Windows_Server_2008_AD组策略管理

结合组策略和注册表对IE进行安全进阶配置

过组策略配置IE

* 本文的实现环境为Windows 7 Ultimate + Internet Explorer 8

可配置的功能

● inPrivate 设置

● Internet 控制面板、功能、工具栏及菜单设置

● 安全功能、持续行为设置

● 控件、加速器、兼容性设置

● 脱机页面及浏览记录设置

● 企业功能设置

不同功能在组策略中的分类

示例方法：利用组策略配置 IE

此处，不仅左侧目录树中有着丰富的配置功能，在右侧的详细条目窗格中也有很多可供定义的设置。在配置时，只需双击需要设置的条目，在设置窗口内对选项和设定值进行修改即可。

下文中的配置方法如此例所示，除需要特殊说明外，基本步骤我不再另行截图。

计算机配置管理模板中的IE 配置

轻松搞定IE 安全进阶配置

对IE 进行安全进阶配置，就让我们一步一步来，步步为营，根据不同的环境要求做灵活配置。

锁定主页设置

在此条目中，将策略状态更改为“已启用”，并且填入我们需要的主页地址即可。如果不希望使用主页，

启用该策略并填入主页地址

设置完成后，IE 选项中的主页设置框将成为灰色不可用状态，并在会在设置窗口下方出现“某些设置由系统管理员管理”的提示。

IE 主页设置将不可用以及系统提示

禁用“另存为”功能

在企业或者公司重要部门，为了保证计算机存储资料的安全、保持计算机资料整齐和条理，可能不希望员工使用IE 的“另存为”功能保存网页，在组策略中可以实现此要求。

只需将此条目启用，在IE 的菜单栏“文件”选项下以及网页右键菜单中将不会显示“另存为...”按钮。禁用下载功能

上一条配置虽然禁用了“文件”菜单以及网页右键菜单中的“另存为”功能，但在链接、图片上若点击右键，依然会显示“目标另存为”功能，照样可以实现保存网页、图片，甚至是文件的功能。因此，我们还需要禁用IE 的下载功能。

只需将此条目启用，当在网页中的图片或其他元素上单击右键，“目标另存为”按钮都会是不可用的状态；而在链接上点击右键，虽然此按钮呈可用状态，但是点击之后会提示该功能不可用。

右键中的“目标另存为”功能已不可用

此组策略目录下的更多设置

在这个组策略目录下，还有更多设置，如：关闭”打印“菜单、禁用上下文菜单、禁用”Internet 选项“菜单等。

更多设置

菜单栏及右键菜单的进阶设置

到了这时，有人可能会问，如果我压根连浏览器菜单栏也不想对用户提供，更甚连右键菜单都需要禁用掉，怎么办？

我们依然可以使用组策略来完成，只是在禁用右键菜单上还需再结合注册表才可以做彻底。

禁用菜单栏

只需将此条目禁用，IE 中就无法在启用菜单栏。需要注意的是，在设置此功能之前请确认已将IE 中的菜单栏关闭，否则配置该条目之后将无法关闭菜单栏。

禁用IE 右键

打开注册表编辑器（regedit.exe）。

若没有经过上文中的组策略对菜单栏等的设置，请在组策略中新建该目录。

在该注册表目录下，新建名为”NoBrowserContextMenu“的DWORD 值，设置该键值为1 即为禁用IE 右键菜单，0 则是启用。

在注册表中编辑该键值为 1 即为禁用IE 右键菜单

当该键值为1 时，在IE 中就不再能打开右键菜单了。效果非常理想。

禁用”Internet 控制面板“中的相关功能

如果不希望用户通过”Internet 控制面板“修改IE 设置，我们可以通过组策略进行按需配置。

配置条目：

将需要屏蔽的控制面板选项页面禁用，IE 中的”Internet 控制面板“就不会再显示相关配置页面。

例如，我在这里启用了”禁用常规页“、”禁用内容页“以及”禁用连接页“，效果如下：

配置过的Internet 控制面板

可以看到，在”Internet 选项“窗口中将不再显示已被禁用的配置页面。

禁止关闭IE 浏览器

还有一种情况，企业的监视用电脑需要一直打开一个实时更新的数据监控网页，因而不希望用户关闭浏览器窗口。在组策略中可以完成此要求的设置。

只需将此条目启用，即可防止用户关闭浏览器。配置之后，无论用户是点击”文件“菜单中的”退出“按钮还是点击窗口右上角的红色”关闭窗口“按钮，都将被系统拒绝。

系统拒绝关闭窗口操作

注意：如果你是在跟着本文做实验，那么你会发现不仅在启用了改组策略之后IE 无法关闭，甚至当你将该策略禁用，依然无法关闭IE。此时，请通过任务管理器结束IE 进程（iexplore.exe）即可。

终极设置——禁用IE 浏览器

如果你说，你压根不希望用户使用IE ，IE 就是不安全因素的源泉，是一个梦魇，而且会让员工分散工作精力。那么，请直接禁用它吧。实现该要求，需要组策略对系统功能进行配置才可。

点击确定完成配置即可。

此时，无论通过何种方式运行IE ，都将失败并且收到系统的限制信息。

运行IE 时失败并收到系统限制信息

其他设置

在组策略中针对IE 还有这更多丰富的配置选项，此处就不一一列举了。希望本文能对大家是一个启发，希望各位能用好组策略，更好的管理和配置IE。

使用组策略进行账户安全配置

在目前所有 Windows 桌面操作系统中，Windows 7 可谓是集性能与安全两大优势于一身。它的易用性、易维护性都较上一版系统有着极大的提升。但是，安全与易维护特性的提升并不意味着能够高枕无忧了，万事都没有绝对化的，面对 Windows 7 ，我们更应该了解其新的安全特性，掌握正确的安全配置方法。

Windows 7 具有很多安全新特性，但是在默认情况下这些功能绝大多数都处于关闭状态。下

面，我们就来一步步启用这些安全功能。让客户资源能够获得最大限度的保护。

账户密码安全策略

账户密码策略

在组策略中可以对账户的密码安全性进行设置。

打开组策略，将左侧树目录定位至：

计算机配置 -> Windows 设置 -> 安全设置 -> 账户策略 -> 密码策略

密码策略

这里可以看到丰富的密码安全策略条目。通常，为了保证用户密码的安全性，请启用“密码

必须符合复杂性要求”，密码复杂性要求的最低限度为：

● 不能包含用户的帐户名，不能包含用户姓名中超过两个连续字符的部分

● 至少有六个字符长

● 包含以下四类字符中的三类字符:

● 英文大写字母(A 到 Z)

● 英文小写字母(a 到 z)

● 10个基本数字(0 到 9)

● 非字母字符(例如 !、$、#、%)

需要注意的是，在域控制器下默认情况此策略配置是启用的，并且不能禁用此策略。需要禁用时，需要先删除域控制器。

其次，为了保证用户账户密码安全，还可以对密码长度、密码使用期限等进行配置。这里就不一一详述了。

防止依靠猜测密码进行恶意登录

目标要求

为了防止依靠猜测密码恶意登录，可以使用账户锁定策略进行配置，设定尝试登录失败阀值，激活账户锁定，使得被恶意猜测登录的账户在一定时间内不可用。

实现原理

通过配置组策略中的账户锁定策略，即可达到上述要求。

打开组策略（gpedit.msc），将目录树定位至安全设置：

计算机配置 -> Windows 设置 -> 安全设置 -> 账户策略 -> 账户锁定策略

可以看到在此策略组下共有三条设置：账户锁定时间、账户锁定阀值、重置账户锁定计数器

●账户锁定时间：尝试登录失败次数达到阀值之后，账户被系统锁定的时间。

●账户锁定阀值：尝试登录失败的次数的阀值（最大值），达到此阀值时，账户将被系统锁定。尝试登陆失败次数不仅包括用户登录界面，还包括了 Ctrl+Alt+Del 以及密码保护的屏幕保护登录。

●重置账户锁定计数器：重置（归零）账户登录失败次数计数器所需要的时间。实现方法

设置账户锁定策略，需要先指定“账户锁定阀值”，因为锁定阀值是锁定时间的预先条件。在组策略配置中，若没有指定锁定阀值，“账户锁定时间”以及“重置账户锁定计数器”都将成不可用状态。

例如，我将锁定阀值设置为3：

设置好阀值之后，点击确定，会出现提示窗口，大意为系统根据我们自定义的阀值将对另外两项账户锁定策略（账户锁定时间、重置账户锁定计数器）进行建议值设置：

点击确定即可。此时可以看到所有关于账户锁定的策略都已被配置成功：

若上述步骤中的系统建议值（30分钟）符合用户要求，即无需改动。否则，请根据用户需

要自行设置即可。

若需要解除账户锁定策略，将“账户锁定阀值”设置为 0 即可，系统会自动对另外两项进行配置为不可用状态。

组策略管理——软件限制策略（1）

在系统安全方面，有人曾说，如果把 HIPS （Host-based Intrusion Prevention System ，基于主机的入侵防御系统）用的很好，就可以告别杀毒软件了。其实，在 Windows 中，如

果能将组策略中的“软件限制策略”使用的很好，再结合 NTFS 权限和注册表权限限制，依

然可以很淡定的告别杀软。

另一方面，由于组策略是原生于系统之上的，可能在底层与操作系统无缝结合，于是不会产生各种兼容性问题或者产生 CPU 占用过高、内存消耗太大等问题。从这一点来看，组策略中的“软件限制策略”才算是最好的系统管理利器。

当然，对于大多数用户来说，使用组策略来配置“软件管理策略”未免显得太过于繁杂专业，不得不承认的是，组策略的设计并没有为了最终用户体验而进行过优化的，相比其他 HIPS 软件，它在智能与灵活性上稍显不足。

注：本文实现环境基于 Windows 7 Ultimate x64 版本

软件限制策略的基本概念

“软件限制策略”，目的是通过标识或指定应用程序，实现控制应用程序运行的功能，使得计算机环境免受不可信任的代码的侵扰。通过制定散列规则、证书规则、路径规则和网络区域规则，则可使得程序可以在策略中得到标识，其中，路径规则在配置和应用中显得更加灵

活。在默认情况下，软件可以运行在“不受限”与“不允许”这两个级别上。

启用软件限制策略

在默认情况下，组策略中的“软件限制策略”是处在关闭状态的。通过以下步骤我们来启用它：

●打开组策略编辑器：gpedit.msc

●将树目录定位至：计算机配置 -> Windows 设置 -> 安全设置 -> 软件限制策略

●在“软件限制策略”上点击右键，点选“创建软件限制策略”

创建成功之后，组策略编辑窗口中会显示相关配置条目：

什么是“安全级别”？

安全级别

在默认情况下，系统默认为我们提供了三个安全级别：“不允许”、“基本用户”以及“不受限”。

不允许：不允许软件运行。

此级别不包含任何文件保护操作。只要用户的具有修改该文件的权限，即可对一个设定成“不允许”的文件进行读取、复制、粘贴、修改、删除等操作，组策略不会进行阻止。

不受限：允许软件在登录到计算机的用户的完全权限下运行。

此级别不等于完全不受限制，只是不受软件限制策略的附加限制。事实上，“不受限的”程序在启动时，系统将赋予该程序的父进程的权限，该程序所获得的访问令牌决定于其父进程，所以任何程序的权限将不会超过它的父进程。

基本用户：允许程序访问一般用户可以访问的资源，但没有管理员的访问权。

基本用户仅享有“跳过遍历检查”的特权，并拒绝享有管理员的权限。

在高级配置中，还有两个处于隐藏状态的安全级别供用户选择，我们可以通过修改注册表进行启用：

●打开注册表编辑器：regedit.exe

●定位注册表位置至：

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers

●新建名为 Levels 的 DOWRD 项，其值为十六进制的 0x4131000（十进制为：1094791424）注册表项创建完毕后重新打开组策略编辑器，可以看到另外两个级别此时已经显示出来了。

受限：无论用户的访问权如何，软件都无法访问某些资源，如加密密钥和凭据。

比基本用户限制更多，但也享有“跳过遍历检查”的特权。

不信任：允许程序访问只对众所周知的组授权的资源，不允许访问管理员特权和个人授予的权利。

不允许对系统资源、用户资源进行访问，直接的结果就是程序将无法运行。

根据权限限制程度，对所有安全级别进行排序的顺序依次为：

不受限 > 基本用户 > 受限 > 不信任 > 不允许

组策略管理——软件限制策略（2）

软件限制策略采取的规则

在组策略“软件限制策略”条目下，除了“安全级别”，还有一项目录称作“其他规则”。在对软件进行限制时，就需要使用“规则”来对软件进行标识。

右键单击“其他规则”，用户可根据不同的需要创建不同种类规则，分别有：证书规则、哈希规则、网络区域规则以及路径规则。

证书规则

软件限制策略可以通过其签名证书来标识文件。证书规则不能应用到带有 .exe 或 .dll 扩展名的文件。它们可以应用到脚本和 Windows 安装程序包。可以创建标识软件的证书，然后根据安全级别的设置，决定是否允许软件运行。

路径规则

路径规则通过程序的文件路径对其进行标识。由于此规则按路径指定，所以程序发生移动后路径规则将失效。路径规则中可以使用诸如 %programfiles% 或 %systemroot% 之类环境变量。路径规则也支持通配符，所支持的通配符为 * 和 ?。相对其他规则而言，此规则设置更为灵活方便。

哈希规则

哈希值是通过散列算法生成的唯一标识程序或文件的一系列定长字节。需要特别注意的是，对文件进行的任何篡改都将更改其哈希值并允许其绕过限制。但是重命名或者移动操作不会对哈希值产生影响。

网络区域规则

该规则主要用于使用Windows Installer技术安装的软件，因为通过该规则，我们可以对来自不同Internet 区域的软件的安装程序采取不同的限制措施。

软件限制策略规则的优先级

对同一个软件可以应用几个软件限制策略规则。这些规则将以下列优先权顺序应用（从高到

低）：

哈希规则> 证书规则> 路径规则> 网络区域规则

例如，如果某个软件程序所驻留的文件夹被指派了具有“不允许的”安全级别的路径规则，则在为该程序创建了具有“不受限的”安全级别的哈希规则后，该程序将能运行。哈希规则比任何路径规则优先级都要高。

如果对同一对象应用了两个路径规则，则两者中更为具体的规则将具有优先权。例如，如果C:\Windows\ 有一个具有“不允许的”安全级别的路径规则，而 C:\Windows\System32\ 有另一个具有“不受限的”安全级别的路径规则，则更为具体的路径规则将获得优先权。因此，C:\Windows\ 中的软件程序无法运行，而C:\Windows\System32\ 中的程序将运行。

如果对软件应用了两个仅在安全级别方面不同的规则，按最受限制的规则为准。例如，如果有两个哈希规则，一个具有“不允许的”的安全级别，一个具有“不受限的”的安全级别，当它们应用于同一软件程序时，具有“不允许的”安全级别的规则将获得优先权，因此该程序将不运行。

另外，对于路径规则，总的原则就是：规则越匹配越优先。

例如：

绝对路径 C:\Windows\System32\Taskmgr.exe

> 通配符全路径 *:\Windows\*\Taskmgr.exe

> 文件名规则 Taskmgr.exe

= 通配符文件名规则 *.*

> 部分绝对路径 C:\Windows\system32

= 部分通配符路径 C:\*\system32

> C:\Windows

= *\*

在路径规则中，即有如下特征：

绝对路径 > 通配符路径

文件名规则 > 目录规则

环境变量 = 相应的实际路径 = 注册表键值路径

对于同是目录规则，则能匹配的目录级数越多的规则越优先；对于同是文件名规则，优先级

均相同。

指定文件类型

在组策略中对软件的限制，其作用范围仅限于已被指定的文件类型。在“软件限制策略”根目录树下可以看到“指定的文件类型”策略条目。该条目允许我们自定义软件限制策略的作用范围。

默认情况下列表中的文件类型包括：

ADE ADP BAS BAT CHM CMD COM CPL CRT EXE HLP HTA INF INS ISP LNK MDB MDE MSC MSI MSP MST OCX PCD PIF REG SCR SHS URL VB WSC

因此，对于正常的非可执行的文件，例如 TXT JPG GIF 这些是不受影响的，如果用户认为还有哪些扩展的文件有威胁，也可以将其扩展加入这里，或者是认为哪些扩展无威胁，也可以将其删除。

组策略管理——软件限制策略（3）

规则的权限分配及继承

操作系统对软件运行进行层次划分时，存在子进程、父进程的概念，若 B 程序是由 A 程序启动运行的，则称 A 为 B 的父进程，B 为 A 的子进程。在没有软件限制策略的情况下，如果程序 B 是由程序 A 启动，A 与 B 都在正常未受限的环境下工作。但是如果对 A 或者B 设置了软件限制策略，就存在权限继承和分配的问题。

在 Windows 组策略管理——软件限制策略中，对于程序权限的继承与分配，遵循的是最低权限原则。例如：在软件限制策略中，把 A 设为“基本用户”，对 B 不做任何限制（或设置为“不受限”），再由程序 A 启动程序 B，那么 B 将权限继承 A 的限制策略，运行于“基本用户”策略之下。

继承时的两种典型情况

A（基本用户）run--> B（不受限） => B（基本用户）

解释：

A 为“基本用户”，

B 不做限制或“不受限”且继由 A 运行启动，B 继承 A 的权限策略，运行于“基本用户”策略之下。

A（不受限）run--> B（基本用户） => B（基本用户）

解释：

B 为“基本用户”，A 不做限制或“不受限”，那么 A 启动 B 后，B 依然保持为“基本用户”权限。

由上面两种情况可以看到，一个程序所能获得的最终权限取决于其父进程权限和规则限

定的权限的最低等级，也就是我们所说的最低权限原则。

实例

若我们将 IE 的软件限制策略设置为“基本用户”等级，当运行 IE 之后，所有由 IE 执行的程序的权限都将不高于其父进程 IE 所在的“基本用户”级别，换句话说，由 IE 执行的程序所处的限制等级只可能更低。因此，使用这种限制手法，就可以很好的达到防范网页挂马等恶意代码的效果——即使 IE 下载木马或病毒并执行了，病毒由于权限的限制，无法对系统进行有害的操作，这样，病毒就丧失了行动能力，不会对系统构成危害，包括添加恶

意启动项等操作，此时，杀毒软件等即可对其进行轻松查杀。

受信任的发布者

可以使用“受信任的发布者”对话框来配置哪些用户可以选择和管理受信任的发布者。还可以确定在信任发布者之前执行哪些证书吊销检查（如果存在）。当启用证书规则后，软件限制策略将检查证书吊销列表 CRL，以确保软件的证书和签名有效。不过，这同时也会因为签名程序的启动而造成系统性能的下降。

配置“受信任的发布者”属性

在组策略设置条目“强制”中，可以根据需要进一步确定软件限制策略的作用范围。

在该组策略条目中，可以设置软件限制策略是否作用于管理员账户，是否应用到所有软件文件以及是否强制要求证书规则。

强制属性

组策略管理——软件限制策略（4）

编写软件限制规则

在前面几篇文章中讲了软件限制规则的基本概念，现在就来学习如何编写自定义软件限制策

略。

编写规则应遵循的原则

首先，需要大家注意的是，软件限制策略应本着方便、安全、实用的原则来编写。限制规则灵活方便，自定义的限制规则不能对自己的日常管理、维护等有过多的限制，并要留有充分的调整空间和变动余地，这样，即使出现问题也好进行解决；在安全性方面，需要综合考虑到用户系统面临的危险来源是哪些，不仅要有普遍的防护措施，还要针对其所处环境特点做好防护；最后关于实用方面，需要在策略规则编写时注意规则的严谨性和可操作性，例如，基于文件名辨别病毒就属于不严谨的，不需要制作大而全的规则“库”，需要的仅仅是几条

实用、易用的规则。

编写方法

首先，启动“组策略编辑器”(gpedit.msc)，将树目录定位至

计算机配置-> Windows 配置-> 安全设置-> 软件限制策略

如果之前没有对“软件限制策略”进行过配置，那么，请右击树目录中的“软件限制策略”，点击“创建软件限制策略”：

创建之后，软件限制策略可展开，此目录下有两个子目录，分别是：安全级别与其他规则。

接下来，请在“其他规则”上右击点选“新建路径规则”，创建我们自定义的路径规则条目。如果你不清楚各种规则条目分类区别，请查阅组策略管理——软件限制策略（2）。

新建路径规则：