Güvenlik nedeniyle, kullanıcılarımızın bilgisayarlarındaki ve terminal sunucularındaki C sürücüsüne erişmelerini engellemek istiyoruz. Bu kullanıcılar değil iş istasyonlarında veya sunucularında yerel yöneticiler.
Aşağıdaki Grup İlkesi ayarlarını uyguladık:
- Başlat Menüsünden Çalıştırma Menüsünü Kaldır
- Belirtilen sürücüleri Bilgisayarımda sakla - Yalnızca C sürücüsünü kısıtla
- Bilgisayarımdan sürücülere erişimi engelle - Yalnızca C sürücüsünü kısıtla
Bu, kullanıcıların C sürücüsüne Windows Gezgini'nden erişmesini engeller.
Ancak, \ 127.0.0.1 \ c $ veya \ localhost \ c $ girerlerse C sürücüsüne şu yollardan biriyle erişebilirler:
Internet Explorer / Edge
Krom
Microsoft Word'deki bir bağlantı
Bunu nasıl önleyebilirim? Tekrarlıyorum - herhangi bir formda yöneticiler değiller, ancak C sürücüsüne yönetimsel paylaşım yoluyla erişebilirler. (Ben de bu sorunu bildiren tek kişi değilim).
Herhangi bir UNC yoluna erişimi engellemekten (onlar için sürücüleri eşleyebildiğim sürece) veya 127.0.0.1/localhost'u önlemek veya yanlış yönlendirmekle mutlu olurum. Ama hiçbir şey denemedim ve gerçekten bunu engellemem gerek.
Herhangi bir fikir? Windows 10 Enterprise'da bunu engellemenin bir yolu bulmak benim için çok önemli, ancak çeşitli İş İstasyonu ve Sunucu işletim sistemlerinde bir sorun gibi görünüyor.
Teşekkürler,
David
Bu benim ilk cevabımdı:
Bu gerçekten varsayılan bir davranış değildir, bu nedenle tek gidişiniz var.
üzerinde. Varsayılan izinler değiştirildi (IIRC değil.
konvansiyonel silahlarla kolay) veya yöneticilerin üyeleridir
(Olmadıklarını söylediniz ama bu dolaylı olabilir.
üyelik), güç kullanıcıları veya yedekleme operatörleri. Muhtemelen ayrıca yazdır
Operatörler.
Ne kadar iyi olduğunu duymak istediğin şey değil.
kullanıcıların yönetici olmadığını vurguladı, ancak bu tür
insanlar için zaman zaman onlarca şey ve her zaman olduğu ortaya çıkıyor
"Oh, sanırım meslektaşım 'all_staff'
'Yöneticiler' grubu bir gün çünkü CEO onun üzerine bağırıyordu
evden sunucuya RDP yapamama hakkında ".
Ve çok yanlış, ama yeterince test edilmeyen uzun süredir inancın bir illüstrasyonu olarak kalmayı hak ediyor. Windows'un önceki sürümlerinden davranışlarda bir değişiklik olduğuna inanıyorum, ancak değişiklik ne zaman gerçekleşeceğinden emin değilim.
Farklı varsayılan ayarlara ve Kullanıcılara sahip olmaları durumunda Windows 10 Pro ve Enterprise ile test ettim. kutu Yerel yönetimsel paylaşımlara göz atın ve bunu kontrol etmek için seçenekleriniz oldukça sınırlı görünüyor. Yönetim paylaşımlarını mdpc önerileri olarak kapatabilirsiniz (bkz. https://support.microsoft.com/en-gb/help/954422/how-to-remove-administrative-shares-in-windows-server-2008) bunun için bir Microsoft kaynağı için), ancak çeşitli yönetici araçlarının bu bilgisayarlarda nasıl çalıştığıyla (örneğin, otomatik dağıtıcı aracıları dağıtmayı / güncelleştirmeyi engelleyebilir) etkileyebilir ve bu nedenle buna karşı öneride bulunacağım.
Sürücüyü GPO aracılığıyla tanımladığınız şekilde gizlemek, bu arada sürücü veya paylaşım izinleriyle ilgisi yoktur. Bu, bazı sürücü harflerini gizlemek için Windows'da bir bayrağı tetikler. Güvenilir ya da sağlam değil ve eğitimde çok sayıda yönetici gördüm, örneğin, öğrencilerin yapabileceği hiçbir şeye karşı bakmaya çalışmak çıldırdı, ama bu işe yaramaz.
Ancak ... Kullanıcılar kendi yerel yönetimsel paylaşımlarına erişebildikleri halde, diğer bilgisayarlardaki paylaşımlara erişemezler ve paylaşım yoluyla erişimleri hala yalnızca 'normalde sahip olacakları erişime izin verir. Bu nedenle, kullanıcılar sistemi bu şekilde kesemezler; değiştirmek için zaten izinleri olmayan şeyleri değiştiremezler.
Ancak, c: \ sürücüsünün kökünü kilitleyebilir ve kilitleyebilirsiniz. İşte bunu yapmak için bazı talimatlar:
- DC'nize gidin, ADUC'u açın, bir güvenlik grubu oluşturun ('Lock down c
Köklere dosya kaydedemeyen kullanıcılar için 'diyelim'
sürücü.
- GPMC'yi açın, hedef makinelerinize bağlantı veren bir GPO oluşturun.
- İlkeyi düzenleyin ve [Computer Configuration | Politikalar |
Windows Ayarları | Güvenlik Ayarları | Dosya Sistemi] Sağ tıklama
"Dosya Sistemi", "Dosya Ekle ..." yi seçin ve "C:" sürücüsünü seçin,
girmek.
- Güvenlik sayfasında, "Gelişmiş" düğmesine tıklayın. Ekle
güvenlik grubu 'c sürücüsünü kilitle'.
- Vurgulanan grupla Gelişmiş'i tıklayın. Gelişmiş Güvenlik Ayarları penceresinde, doğru grubun hala seçili olduğundan emin olun ve Düzenle'yi tıklayın.
- Türü 'Reddet' ve 'Yalnızca bu klasöre' olarak uygulanır.
- Gelişmiş izinleri görebilmek için 'Temel İzinleri Göster' / 'Gelişmiş İzinleri Göster' düğmesini tıklayın.
- SADECE aşağıdaki öğeler için Reddetme iznini işaretleyin: 'Dosyaları oluştur / Veri yaz' ve 'Klasörleri oluştur / Veri ekle'.
- İzin düzenleyicisinden çıkmak için Tamam'ı ve ardından tekrar Tamam'ı tıklatın.
- İzinleri reddetmek için uyarı penceresinde, Evet'i tıklatın.
- Güvenlik ilkesi ayarını 'Bu dosyayı veya klasörü yapılandırın' olarak ayarlayın ve 'Tüm alt klasörlere ve dosyalara devralınabilen izinleri yayma'yı seçin' (bu ayar, bu ayarla çalışmaya başlamadan önce 6. adımı tam olarak aldığınızı iki kez kontrol ettiğiniz yerdir).
Çoğaltmak ve uygulamak için GPO zamanını verin (
gpupdate /force acele ediyorsanız buraya yardımcı olabilirsiniz) ve şimdi kullanıcıların c sürücüsünün kökünde dosya oluşturamadığını görmelisiniz. Sadece bu noktada \ kullanıcıların içinde kendi klasörlerine gerçekten sahip olmaları gerekir.
Burada bahsedilen kayıt defteri düzeltmesinde sorun için bir çözüm buldum:
https://social.technet.microsoft.com/Forums/office/en-US/b168408e-a540-4e3a-92cc-3121486ceb78/admin-shares-available-to-nonadministrative-users-over-loopback-address?forum= winserversecurity
Test ettim ve işe yarıyor. Değişikliği Grup İlkesi aracılığıyla dağıttım ve bilgisayarlar değişikliği kabul ettiler.
Bu gönderi, bunun Windows 2003'ten Windows 2008'e geçişte nasıl gerçekleştiğini de şöyle anlatıyor:
"Bu davranış, yönetimsel paylaşımın varsayılan paylaşım izninin Windows Server 2008'de değiştirilmiş olması nedeniyle etkin oturum açma hesabının yönetimsel paylaşımlara erişmesine izin vermesi nedeniyle oluşur.
Yönetim payının varsayılan paylaşım izni, kayıt defteri değeri HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ lanmanserver \ DefaultSecurity \ SrvsvcShareAdminConnect tarafından denetlenir.
Windows Server 2008'i Windows Server 2003 ile aynı davranmayacak şekilde yapılandırmak için, Windows Server 2003'ten yukarıdaki kayıt defteri değerini dışarı aktarabilir ve Windows Server 2008'e aktarabiliriz. Lütfen Dikkat: Değişimin etkili olması için sunucuyu yeniden başlatmamız gerekir. "