使用windows组策略对计算机进行安全配置.
Windows组策略完善桌面计算机安全
不需 要 的服务 被启 用 ， 恶意 用户 可 以通过 尝试攻 击不 需要 的服 务来 人侵 系 统 ， 管理 员在 管理 而 维护 过程 中通 常会 忽略 不需要 的服务 ， 无法 及 时修补 这些 服务 中所 存在 的安 全漏 洞 ， 给恶 意用户 留 下更 多 的攻击 途径 。不 需要 的端 口被 启 用 ， 法 者 可 以利 用 这 些 端 口进 行 攻击 ， 得 系统 相 关 信 非 获
活动 目录和 Ｗｉｄ ｗｓ 统 中强大 的管理 工 具一组 策 略 ， 合 计 算 机启 动 脚 本 的使 用 ， 现 桌 面计 ｎｏ 系 配 实
算机 安全 配置 统一 化和 标准 化管 理 ， 仅有 利 于降低 系统 风 险 、 不 方便 信 息安 全 防护措施 的统一部 署 和实 施效 率 ， 有利 于 降低桌 面计 算机 安全 管理 的复 杂性 和维 护成 本 ， 还 提高 系统 管理效 率 。 网络 中主 要桌 面计 算机及 域 控服 务器 的操作 系统 类 型 如下 ： 控 制 器／ 域 活动 目录 ， 装操 作 系 安 统 Ｗｉｄ ｗｓＳ ｒ ｅ ０ ８Ｒ２ 桌 面计 算机 ， 装操 作系 统 Ｗｉｄ ｗｓＸ ｎ ｏ ｅｖ ｒ２ ０ ； 安 ｎ ｏ Ｐ。
如： ＤＨＣ ｌ ｎ 、 ｅ ｔ ｅ ｉ ｒ 、 ａ ｋＳ ｈ ｄ ｌｒＴｅｅ ｈ ｎ 、 ｓｅ ｇ ｒ Ｐ Ｃｉ ｔＲ ｍｏｅＲ ｇｓ ｙ Ｔ ｓ ｃ ｅ ｕｅ 、 ｌ ｏ ｙ Ｍｅｓｎ ｅ 。系统 中开启 了多个可 ｅ ｔ ｐ 能 不必 要且 易受攻 击 的端 Ｅ ， １ ５ １ ９ ４ ５ ５ ３ １ ２ 、 ７ ５ ３ ２ 、１ ９等 。 ｌ如 ３ 、 ３ 、４ 、 ９ 、０ ５ ２ ４ 、 １ ７ ６ ２
统默认 共 享等安 全 设置 ， 实现 桌面计 算机安 全 配置 统一化 和标 准化 管理 。
提升windows系统安全性的组策略设置
06
安全加固建议
使用强密码并定期更换密码
总结词
强密码是保护Windows系统安全性的重要措施之一，应定期更换密码，以降低被破解的风险。
详细描述
强密码应包含大写字母、小写字母、数字和特殊字符，且长度至少为8位。建议使用密码管理工具来生成和保存 复杂的密码。定期更换密码可减少被破解的时间，一般建议每3个月更换一次密码。
组策略在系统安全中的作用
配置安全审计
01
通过配置安全审计，可以记录系统中发生的安全事件，以便及
时发现并应对潜在的安全威胁。
禁用不必要的网络协议
02
禁用不必要的网络协议可以减少系统的漏洞，提高系统的安全
性。
配置防火墙规则
03
通过配置防火墙规则，可以限制网络流量，防止恶意软件通过
网络进行传播。
02
账户策略
设定锁定帐户的时间长度，防止暴力破解。
复位帐户锁定计数器
在达到帐户锁定阈值后，可以复位计数器，重新解锁帐户。
审核策略
审核登录事件
对登录事件进行审核，以便在发生异常登录时进行审计。
审核账户管理事件
对账户管理事件进行审核，以便在发生异常账户操作时进行审计。
审核目录服务访问事件
对访问目录服务的事件进行审核，以便在发生异常访问时进行审计 。
网络访问保护（NAP）
通过强制执行安全策略，限制不符合安全标准的计算机的互联网访问，以减少 网络威胁。
网络安全保护
对网络连接进行加密和安全认证，以保护数据传输过程中的隐私和完整性。
安全审计策略
日志审计
对系统活动进行详细记录和审计，以便于追踪和调查潜在的 安全事件。
安全事件响应
及时响应和处理安全事件，以防止其对系统造成进一步的损 害。
利用组策略进行系统设置与调整上网设置
还原系统文件
通过组策略，可以还原系统的关键文件和配置。 这通常涉及使用系统还原点或回滚到先前的系统 版本。
重新配置应用程序
对于与系统设置相关的问题，可能需要重新配置 或重新安装有问题的应用程序。
修复常见问题
01
网络连接问题
利用组策略可以配置网络连接参数， 解决网络连接故障。这可能涉及更改 网络协议、IP地址、DNS服务器等设 置。
调整网络连接状态
显示网络连接状态
01
通过组策略可以设置在任务栏上显示网络连接状态，以便用户
随时了解网络状况。
断开网络连接
02
当需要断开网络连接时，可以通过组策略实现。
监视网络连接
03
可以设置监视网络连接的参数，如超时时间、重连次数等。
04
利用组策略实现安全防护
配置安全设置
开启防火墙
通过组策略可以配置防火墙，过滤掉恶意流量和攻击。
06
利用组策略进行故障排除与恢复
诊断系统故障
确定故障范围
首先要明确故障所涉及的范围，是 单个应用程序、操作系统服务，还 是整个系统。
收集诊断信息
收集关于故障的相关信息，包括错 误消息、事件日志、系统性能监控 数据等。
分析故障原因
根据收集到的诊断信息，分析故障 产生的原因。可能涉及硬件、软件 、网络等方面。
02
系统更新问题
如果系统更新后出现故障，可以通过 组策略回滚到先前的系统版本，或禁 用自动更新功能。
03
安全性和权限问题
组策略可以用于配置安全性和权限设 置，例如用户账户控制(UAC)、防火 墙规则、文件和文件夹的访问权限等 。
THANKS
的困难。
0关闭Windows功能
利用组策略进行系统设置与调整上网设置
制定组策略部署计划
在部署组策略之前，需要制定详细的部署计 划。
分发组策略配置
通过组策略管理控制台，可以将组策略配置 分发到目标计算机或用户。
THANKS
谢谢您的观看
规则配置
根据需要配置防火墙规则，以便允许或拒绝特 定的网络流量。
监控日志
定期查看防火墙日志，以便及时发现和解决潜在的安全威胁。
隐私保护措施
清除浏览器缓存
定期清除浏览器缓存和临时文件，以保护个人隐私和数据安全。
禁用不必要的插件
禁用或删除不必要的浏览器插件，以减少个人信息泄露的风险。
使用加密通信
确保在使用互联网服务时使用加密通信协议，如HTTPS，以保护数 据传输的安全性。
详细描述
打开组策略编辑器，定位至“计算机配置策 略管理模板Windows组件Internet Explorer”，然后双击相应的策略进行配置 。例如，要禁止更改主页，可以启用“禁止 更改主页”策略。
03
上网设置
代理服务器设置
总结词
代理服务器设置允许用户通过代理服务器进行网络连接，以实现网络访问的匿名性和安 全性。
屏幕保护程序设置
总结词
通过组策略可以设置屏幕保护程序的运行方式、等待时间等参数，以保护计算机屏幕。
详细描述
打开组策略编辑器，定位至“计算机配置策略管理模板控制面板个性化”，然后双击“屏幕保护程序”进行配置 。例如，要设置屏幕保护程序的等待时间，可以启用“设置等待时间”策略，并输入所需的分钟数。
文件夹选项设置
详细描述
通过组策略编辑器，可以配置代理服务器设置，包括代理服务器地址、端口号以及是否 启用代理等。这些设置将应用于计算机或用户组，确保网络连接通过代理服务器进行。
组策略作用范围
组策略作用范围组策略是Windows操作系统中的一项重要功能，它可以用来管理计算机和用户的配置。
通过组策略，系统管理员可以集中管理计算机网络中的各种设置，包括安全设置、网络设置、软件安装等。
组策略的作用范围是指它所能影响到的对象的范围，包括计算机对象和用户对象。
一、计算机对象的作用范围计算机对象是指在Windows域中的计算机账户。
通过组策略，可以对计算机对象进行一系列的配置和管理。
计算机对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置计算机的安全设置，包括密码策略、用户权限、防火墙设置等。
管理员可以通过组策略确保计算机的安全性，防止未经授权的访问和操作。
2. 网络设置：组策略可以用来配置计算机的网络设置，包括IP地址、DNS服务器、代理服务器等。
管理员可以通过组策略统一管理计算机的网络配置，提高网络的稳定性和安全性。
3. 软件安装：组策略可以用来配置计算机的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制计算机上的软件安装，确保计算机上的软件版本统一和安全。
4. 系统配置：组策略可以用来配置计算机的系统设置，包括桌面背景、屏幕保护程序、电源管理等。
管理员可以通过组策略统一配置计算机的系统设置，提供用户体验和工作效率。
二、用户对象的作用范围用户对象是指在Windows域中的用户账户。
通过组策略，可以对用户对象进行一系列的配置和管理。
用户对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置用户的安全设置，包括密码策略、访问权限、账户锁定策略等。
管理员可以通过组策略确保用户账户的安全性，防止未经授权的访问和操作。
2. 桌面设置：组策略可以用来配置用户的桌面设置，包括桌面背景、屏幕保护程序、桌面图标等。
管理员可以通过组策略统一配置用户的桌面设置，提供统一的用户体验。
3. 软件安装：组策略可以用来配置用户的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制用户账户上的软件安装，确保软件版本统一和安全。
Windows 7 组策略安全使用全攻略
组策略是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。
通过使用组策略可以设置各种软件、计算机和用户策略。
考虑到安全方面的原因，Windows 7已经开发了许多新的和增强的组策略功能和服务，帮助您更好地保护计算机上驻留的数据、功能和服务。
这些功能的配置取决于您的具体要求和使用环境，本文将主要介绍Windows 7组策略的安全使用技巧，介绍如何配置组策略功能和服务来更好地满足您的系统安全、网络安全、数据保护及个性化需求。
一、系统设置安全篇1. 禁止运行指定程序系统启动时一些程序会在后台启动，这些程序通过“系统配置实用程序”(msconfig)的启动项无法阻止，操作起来非常不便，通过组策略则非常方便，这对减少系统资源占用非常有效。
通过启用该策略并添加相应的应用程序，就可以限制用户运行这些应用程序。
具体步骤如下：(1)打开「开始」菜单，在“搜索程序和文件”搜索框中输入“gpedit.msc”并回车，打开组策略对象编辑器。
(2)在左边的窗格依次单击“用户配置→管理模板→系统”，然后在右边的窗格双击“不要运行指定的Windows应用程序”(如图1所示)。
图1 双击“不要运行指定的Windows应用程序”(3)选中“已启用”，单击“显示”按钮(如图2所示)，添加要阻止的程序如“Wgatray.exe”即可。
图2 添加要阻止的程序当用户试图运行包含在不允许运行程序列表中的应用程序时，系统会提示警告信息。
把不允许运行的应用程序复制到其他的目录和分区中，仍然是不能运行的。
要恢复指定的受限程序的运行能力，可以将“不要运行指定的Windows应用程序”策略设置为“未配置”或“已禁用”，或者将指定的应用程序从不允许运行列表中删除（这要求删除后列表不会成为空白的）。
这种方式只阻止用户运行从Windows资源管理器中启动的程序，对于由系统过程或其他过程启动的程序并不能禁止其运行。
该方式禁止应用程序的运行，其用户对象的作用范围是所有的用户，不仅仅是受限用户，Administrators组中的账户甚至是内建的administrator帐户都将受到限制，因此给管理员带来了一定的不便。
组策略管理计算机
组策略管理计算机
1.什么是组策略管理计算机
组策略是Windows操作系统中的一种管理工具，它可以用来管理计算机和用户的设置和配置。
组策略管理计算机能够让管理员通过集中的方式来管理计算机和用户的安全策略、软件设置以及系统配置等方面。
在企业中，许多计算机都是连在一起的，组策略管理计算机可以让管理员对这些计算机的配置进行集中控制，统一管理。
通过组策略，管理员可以对指定的操作系统用户或计算机进行指定策略的配置，大幅度提高了系统安全性和管理效率。
2.组策略管理计算机的优点
1.算法高效：组策略管理计算机能够快速而准确地完成计算机配置更新，避免了人工修改配置的错误。
2.统一管理：管理员可以通过组策略管理工具对所有计算机进行一致的设置，统一管理不同计算机的配置。
3.提高效率：组策略工具可以让管理员在短时间内完成大量计算机的管理任务，提高了管理效率。
4.提高安全性：管理员可以通过组策略工具设置计算机和用户的安全策略，限制用户的权限，增强了系统安全性。
3.组策略管理计算机的使用方法
1.打开“组策略管理器”。
在“控制面板”中找到“管理工具”，然后点击“组策略管理器”。
2.在左侧面板中选择“组策略对象编辑器”，然后找到需要编辑的策略。
3.右键点击目标策略，在弹出的菜单中选择“编辑”。
4.在“组策略对象编辑器”中进行配置，然后保存。
5.将修改的组策略应用到相应的计算机或用户上。
4.总结
组策略管理计算机是一种非常便捷、高效的管理工具，大大提高了计算机系统的管理效率和安全性。
因此，它在企业中使用越来越广泛，深受管理者们的青睐。
组策略的配置与管理
组策略的配置与管理一、组策略的概念及作用组策略是Windows操作系统中的一种重要管理工具，它可以对计算机或用户进行一系列的配置和管理。
通过组策略，管理员可以对网络中的计算机和用户进行统一的管理，从而提高网络安全性、降低维护成本和提高工作效率。
二、组策略的配置与管理方法1. 打开组策略编辑器在Windows操作系统中，打开组策略编辑器有两种方法：一种是在运行窗口中输入“gpedit.msc”命令；另一种是在控制面板中选择“管理工具”->“本地安全策略”。
2. 配置计算机配置和用户配置在组策略编辑器中，有两个主要选项：计算机配置和用户配置。
管理员可以根据需要分别对这两个选项进行配置。
其中，计算机配置包括Windows设置、安全设置、软件设置等；用户配置包括Windows设置、安全设置、脚本设置等。
3. 配置组策略对象管理员可以选择要应用某个组策略的对象。
例如，可以选择应用某个组策略到特定的计算机或用户上。
4. 配置组策略规则在每个选项卡下面都有很多不同的规则可供管理员进行配置。
例如，在“Windows设置”->“安全设置”中，管理员可以配置密码策略、账户锁定策略等。
5. 配置组策略优先级如果不同的组策略规则之间存在冲突，那么就需要根据优先级来确定哪个规则会被应用。
管理员可以在组策略编辑器中为不同的规则设置优先级。
三、常见的组策略配置和管理案例1. 禁用USB存储设备在计算机配置中，选择“Windows设置”->“安全设置”->“本地策略”->“安全选项”，找到“可移动存储访问控制”，将其禁用即可禁止使用USB存储设备。
2. 配置密码策略在计算机配置中，选择“Windows设置”->“安全设置”->“账户策略”->“密码策略”，可以对密码长度、是否启用复杂性要求等进行配置。
3. 禁止用户更改壁纸在用户配置中，选择“管理模板”->“控制面板”->“个性化”，找到“阻止改变桌面背景”，将其启用即可禁止用户更改壁纸。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
综合性实验项目名称：使用windows组策略对计算机进行安全配置
一、实验目的及要求：
1.组策略是管理员为用户和计算机定义并控制程序，网络资源及操作系统行为的主要工具,
通过使用组策略可以设置各种软件，计算机和用户策略。
2.我们通过实验,学会使用组策略对计算机进行安全配置。
二、实验基本原理：
组策略是管理员为用户和计算机定义并控制程序，网络资源及操作系统行为的主要工具通过使用组策略可以设置各种软件，计算机和用户策略。
三、主要仪器设备及实验耗材：
PC机一台,Windows2000系统，具有管理员权限账户登录
四、注意事项
必须以管理员或管理员组成员的身份登录win2000系统
计算机配置中设置的组策略级别要高于用户配置中的级别策略
五、实验内容与步骤
1.在”开始”菜单中,单击”运行”命令项,输入gpedit.msc并确定，即可运行程序。
依次进行以下实验：
(1)隐藏驱动器
平时我们隐藏文件夹后，别人只需在文件夹选项里显示所有文件，就可以看见了，我们可以在组策略里删除这个选项。
1.使用策略前,查看”我的电脑”的驱动器,如图6-1所示
图6-1 使用策略前,“我的电脑”
2.选择“用户配置—>管理模板—>windows组件—>windows资源管理器”,如图6-2所示。
图6-2
隐藏驱动器
3.使用策略后,查看”我的电脑”的驱动器,如图6-3所示
图6-3 使用策略后,“我的电脑”
(2).禁止来宾账户本机登录
使用电脑时，我们有时要离开座位一段时间，如果有很多正在打开的文档还没有处理完成或者正在使用隐私内容时，为了避免有人动用电脑，我们一般会把电脑锁定。
但是在局域网中，为了方便网络登录，我们有时候会建立一些来宾账户，如果对方利用这些账户来注销当前账户并登录到别的账户，就会给正常工作带来影响。
我们可以通过“组策略”来禁止一些账户在本机上的登录，让对方只能通过网络登录。
在“组策略”窗口中依次打开“计算机配置—>windows设置—>安全设置—>本地策略—>用户权限分配”，然后双击右侧窗格的”拒绝本地登录”项，在弹出的窗口中添加要禁止的用户或组即可实现,如图6-4所示
图6-4 选择用户和组
采取拒绝本地登录策略,如图6-5所示
图6-5 拒绝本地登录
(3).开启审核策略
在“计算机配置—>windows设置—>安全设置—>本地策略—>审核策略”上，我们可以看
到它可以审核策略更改，登录事件，对象访问，过程追踪，目录服务访问，特权使用等,这些审核可以记录下你某年某月某日某时某分某秒做过了什么操作：几时登录，关闭系统或更改过哪些策略等等,如图6-6所示
图6-6 审核策略
我们应该养成经常在“控制面板—>管理工具—>事件查看器”里查看事件的好习惯。
比如，当你修改过“组策略”后，系统就发生了问题，此时“事件查看器“就会及时告诉你修改了哪些策略，在“登录事件”里，你可以查看到详细的登录事件，知道有人就尝试使用禁用的账户登录，谁的账户密码已过期……而要启用哪些审核，只要双击相应的项目，选中“成功”和“失败”两个选项即可
(4).禁止修改IE浏览器主页
如果你不希望他人或网络上的一些恶意代码对自己设定的IE浏览器主页进行随意的更改，我们可以选择“用户配置—>管理模板—>windows组件—>internet explorer—>禁用更改主页设置”,如图6-7所示
图6-7 禁止更改主页设置禁止更改主页设置后,查看Internet属性, 如图6-8所示
图6-8所示Internet属性
1.还提供了“更改历史记录设置，更改颜色设置，更改internet临时文件设置”等项目的
禁用功能。
如果启用了这个策略，在IE浏览器的“Internet选项”对话框，在“常规”
选项卡的“主页”区域的设置将变灰
禁止更改历史记录设置,如图6-9所示
图6-9更改历史记录设置禁止更改颜色设置,如图6-10所示
图6-10更改颜色设置
禁止更改internet临时文件设置,如图6-11所示
图6-11 更改internet临时文件设置
2.如果设置了“用户配置—>管理模板—>windows组件—>Internet explorer—>Internet控制
面板—>禁用常规页”，则“常规”选项被删除
禁用常规页,如图6-12所示
图6-12常规页设置
3.逐级展开“用户设置—>管理模板—>windows组件—>Internet explorer”,包括了“Internet
控制面板，脱机页，浏览器菜单，工具栏，持续行为，管理员认可”等策略选项。
利用它可以打造一个极有个性和安全的IE,如图6-13所示
图6-13 IE管理设置
(5).禁用IE组件自动安装
计算机配置—>管理模板—>windows组件—>Internet explorer—>禁用Internet explorer组件的自动安装—>启用，将会禁止Internet explorer自动安装组件。
这样可以防止Internet explorer 在用户访问到需要某个组件的网站时下载该组件，篡改IE的行为也会得到遏制，保证IE的安全,如图6-14所示
图6-14 禁止Internet explorer自动安装组件。