Как настроить параметры защиты

Как настроить, включить или отключить защитник Windows 10?

Эта статья содержит в себе информацию о встроенном в Windows 10 антивирусе «Защитнике Windows» и его настройке.

Здесь вы сможете найти подробное описание, способы включения и отключения этого системного инструмента, а также посмотреть результаты сравнения «защитника» со сторонними антивирусными программами.

Воспользуйтесь содержанием, чтобы быстро найти интересующий вас вопрос о «Защитнике».

Содержание

Что такое Защитник Windows. Его возможности

Защитник Windows (англ. Windows Defender) – антивирусный продукт компании Microsoft, который создан специально для нахождения и устранения вредоносного кода на ОС Windows. Защитник Windows несколько отличается от привычных пользователю бесплатных программ, которые просто сканируют файлы на наличие вирусов.

Он состоит из целого набора специальных модулей, постоянно отслеживающих состояние системы и ее отдельных компонентов. Возможности этого антивирусного средства следующие:

• Защита от вирусов и угроз, которая помогает обнаруживать вредоносный код в программах, запускаемых вместе с ОС, а также следить за системными службами и инструментами, отвечающими за регистрацию ПО;
• Поддержка работоспособности устройства, которая следит за актуальностью обновлений, драйверов оборудования. Этот компонент также помогает оптимизировать запуск/завершение работы операционной системы и использование памяти, повышая общую производительность Windows во многих задачах;
• Брандмауэр и безопасность сети, устраняющий неполадки с сетью и защищающий компьютер от атак «извне»;
• Управление приложениями и браузером позволяет защитить устройство от «эксплойтов» и другого вредоносного ПО при использовании интернета.

Эксплойт (англ. exploit – эксплуатировать) – один из видов атак, предназначенных для использования уязвимостей в программах (в том числе и системных), имеющихся на компьютере жертвы, чтобы пополнить вредоносных код, который предназначен для заражения компьютера вирусом или выполнения произвольных команд, а также изменения в файлах и параметрах системы без ведома пользователя. Каждую из функций «защитника» в любой момент можно настроить, воспользовавшись средством: «Центр безопасности Защитника Windows». Этот раздел находится в параметрах компьютера (показано на рисунке ниже).

Рисунок 1. Открываем параметры Защитника Windows.
«Защитник Windows» изначально установлен в Windows 10 и начинает защищать пользователя непосредственно после первого включения компьютера.
Тем не менее, эта встроенная защита обладает определенными минусами и иногда уступает многим сторонним антивирусам.

Некоторые недостатки в работе системного антивируса

К сожалению, встроенный в Windows защитник не полностью гарантирует защиту от вредоносного ПО.

«Защитник Windows» имеет ряд недостатков, но в целом, с каждым обновлением работа антивируса только улучшается. Ниже будут перечислены основные проблемы «Защитника Windows», которые препятствуют обеспечению полноценной безопасности компьютера:

• Слабая защита от «фишинга» (один из видов интернет-мошенничества, целью которого является получение важных данных пользователей: логинов, паролей, номеров карт, путем создания копий популярных сайтов);
• Посредственная функция блокировки сайтов, содержащих вредоносное ПО. Будьте осторожны при посещении подозрительных web-страниц.

Активным пользователям интернета такое средство обеспечения безопасности, скорее всего, покажется недостаточным. Несмотря на это, алгоритмы сканирования в режиме реального времени и поиска вредоносного кода в файлах у «Защитника Windows» довольно неплохие.

В следующей главе вы сможете оценить работу программной защиты от Microsoft в сравнении со сторонними антивирусами.

Нужен ли Защитник Windows? Сравнение с популярными антивирусами

В этой главе трем антивирусам, в том числе и «Защитнику Windows», будет поставлена очень непростая задача – просканировать архив со сборником большого количества вирусов. Внимание!
Ни в коем случае не повторяйте тесты, которые вы увидите ниже во избежание заражения вашей системы вирусными программами.

Дальнейший эксперимент проводился на отдельном дисковом пространстве в среде виртуальной машины с установленной Windows 10 и имеет мало общего с реальными условиями эксплуатации компьютера.
Несмотря на это, такое испытание ставит антивирусное обеспечение в «стрессовую» ситуацию и показывает уровень работы защиты. Тест будет производиться на следующих антивирусах:

• Встроенный в систему «Защитник Windows»;
• Условно-бесплатный Eset Nod 32;
• Полностью бесплатный Avast.

В процессе эксперимента будет просканирован архив, состоящий исключительно из вирусов. Количество найденных угроз отразит качество работы программы соответственно принципу: «больше – лучше».

Ссылки на сборник с вирусами, по соображениям безопасности, оставлены не будут!

Процесс тестирования антивирусов: Защитник Windows, NOD 32, Avast

Для большей объективности все антивирусные программы были обновлены вручную.

Также следует упомянуть, что все средства защиты работают отдельно друг от друга.

Тест проводился 03.11.2017, и на рисунке ниже вы можете видеть информацию об актуальности обновлений каждого из антивирусов (соответственно, Защитник Windows, Eset Nod 32 и Avast).
Рисунок 2. Обновляем базы данных всех антивирусов.
Теперь запустим проверку архива, используя его контекстное меню, вызванное при помощи правой кнопки мыши, и выберем принудительное сканирование файла на вирусы.
Каждой из программ было просканировано по 3798 одинаковых элементов, являющихся вредоносными.

Количество найденных угроз:

• Защитник Windows обнаружил 3674 вируса;
• Eset Nod 32 обнаружил 3622 вируса;
• Avast обнаружил 3352 вируса.

Рисунок 3. Смотрим на количество найденных угроз.
Разумеется, это тестирование не является реальным показателем уровня защиты вашего компьютера. Сторонние антивирусы, например, гораздо лучше блокируют подозрительные сайт, предотвращая угрозы извне.

В следующей главе вы сможете узнать, как отключить Защитник Windows, если появилась необходимость установить иную программу по обеспечению безопасности.

Отключение Защитника Windows на время (до перезагрузки)

Внимание!
Информация в этой главе подойдет исключительно пользователям, на компьютере которых не установлена ни одна сторонняя программа обеспечения безопасности.

Установка любого антивируса влечет за собой автоматическое отключение защитника, поэтому дополнительных действий в таком случае не требуется. Временно отключить системный антивирус можно в окне «Центр безопасности Защитника Windows».

Для этого необходимо:

1. Кликнуть по меню «Пуск» правой кнопкой мыши → открыть «Параметры»;
2. Ввести запрос: «защитник» в строке поиска открывшего окна → выбрать пункт «Центр безопасности Защитника Windows»;
3. Далее во вкладке Защита от вирусов и угроз (иконка со щитом) нужно кликнуть на «Параметры защиты от вирусов и других угроз»;

Теперь в появившемся окне вы можете отключить любую из функций безопасности.
Рисунок 4. Настраиваем защиту в режиме реального времени.
Антивирусная защита будет автоматически восстановлена после перезагрузки для обеспечения безопасности компьютера.
Если вам необходимо окончательно отключить «Защитник Windows» – ознакомьтесь с инструкцией ниже.

Полное отключение Защитника Windows

Удаление значка из системного трея (область уведомлений)

За отображение иконки системного антивируса отвечает файл под названием «Windows Defender notification icon».
Эту программу можно отключить в параметрах автозагрузки без каких-либо последствий.

Запустите диспетчер задач (при помощи сочетания Ctrl + Alt + Delete) и выполните следующие действия:

1. Откройте вкладку «Автозагрузка»;
2. Кликните по строке «Windows Defender notification icon» правой кнопкой мыши → выберите действие «Отключить».

Рисунок 7. Отключаем запуск процесса с запуском ОС.
Готово!
Изменения вступят в силу после перезагрузки компьютера.

Иконка Защитника Windows не будет показываться в области уведомлений, пока вы не включите соответствующую программу обратно в автозагрузку ОС.

Включение и настройка Защитника Windows

По умолчанию, Защитник Windows настроен на максимальную защиту системы. Однако иногда при попытке запуска этой антивирусной программы вы можете наблюдать сообщение об отключении приложения локальной групповой политикой. Любые настройки защитника также неактивны, хотя сторонние антивирусы на компьютере не установлены. Есть два способа решения этой проблемы:

• Редактирование локальной групповой политики (только для Windows 10 Professional).
• Редактирование реестра с последующим изменением значения запуска службы системной безопасности;

Если на вашем компьютере установлена ОС Windows 10 Home – сразу переходите к главе: «Включение Защитника Windows через редактор реестра».

Включение Защитника Windows методом редактирования локальной групповой политики

Обратите внимание. Этот способ работает только на профессиональных версиях системы (Professional), так как локальная групповая политика попросту отсутствует в Windows 10 Home. Чтобы запустить Защитника Windows, необходимо:

1. Открыть меню «Поиск» (рядом с иконкой Пуск) → ввести запрос: «gpedit.msc» → запустить соответствующую программу кликом левой кнопки мыши;
2. В открывшемся окне локальной групповой политики перейти к разделу «Компоненты Windows\ Endpoint Protection» (или «Антивирусная программа защитник Windows);
3. Найти параметр «Выключить Endpoint Protection» и посмотреть его состояние (если вы увидите значение «Включено», дважды нажмите по соответствующей строке левой кнопкой мыши);
4. Установить значение «Отключено»→ «ОК».

Рисунок 8. Включаем «Endpoint Protection».
В большинстве случаев проблема будет решена, и вы сможете запустить службу Защитника Windows вручную.

Включение Защитника Windows через редактор реестра

Способ включения системной защиты через редактор реестра является обратной противоположностью способу ее отключения.
Ознакомьтесь с подзаголовком: «Полное отключение Защитника Windows», выполните все действия по инструкции.

Необходимо лишь поменять значение «1» на «0» и перезагрузить компьютер.
Далее вы сможете беспрепятственно включить Защитник Windows, используя соответствующую опцию в параметрах ОС.

Настройка исключений в Защитнике Windows

Если вы уверены в безопасности файлов, в которых системный антивирус по каким-либо причинам видит угрозу, добавьте их в исключения Защитника Windows.

Исключить можно не только отдельную папку или файл, но и:

• Любой запущенный процесс;
• Отдельный тип файла с выбранным расширением (.exe, .msi и т.д.).

Чтобы добавить любое из этих исключений, нужно:

1. Открыть «Центр безопасности Защитника Windows», который находится в системном поиске;
2. Кликнуть на пункт «Защита от вирусов и угроз»;
3. Найти и выбрать «Добавление и удаление исключений»;
4. Нажать на кнопку со знаком «+» →добавить интересующее вас исключение.

Рисунок 9. Добавляем необходимые исключения.
Готово.
Теперь Защитник Windows будет игнорировать файл, папку, расширение или процесс, который вы указали. Обратите внимание!
Исключение применяется ко всем вложенным папкам, находящимся в директории, которая была удалена из алгоритма сканирования.

Что делать, если Защитник Windows не включается

Иногда «защитник» не запускается даже при отсутствии сторонних антивирусов. Подробное решение этой проблемы указано в следующих подзаголовках:

• «Включение Защитника Windows методом редактирования локальной групповой политики»;
• «Включение Защитника Windows через редактор реестра».

Внимательное ознакомление с этими инструкциями позволит избавиться от множества сбоев в работе этого ПО.

Далее мы разберем решение «ошибки 577», которая может возникнуть при запуске защитника после удаления сторонних антивирусов.

Простой метод устранения ошибки 577

В основном эта ошибка встречается после удаления стороннего антивирусного программного обеспечения.

Источник

Параметры политики безопасности

Область применения

В этой справочной статье описываются общие сценарии, архитектура и процессы для параметров безопасности.

Параметры политики безопасности — это правила, которые администраторы настраивают на компьютере или нескольких устройствах с целью защиты ресурсов на устройстве или сети. Расширение Параметры редактора локальной групповой политики позволяет определять конфигурации безопасности как часть объекта групповой политики (GPO). GPOs связаны с контейнерами Active Directory, такими как сайты, домены или организационные подразделения, и они позволяют управлять настройками безопасности для нескольких устройств с любого устройства, подключенного к домену. Политики параметров безопасности используются в рамках общей реализации системы безопасности, чтобы обеспечить безопасность контроллеров доменов, серверов, клиентов и других ресурсов в организации.

Параметры безопасности могут управлять:

• Проверка подлинности пользователя в сети или устройстве.
• Ресурсы, доступ к которые разрешены пользователям.
• Запись действий пользователя или группы в журнале событий.
• Членство в группе.

Для управления конфигурациями безопасности для нескольких устройств можно использовать один из следующих вариантов:

• Изменение определенных параметров безопасности в GPO.
• Используйте оснастку «Шаблоны безопасности» для создания шаблона безопасности, который содержит политики безопасности, которые необходимо применить, а затем импортировать шаблон безопасности в объект групповой политики. Шаблон безопасности — это файл, который представляет конфигурацию безопасности, и его можно импортировать в GPO, применять к локальному устройству или использовать для анализа безопасности.

Дополнительные сведения об управлении конфигурациями безопасности см. в введении параметров политики безопасности.

Расширение Параметры безопасности редактора локальной групповой политики включает следующие типы политик безопасности:

Политики учетных записей. Эти полицейские службы определяются на устройствах; они влияют на взаимодействие учетных записей пользователей с компьютером или доменом. Политики учетной записи включают следующие типы политик:

• Политика паролей. Эти политики определяют параметры паролей, таких как правоприменители и сроки службы. Политики паролей используются для учетных записей домена.
• Политика блокировки учетных записей. Эти политики определяют условия и продолжительность блокировки учетной записи из системы. Политики блокировки учетных записей используются для учетных записей домена или локальных пользователей.
• Политика Kerberos. Эти политики используются для учетных записей пользователей домена; они определяют параметры, связанные с Kerberos, такие как срок службы билетов и правоприменители.

Локальные политики. Эти политики применяются к компьютеру и включают следующие типы параметров политики:

Политика аудита. Укажите параметры безопасности, которые контролируют ведение журнала событий безопасности в журнале безопасности на компьютере, и укажите, какие типы событий безопасности необходимо входить в журнал (успех, сбой или оба).

Для устройств Windows 7 и более поздней стадии рекомендуется использовать параметры в соответствии с конфигурацией политики аудита, а не параметры политики аудита в соответствии с локальными политиками.

Назначение прав пользователей. Укажите пользователей или группы, которые имеют права или привилегии логотипа на устройстве

Параметры безопасности. Укажите параметры безопасности компьютера, такие как имена администратора и гостевой учетной записи; доступ к дискетным дискам и дискам CD-ROM; установка драйверов; подсказки logon; и так далее.

Windows Брандмауэр с расширенным обеспечением безопасности. Укажите параметры для защиты устройства в сети с помощью государственного брандмауэра, который позволяет определить, какой сетевой трафик разрешен для прохода между устройством и сетью.

Политики диспетчера списков сети. Укажите параметры, которые можно использовать для настройки различных аспектов перечисления и отображения сетей на одном устройстве или на многих устройствах.

Политики общедоступных ключей. Укажите параметры для управления шифрованием файловой системы, защиты данных и шифрования диска BitLocker в дополнение к определенным путям сертификата и настройкам служб.

Политики ограничения программного обеспечения. Укажите параметры для определения программного обеспечения и управления его возможностью запуска на локальном устройстве, организационном подразделении, домене или сайте.

Политики управления приложениями. Укажите параметры, чтобы контролировать, какие пользователи или группы могут запускать определенные приложения в организации на основе уникальных удостоверений файлов.

Политики безопасности IP на локальном компьютере. Укажите параметры для обеспечения конфиденциальной и безопасной связи через IP-сети с помощью служб криптографической безопасности. IPsec устанавливает доверие и безопасность с исходных IP-адресов на ip-адрес назначения.

Расширенные настройки политики аудита. Укажите параметры, которые контролируют ведение журнала событий безопасности в журнале безопасности на устройстве. Параметры в статье Advanced Audit Policy Configuration обеспечивают более тонкий контроль за действиями, которые необходимо отслеживать, а не настройками политики аудита в соответствии с локальными политиками.

Управление настройками безопасности на основе политики

Расширение службы Параметры групповой политики предоставляет интегрированную инфраструктуру управления на основе политики, которая поможет вам управлять политиками безопасности и применять их.

Вы можете определять и применять политики параметров безопасности для пользователей, групп и сетевых серверов и клиентов с помощью групповой политики и служб домена Active Directory (AD DS). Можно создать группу серверов с одинаковой функциональностью (например, сервер Microsoft Web (IIS), а затем объекты групповой политики можно использовать для применения общих параметров безопасности к группе. Если позже в эту группу будет добавлено больше серверов, многие из общих параметров безопасности будут автоматически применены, что снижает нагрузку на развертывание и администрирование.

Распространенные сценарии использования политик параметров безопасности

Политики параметров безопасности используются для управления следующими аспектами безопасности: политикой учетных записей, локальной политикой, назначением прав пользователей, значениями реестра, списками управления доступом и реестром (ACLs), режимами запуска служб и другими.

В рамках стратегии безопасности можно создавать GPOs с политиками параметров безопасности, настроенными специально для различных ролей в организации, таких как контроллеры домена, файловые серверы, серверы членов, клиенты и так далее.

Можно создать структуру организационного подразделения (OU), которая группировать устройства в соответствии с их ролями. Использование OUs — это лучший метод для разделения определенных требований безопасности для различных ролей в сети. Этот подход также позволяет применять настраиваемые шаблоны безопасности для каждого класса сервера или компьютера. После создания шаблонов безопасности создается новый GPO для каждого из OUs, а затем импортируется шаблон безопасности (.inf file) в новый GPO.

Импорт шаблона безопасности в GPO гарантирует, что все учетные записи, к которым применяется GPO, автоматически получают параметры безопасности шаблона при обновлении параметров групповой политики. На рабочей станции или сервере параметры безопасности обновляются регулярно (со случайным смещением не более 30 минут), и на контроллере домена этот процесс происходит каждые несколько минут, если изменения произошли в любом из применимых параметров GPO. Параметры также обновляются каждые 16 часов независимо от того, произошли ли какие-либо изменения.

Эти параметры обновления различаются между версиями операционной системы и могут быть настроены.

С помощью конфигураций безопасности на основе групповой политики и в сочетании с делегирования администрирования можно обеспечить применение определенных параметров безопасности, прав и поведения на всех серверах и компьютерах в рамках OU. Этот подход упрощает обновление ряда серверов с помощью любых дополнительных изменений, необходимых в будущем.

Зависимости от других технологий операционной системы

Для устройств, которые являются членами домена Windows Server 2008 или более позднего домена, политики параметров безопасности зависят от следующих технологий:

Доменные службы Active Directory (AD DS)

Служба Windows каталогов AD DS хранит сведения о объектах в сети и делает эти сведения доступными администраторам и пользователям. С помощью AD DS можно просматривать и управлять сетевыми объектами в сети из одного расположения, а пользователи могут получать доступ к разрешенным сетевым ресурсам с помощью единого логотипа.

Групповая политика

Инфраструктура в AD DS, которая позволяет на основе каталога управления настройками пользователей и компьютеров на устройствах, работающих Windows Server. С помощью групповой политики можно определить конфигурации для групп пользователей и компьютеров, включая параметры политики, политики на основе реестра, установку программного обеспечения, скрипты, перенаправление папок, службы удаленной установки, обслуживание Internet Explorer и безопасность.

Служба доменных имен (DNS)

Иерархическая система именования, используемая для размещения доменных имен в Интернете и частных сетях TCP/IP. DNS предоставляет службу сопоставления доменных имен DNS с IP-адресами и IP-адресов доменных имен. Это позволяет пользователям, компьютерам и приложениям запрашивать DNS для указания удаленных систем по полностью квалифицированным доменным именам, а не по IP-адресам.

Winlogon

Часть операционной системы Windows, которая обеспечивает интерактивную поддержку логотипов. Winlogon разработана вокруг интерактивной модели логотипа, состоящей из трех компонентов: исполняемого Winlogon, поставщика учетных данных и любого числа сетевых поставщиков.

Настройка

Конфигурация безопасности взаимодействует с процессом установки операционной системы во время чистой установки или обновления из более ранних версий Windows Server.

Менеджер учетных записей безопасности (SAM)

Служба Windows, используемая во время процесса логотипа. SAM поддерживает сведения о учетной записи пользователя, в том числе группы, к которым принадлежит пользователь.

Local Security Authority (LSA)

Защищенная подсистема, которая аутентифизирует и регистрирует пользователей в локальной системе. Кроме того, LSA сохраняет сведения обо всех аспектах локальной безопасности в системе, совместно известной как Местная политика безопасности системы.

Инструментарий управления Windows (WMI)

Особенностью операционной системы Microsoft Windows WMI является реализация корпорацией Майкрософт Web-Based Enterprise Management (WBEM), которая является отраслевой инициативой по разработке стандартной технологии для доступа к сведениям об управлении в корпоративной среде. WMI предоставляет доступ к сведениям об объектах в управляемой среде. С помощью WMI и интерфейса программирования приложений WMI приложения (API) приложения могут запрашивать и вносить изменения в статическую информацию в репозитории общей информационной модели (CIM) и динамической информации, поддерживаемой различными типами поставщиков.

Результативный набор политик (RSoP)

Расширенная инфраструктура групповой политики, использующая WMI для упростить планирование и отлагивание параметров политики. RSoP предоставляет общедоступные методы, которые раскрывают действия расширения групповой политики в ситуации what-if и действия расширения в реальной ситуации. Это позволяет администраторам легко определить сочетание параметров политики, которые применяются к пользователю или устройству или будут применяться к этому пользователю или устройству.

Диспетчер управления службами (SCM)

Используется для настройки режимов запуска службы и безопасности.

Реестр

Используется для настройки значений реестра и безопасности.

Файловая система

Используется для настройки безопасности.

Преобразования файловой системы

Безопасность устанавливается, когда администратор преобразует файловую систему из FAT в NTFS.

Консоль управления Майкрософт (MMC)

Пользовательский интерфейс для средства Параметры безопасности является расширением оснастки редактора локальной групповой политики MMC.

Политики параметров безопасности и групповой политики

Расширение Параметры редактора локальной групповой политики является частью набора средств Диспетчер конфигурации безопасности. Следующие компоненты связаны с безопасностью Параметры: двигатель конфигурации; движок анализа; уровень интерфейса шаблона и базы данных; логика интеграции установки; и secedit.exe командной строки. Движок конфигурации безопасности отвечает за обработку запросов на безопасность редактора конфигурации безопасности для системы, на которой она выполняется. Движок анализа анализирует системную безопасность для данной конфигурации и сохраняет результат. Уровень интерфейса шаблона и базы данных обрабатывает запросы чтения и записи из шаблона или базы данных (для внутреннего хранения). Расширение службы Параметры редактора локальной групповой политики обрабатывает групповую политику с локального или доменного устройства. Логика конфигурации безопасности интегрируется с установкой и управляет системной безопасностью для чистой установки или обновления до более Windows операционной системы. Сведения о безопасности хранятся в шаблонах (.inf files) или в базе данных Secedit.sdb.

На следующей схеме показаны Параметры и связанные функции.

Политики Параметры безопасности и связанные функции

Scesrv.dll

Предоставляет основные функции двигателя безопасности.

Scecli.dll

Предоставляет клиентские интерфейсы в движок конфигурации безопасности и предоставляет данные в resultant Set of Policy (RSoP).

Wsecedit.dll

Расширение Параметры редактора локальной групповой политики. scecli.dll загружается в wsecedit.dll для поддержки пользовательского интерфейса Параметры безопасности.

Gpedit.dll

Привязка редактора локальной групповой политики MMC.

Архитектура Параметры расширения

Расширение Параметры редактора локальной групповой политики является частью средств диспетчера конфигурации безопасности, как показано на следующей схеме.

Архитектура Параметры безопасности

Средства настройки и анализа параметров безопасности включают движок конфигурации безопасности, который предоставляет локальный компьютер (не доменный член) и конфигурацию на основе групповой политики и анализ политик параметров безопасности. Движок конфигурации безопасности также поддерживает создание файлов политики безопасности. Основными функциями двигателя конфигурации безопасности являются scecli.dll и scesrv.dll.

В следующем списке описываются основные функции двигателя конфигурации безопасности и других Параметры связанных компонентов.

scesrv.dll

Этот .dll находится в services.exe и выполняется в локальном контексте системы. scesrv.dll обеспечивает основные функции диспетчера конфигурации безопасности, такие как импорт, настройка, анализ и распространение политики.

Scesrv.dll выполняет конфигурацию и анализ различных параметров системы безопасности, вызывая соответствующие API системы, включая LSA, SAM и реестр.

Scesrv.dll предоставляет API, такие как импорт, экспорт, настройка и анализ. Он проверяет, что запрос выполнен по LRPC (Windows XP) и не удается вызвать, если это не так.

Связь между частями расширения Параметры безопасности происходит с помощью следующих методов:

• Вызовы компонентной объектной модели (COM)
• Локальный вызов удаленной процедуры (LRPC)
• Протокол доступа к облегченным каталогам (LDAP)
• Интерфейсы служб Active Directory (ADSI)
• Блок сообщений сервера (SMB)
• API Win32
• Windows Вызовы инструментов управления (WMI)

На контроллерах домена scesrv.dll уведомления об изменениях, внесенных в SAM и LSA, которые необходимо синхронизировать между контроллерами домена. Scesrv.dll эти изменения включаются в GPO политики контроллера домена по умолчанию с помощью APIscecli.dll изменения шаблонов. Scesrv.dll также выполняет операции настройки и анализа.

Scecli.dll

Это клиентский интерфейс или оболочка для scesrv.dll. scecli.dll загружается в Wsecedit.dll для поддержки оснастки MMC. Он используется установкой для настройки системной безопасности и безопасности файлов, ключей реестра и служб, установленных файлами API установки .inf.

Командная версия конфигурации безопасности и анализ пользовательских интерфейсов secedit.exe использует scecli.dll.

Scecli.dll реализует клиентскую расширения для групповой политики.

Scesrv.dll использует scecli.dll для скачивания применимых файлов групповой политики из SYSVOL для применения параметров безопасности групповой политики на локальном устройстве.

Scecli.dll записи применения политики безопасности в WMI (RSoP).

Scesrv.dll политики использует scecli.dll для обновления GPO политики контроллера домена по умолчанию при внесении изменений в SAM и LSA.

Wsecedit.dll

Расширение Параметры редактора объектов групповой политики. Этот инструмент используется для настройки параметров безопасности в объекте групповой политики для сайта, домена или организационного подразделения. Вы также можете использовать Параметры безопасности для импорта шаблонов безопасности в GPO.

Secedit.sdb

Это постоянная база данных системы, используемая для распространения политики, включая таблицу настойчивых параметров для целей отката.

Базы данных пользователей

База данных пользователей — это любая база данных, помимо системной базы данных, созданной администраторами для настройки или анализа безопасности.

. Шаблоны Inf

Это текстовые файлы, содержащие декларативные параметры безопасности. Они загружаются в базу данных перед настройкой или анализом. Политики безопасности групповой политики хранятся в файлах .inf в папке SYSVOL контроллеров домена, где они загружаются (с помощью копии файлов) и сливаются в базу данных системы во время распространения политики.

Процессы и взаимодействия политик параметров безопасности

Для устройства, на котором осуществляется администрирование групповой политики, параметры безопасности обрабатываются совместно с групповой политикой. Не все параметры настраиваются.

Обработка групповой политики

Когда компьютер запускается и пользователь входит в систему, компьютерная политика и политика пользователя применяются в соответствии со следующей последовательностью:

Начинается сеть. Запуск службы удаленной системы вызовов процедур (RPCSS) и нескольких универсальных поставщиков конвенций именования (MUP).

Для устройства получен упорядоченный список объектов групповой политики. Список может зависеть от этих факторов:

• Является ли устройство частью домена и, следовательно, подлежит групповой политике с помощью Active Directory.
• Расположение устройства в Active Directory.
• Изменился ли список объектов групповой политики. Если список объектов групповой политики не изменился, обработка не будет сделана.

Применяется компьютерная политика. Это параметры конфигурации компьютера из собранного списка. Это синхронный процесс по умолчанию и происходит в следующем порядке: локальном, сайте, домене, организационном подразделении, детском организационном подразделении и так далее. Пользовательский интерфейс не отображается во время обработки политик компьютера.

Запускать скрипты. Это скрыто и синхронно по умолчанию; каждый сценарий должен завершиться или выйти из игры до начала следующего. Время по умолчанию — 600 секунд. Для изменения этого поведения можно использовать несколько параметров политики.

Пользователь нажимает CTRL+ALT+DEL, чтобы войти в систему.

После проверки пользователя загружается профиль пользователя; она регулируется фактическими настройками политики.

Для пользователя получен упорядоченный список объектов групповой политики. Список может зависеть от этих факторов:

• Является ли пользователь частью домена и, следовательно, подлежит групповой политике через Active Directory.
• Включена ли обработка политики циклов и если да, то состояние (слияние или замена) параметра политики циклов.
• Расположение пользователя в Active Directory.
• Изменился ли список объектов групповой политики. Если список объектов групповой политики не изменился, обработка не будет сделана.

Применяется политика пользователя. Это параметры под конфигурацией пользователя из собранного списка. Это синхронно по умолчанию и в следующем порядке: локальный, сайт, домен, организационное подразделение, подразделение детской организации и так далее. Пользовательский интерфейс не отображается во время обработки политик пользователей.

Запускать скрипты Logon. Скрипты логотипов на основе групповой политики по умолчанию скрыты и асинхронны. Сценарий объекта пользователя выполняется последним.

Отображается пользовательский интерфейс операционной системы, назначенный групповой политикой.

Хранилище объектов групповой политики

Объект групповой политики (GPO) — виртуальный объект, который определяется глобальным уникальным идентификатором (GUID) и хранится на уровне домена. Сведения о параметре политики GPO хранятся в следующих двух расположениях:

Контейнеры групповой политики в Active Directory.

Контейнер групповой политики — это контейнер Active Directory, содержащий свойства GPO, такие как сведения о версии, состояние GPO, а также список других параметров компонентов.

Шаблоны групповой политики в папке системного объема домена (SYSVOL).

Шаблон групповой политики — это папка файловой системы, которая включает данные политики, заданные файлами .admx, настройками безопасности, файлами скриптов и сведениями о приложениях, доступных для установки. Шаблон групповой политики расположен в папке SYSVOL в подложке \Policies.

Структура GROUP_POLICY_OBJECT содержит сведения о GPO в списке GPO, в том числе номер версии GPO, указатель на строку, указываемую на часть Active Directory GPO, и указатель на строку, указываемую путь к части файловой системы GPO.

Порядок обработки групповой политики

Параметры групповой политики обрабатываются в следующем порядке:

Объект локальной групповой политики.

Каждое устройство с Windows операционной системой, начиная с Windows XP, имеет точно один объект групповой политики, который хранится локально.

Сайт.

Все объекты групповой политики, связанные с сайтом, обрабатываются далее. Обработка синхронна и в порядке, который вы указываете.

Домен.

Обработка нескольких объектов групповой политики, связанных с доменом, синхронна и в порядке, на который вы хотите.

Организационные подразделения.

Сначала обрабатываются объекты групповой политики, связанные с наиболее высоким уровнем организации в иерархии Active Directory, затем объекты групповой политики, связанные с его детским организационным подразделением, и так далее. Наконец, обрабатываются объекты групповой политики, связанные с организационным подразделением, которое содержит пользователя или устройство.

На уровне каждого организационного подразделения в иерархии Active Directory можно связывать один, многие или никакие объекты групповой политики. Если несколько объектов групповой политики связаны с организационным подразделением, их обработка синхронна и в порядке, который вы указываете.

Этот порядок означает, что сначала обрабатывается локальный объект групповой политики, а объекты групповой политики, связанные с организационным блоком, непосредственным участником которого является компьютер или пользователь, обрабатываются последними, что перезаписывает более ранние объекты групповой политики.

Это порядок обработки по умолчанию, и администраторы могут указывать исключения из этого порядка. Объект групповой политики, связанный с сайтом, доменом или организационным подразделением **** (а не локальным объектом групповой политики), может быть задан в принудительном отношении к этому сайту, домену или организационному подразделению, чтобы ни один из его параметров политики не был переопределен. На любом сайте, домене или организационном подразделении можно выборочно пометить наследование групповой политики как block Inheritance. Однако ссылки на объект групповой политики, установленные для Принудительного, всегда применяются и не могут быть заблокированы. Дополнительные сведения см. в группе Basics — часть 2. Понимание того, какие ГПО применять.

Обработка политик параметров безопасности

В контексте обработки групповой политики политика параметров безопасности обрабатывается в следующем порядке.

Во время обработки групповой политики движок групповой политики определяет, какие политики параметров безопасности применять.

Если политики параметров безопасности существуют в GPO, group Policy вызывает расширение Параметры безопасности на стороне клиента.

Расширение Параметры безопасности загружает политику из соответствующего расположения, например из определенного контроллера домена.

Расширение Параметры безопасности объединяет все политики параметров безопасности в соответствии с правилами приоритета. Обработка идет в соответствии с порядком обработки групповой политики локального, сайта, домена и организационного подразделения (OU), как описано ранее в разделе «Порядок обработки групповой политики». Если для данного устройства действует несколько GPOs и нет конфликтующих политик, политики являются накопительными и объединяются.

В этом примере используется структура Active Directory, показанная на следующем рисунке. Данный компьютер является членом OU2, с которым связан GPO GroupMembershipPolGPO. Этот компьютер также является объектом GPO UserRightsPolGPO, связанного с OU1, выше в иерархии. В этом случае не существует конфликтующих политик, поэтому устройство получает все политики, содержащиеся в интерфейсах UserRightsPolGPO и GroupMembershipPolGPO.

Несколько GPOs и объединение политики безопасности

Выполняемая политика безопасности хранится в базе данных параметров безопасности secedit.sdb. Система безопасности получает файлы шаблонов безопасности и импортирует их в secedit.sdb.

Политики параметров безопасности применяются к устройствам. На следующем рисунке иллюстрируется обработка политик параметров безопасности.

Обработка Параметры политики

Объединение политик безопасности в контроллерах доменов

Политики паролей, Kerberos и некоторые параметры безопасности объединяются только из GPOs, связанных на корневом уровне домена. Это делается для синхронизации этих параметров во всех контроллерах домена в домене. Объединяются следующие параметры безопасности:

• Network Security: Force logoff when logon hours expire
• Учетные записи: состояние учетной записи «Администратор»
• Учетные записи: состояние учетной записи «Гость»
• Учетные записи: переименование учетной записи администратора
• Учетные записи: переименование учетной записи гостя

Существует другой механизм, который позволяет администраторам вносить изменения в политику безопасности с помощью чистых учетных записей для слияния в GPO доменной политики по умолчанию. Изменения прав пользователей, внесенные с помощью API местного органа безопасности (LSA), фильтруются в GPO политики контроллеров домена по умолчанию.

Особые соображения для контроллеров домена

Если приложение установлено на основном контроллере домена (PDC) с главной ролью операций (также известной как гибкие однообъемные операции или FSMO) и приложение вносит изменения в права пользователей или политику паролей, эти изменения необходимо сообщить, чтобы обеспечить синхронизацию между контроллерами домена. Scesrv.dll получает уведомление о любых изменениях, внесенных в диспетчер учетной записи безопасности (SAM) и LSA, которые необходимо синхронизировать между контроллерами домена, а затем включает изменения в GPO политики контроллера домена по умолчанию с помощью API scecli.dll изменения шаблонов.

При применении параметров безопасности

После редактирования политик параметров безопасности параметры обновляются на компьютерах в организационном подразделении, связанном с объектом групповой политики в следующих экземплярах:

• При перезапуске устройства.
• Каждые 90 минут на рабочей станции или сервере и каждые 5 минут на контроллере домена. Этот интервал обновления настраивается.
• По умолчанию параметры политики безопасности, поставленные групповой политикой, также применяются каждые 16 часов (960 минут), даже если GPO не изменилось.

Сохранение политики параметров безопасности

Параметры безопасности могут сохраняться, даже если параметр больше не определен в применяемой политике.

Параметры безопасности могут сохраняться в следующих случаях:

• Параметр ранее не был определен для устройства.
• Параметр для объекта безопасности реестра.
• Параметры для объекта безопасности файловой системы.

Все параметры, применяемые с помощью локальной политики или объекта групповой политики, хранятся в локальной базе данных на компьютере. Всякий раз, когда параметр безопасности изменен, компьютер сохраняет значение параметра безопасности в локальной базе данных, которая сохраняет историю всех параметров, которые были применены к компьютеру. Если политика сначала определяет параметр безопасности, а затем больше не определяет этот параметр, то параметр берет на себя предыдущее значение в базе данных. Если предыдущее значение не существует в базе данных, то параметр не вернется к чему-либо и остается определенным как есть. Такое поведение иногда называют «татуировка».

Параметры безопасности реестра и файлов будут поддерживать значения, применяемые в групповой политике, до тех пор, пока этот параметр не задастся другим значениям.

Разрешения, необходимые для применения политики

Для того чтобы параметры объекта групповой политики применялись к пользователям или группам и компьютерам, требуется применять разрешения группы и разрешения на чтение.

Фильтрация политики безопасности

По умолчанию все GPOs имеют групповую политику чтения и применения, разрешенные для группы пользователей с проверкой подлинности. Группа пользователей с проверкой подлинности включает как пользователей, так и компьютеры. Политики параметров безопасности основаны на компьютере. Чтобы указать, на каких клиентских компьютерах будет применен объект групповой политики или нет, вы можете запретить им применять групповую политику или читать разрешения на этот объект групповой политики. Изменение этих разрешений позволяет ограничить область GPO определенным набором компьютеров в пределах сайта, домена или OU.

Не используйте фильтрацию политики безопасности на контроллере домена, так как это помешает политике безопасности применяться к ней.

Перенос GPOs, содержащих параметры безопасности

В некоторых ситуациях может потребоваться перенести GPOs из одной доменной среды в другую. Двумя наиболее распространенными сценариями являются перенос тестовой и производственной миграции. Процесс копирования GPO имеет последствия для некоторых типов параметров безопасности.

Данные для одного GPO хранятся в нескольких расположениях и в различных форматах; некоторые данные содержатся в Active Directory, а другие хранятся в совместной службе SYSVOL на контроллерах домена. Некоторые данные политики могут быть допустимы в одном домене, но могут быть недействительными в домене, в который копируется GPO. Например, идентификаторы безопасности (SID), хранимые в параметрах политики безопасности, часто являются конкретными доменами. Поэтому копирование GPOs не так просто, как взять папку и скопировать ее с одного устройства на другое.

В следующих политиках безопасности могут содержаться принципы безопасности, и для успешного перемещения из одного домена в другой может потребоваться дополнительная работа.

• Назначение прав пользователей
• Ограниченные группы
• Службы
• Файловая система
• Реестр
• DaCL GPO, если вы решите сохранить его во время операции копирования

Чтобы обеспечить правильное копирование данных, можно использовать консоль управления групповой политикой (GPMC). При переносе GPO из одного домена в другой GPMC гарантирует правильное копирование всех соответствующих данных. GPMC также предлагает таблицы миграции, которые можно использовать для обновления данных, определенных для домена, до новых значений в процессе миграции. GPMC скрывает большую часть сложности, связанные с переносом операций GPO, и предоставляет простые и надежные механизмы для выполнения операций, таких как копирование и резервное копирование GPO.

Источник