屬性”窗口中點擊“詳細(xì)信息”標(biāo)簽，復(fù)制出它的硬件ID也保存一下。

　　第四步：找出U盤的硬件ID后就可以通過組策略來實現(xiàn)了。“開始→運行”輸入“Gpedit.msc”打開組策略窗口，依次展開“計算機(jī)配置→管理模板→系統(tǒng)→設(shè)備安裝→設(shè)備安裝限制”，雙擊右側(cè)的“禁止安裝未由其他策略設(shè)置描述的設(shè)備”，在彈出的窗口中選擇“已啟用”，再點擊 “確定”按鈕，設(shè)置它可以來禁止策略設(shè)置描述的USB設(shè)備。(圖5)

　　

　　圖5 禁止其他移動存儲設(shè)備
3、杜絕惡意關(guān)機(jī)

　　在企事業(yè)單位，經(jīng)常有一些好事之徒或者惡作劇者，偷窺別人電腦上的資料，雖然我們可以通過Windows+L來鎖定計算機(jī)，防止了別人的偷窺，但是在在鎖定頁面上還有一個“關(guān)閉計算機(jī)”，雖然他人無法亂動機(jī)器了，但是卻可以關(guān)機(jī)，如果遇到好事之人點擊一下“關(guān)閉計算機(jī)”，那么，前期的工作很可能就付之東流了。因此，很有必要給“關(guān)閉計算機(jī)”再加一把鎖。通過組策略即可輕易完成這樣的任務(wù)。

　　點擊“開始→運行”，在彈出的運行對話框中輸入“Gpedit.msc”，回車后打開組策略編輯器。依次展開如下分支“計算機(jī)配置→Windows設(shè)置→安全設(shè)置→本地策略→安全選項”，在右側(cè)的窗格中找到“關(guān)機(jī)：允許在未登陸前關(guān)機(jī)”選項，雙擊，在彈出來的屬性對話框中將其屬性設(shè)置為“已禁用”，點擊“確定”按鈕并關(guān)閉組策略編輯器即可。(圖6)

　　

　　圖6 防止惡意關(guān)機(jī)

　　4、帳戶相關(guān)

　　(1).來賓帳戶改名

　　在工作組環(huán)境中，網(wǎng)絡(luò)共享是需要開啟guest帳戶，這是有一定的安全風(fēng)險的，因為攻擊者可以通過默認(rèn)的guest帳戶入侵系統(tǒng)，給來賓帳戶改名是個不錯的方法。因為是系統(tǒng)默認(rèn)帳戶，在常規(guī)情況下是沒法改名的，我們可以通過組策略來完成。

　　“開始→運行”輸入Gpedit.msc打開組策略，依次定位到“本地計算機(jī)策略→計算機(jī)配置→windows設(shè)置→安全設(shè)置→本地策略→安全選項”，雙擊右邊的選項“重命名來賓用戶”，然后輸入新的來賓用戶的名字即可。(圖7)

　　

　　圖7 來賓用戶改名

(2).Guest也能遠(yuǎn)程關(guān)機(jī)

　　在之前Windows 2000/xp系統(tǒng)默認(rèn)只有Adminstrators組的成員才可以有遠(yuǎn)程關(guān)閉計算機(jī)的權(quán)限，這個設(shè)計的是為了系統(tǒng)安全，這個策略也延續(xù)到了Windows Vista 中，但有的時候我們是以Guest帳號登陸某臺局域網(wǎng)中的計算機(jī)進(jìn)行操作，需要賦予guest用戶遠(yuǎn)程關(guān)機(jī)的權(quán)限，如何實現(xiàn)呢?具體步驟如下：

　　第一步：運行Gpedit.msc打開組策略，依次定位到“本地計算機(jī)策略→計算機(jī)配置→windows設(shè)置→安全設(shè)置→本地策略→用戶權(quán)限分配”，在右邊找到“從網(wǎng)絡(luò)訪問計算機(jī)”，右擊“屬性”可以看見允許遠(yuǎn)程訪問的用戶。默認(rèn)情況下guest用戶是禁用并且沒有權(quán)限關(guān)閉這臺計算機(jī)的，我們先在命令提示符下輸入命令“net user guest /active:yes”開啟guest，然后單擊“添加用戶或組”，在輸入對象名稱來選擇的對話框中輸入“Guest”確定即可。(圖8)

　　

　　圖8 來賓用戶授權(quán)

　　第二步：在當(dāng)前組策略控制臺窗口中的“用戶權(quán)限指派”中找到“遠(yuǎn)程強(qiáng)制關(guān)機(jī)”并雙擊該項目。在彈出的窗口和上面一樣添加“guest”賬戶然后依次“確定”完成，這樣guest就具有了遠(yuǎn)程關(guān)閉這臺計算機(jī)的權(quán)限。(圖9)

　　

　　圖9 關(guān)機(jī)權(quán)限
　(3).杜絕密碼爆破

　　當(dāng)你的Windows Vista 用戶口令不夠“強(qiáng)壯”時，非法用戶很容易通過多次重試“猜”出用戶密碼而登錄系統(tǒng)，存在很大的數(shù)據(jù)風(fēng)險。那如何來防止黑客猜解或者爆破系統(tǒng)密碼呢?

　　其實，要避免這一情況，通過組策略設(shè)置帳戶鎖定策略即可完美解決。此時當(dāng)某一用戶嘗試登錄系統(tǒng)輸入錯誤密碼的次數(shù)達(dá)到一定閾值即自動將該帳戶鎖定，在帳戶鎖定期滿之前，該用戶將不可使用，除非管理員手動解除鎖定。其設(shè)置方法如下：

　　第一步：在開始菜單的搜索框輸入“Gpedit.msc”打開組策略對象編輯器，然后依次點擊定位到“計算機(jī)設(shè)置→Windows設(shè)置→安全設(shè)置→帳戶策略→帳戶鎖定策略”策略項下。

　　第二步：雙擊右側(cè)的“帳戶鎖定閾值”，此項設(shè)置觸發(fā)用戶帳戶被鎖定的登錄嘗試失敗的次數(shù)。該值在0到999之間，默認(rèn)為0表示登錄次數(shù)不受限制。大家可以根據(jù)自己的安全策略進(jìn)行設(shè)置，我們設(shè)置為5。(圖10)

　　

　　圖10 設(shè)置嘗試登錄次數(shù)

　　說明：Windows Vista接下來將自動設(shè)置帳戶鎖定時間與復(fù)位帳戶鎖定計數(shù)器的時間間隔，一般而言我們使用默認(rèn)值，當(dāng)然，也可根據(jù)自己的需要修改。
5、安全相關(guān)

　　(1).巧防Windows+X熱鍵漏洞

　　Windows Vista 的組合鍵為我們的工作帶來了方便，但因此也帶來了麻煩，前段時間的粘滯鍵漏洞和win+u組合鍵漏洞讓不少系統(tǒng)告破。在微軟沒有出補(bǔ)丁的情況下，我們可以先把它禁止。操作如下：

　　運行“Gpedit.msc”打開“組策略”設(shè)置窗口。在“組策略”設(shè)置窗口中，依次定位到“本地計算機(jī)策略→用戶配置→管理模板→Windows組件→Windows資源管理器”選項。在右邊欄中我們找到“關(guān)閉 Windows+X 熱鍵”的選項，并啟用它即可。(圖11)

　　

　　圖11 禁用熱鍵

　　(2).記錄并報告非法登陸

　　個人電腦有時會成為大家的玩物，當(dāng)你不在身邊的時候它飽受某些人的蹂躪，我們?nèi)绾沃朗欠駝恿宋覀兊碾娔X呢?

　　其實在Vista 中有個新功能可以讓我們是否有人動了我們的電腦。我們可以讓Vista 記錄我們每一次登錄系統(tǒng)的時間，如果我們發(fā)現(xiàn)了陌生的登錄時間可以肯定有人動了我們的電腦。

　　運行“gpedit.msc”打開“組策略”設(shè)置窗口打開組策略對象編輯器，依次定位到“計算機(jī)配置→管理模塊→Windows 組件→Windows登錄選項”，然后在右側(cè)對話框中選中并雙擊“在用戶登錄期間顯示有關(guān)以前登錄的信息”在彈出的對話框中點選“已啟用”即可。

　　設(shè)置完畢后，當(dāng)你下次啟動計算機(jī)時，系統(tǒng)就會在用戶進(jìn)入系統(tǒng)桌面前提示你上次的登錄時間了。這樣我們可以判斷是否有人動了我們的電腦。(圖12)

　　

　　圖12 報告系統(tǒng)登妹信息

　　總結(jié)：通過上面的實例，你是否領(lǐng)教組策略這位系統(tǒng)“大內(nèi)總管”的神奇功能?其實，組策略是個寶庫，只要我們善于挖掘，總能找到“珍寶”完成一些非常任務(wù)。

最新評論