Параметры групповой политики

Вначале рассмотрим ограничения, накладываемые на весь ПК (Таб.1).

Таблица 1. Настройки ПК.

Отключить автозаполнение для форм

Если этот параметр включен, пользователям не будут предлагаться варианты заполнения форм. Пользователь не может изменить его.

Если этот параметр отключен, пользователям будут предлагаться возможные варианты заполнения форм. Пользователь не может изменить его.

Если этот параметр не задан, пользователь имеет право включить функцию автозавершения для форм.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Отключить автозаполнение для форм.

Отключить изменение параметров домашней страницы

Если этот параметр включен – пользователь не может изменить домашнюю страницу.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Отключить изменение параметров домашней страницы

Отключить изменение параметров прокси

Если параметр включен – пользователь не может изменить настройки прокси-сервера.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Отключить изменение параметров прокси

Отключить настройку панелей инструментов браузера

Если включить эту политику, список панелей инструментов, который пользователи могут отобразить, щелкнув меню «Вид» и указав команду «Панели инструментов», будет недоступен.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Панели инструментов – Отключить настройку панелей инструментов браузера

Отключить вкладку «Дополнительно»

Если включить эту политику, пользователи не смогут ни просматривать, ни изменять дополнительные параметры Интернета, такие как параметры безопасности, мультимедиа и печати.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Панель управления браузером – Отключить вкладку «Дополнительно».

Отключить вкладку «Подключения»

Если включить эту политику, пользователи не смогут ни просматривать, ни изменять параметры подключения и прокси.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Панель управления браузером – Отключить вкладку «Подключения».

Удалять все файлы из папки временных файлов Интернета при закрытии браузера

Если включить данный параметр, то Internet Explorer будет удалять содержимое папки временных файлов после закрытия всех окон браузера.

Конфигурация пользователя – Административные шаблоны – Компоненты Windows – Internet Explorer – Панель управления браузером – Вкладка «Дополнительно» – Удалять все файлы из папки временных файлов Интернета при закрытии браузера.

Запретить запись на съемные диски

Данный параметр запрещает запись на съемные запоминающие устройства

ПРИМЕЧЕНИЕ: Чтобы пользователи могли записывать данные только на запоминающие устройства, защищенные BitLocker, включите параметр «Запретить запись на диски, не защищенные BitLocker», расположенный в «Конфигурация компьютера – Шаблоны администрирования – Компоненты Windows – Шифрование дисков BitLocker – Съемные диски».

Конфигурация компьютера – Административные шаблоны – Система – Доступ к съемным запоминающим устройствам – Съемные диски: Запретить запись

Компакт-диски и DVD-диски: Запретить запись

Данный параметр запрещает запись на дисководы для компакт-дисков и DVD-дисков

Конфигурация компьютера – Административные шаблоны – Система – Доступ к съемным запоминающим устройствам – Компакт диски и DVD-диски: Запретить запись

Заключение

Надеюсь, вам помогут приведенные данные. Что касается других параметров, относящихся к безопасности, то мы рассмотрим их в последующих статьях.

Лаборатория PandaLabs выяснила, что в 2010 году 25% всех новых вирусов было разработано специально для распространения через USB-устройства. Вредоносное ПО подобного типа способно автоматически копировать себя на любое устройство для хранения информации: мобильный телефон, съёмные жесткие диски, DVD-диски, карты памяти, MP3/4-плееры и так далее.

Собранные данные подтверждают, что подобный способ распространения угроз очень эффективен. В рамках Второго Международного исследования уровня IT-безопасности компаний среднего и малого бизнеса, проведенного лабораторией PandaLabs, были проанализированы данные о 10 470 компаниях из 20 стран мира. Выяснилось, что 48% компаний малого и среднего бизнеса (до 1000 рабочих станций) были заражены тем или иным видом вредоносного ПО в течение последнего года. В 27% случаев подтвердилось, что причиной инфицирования стало USB-устройство, подключенное к компьютеру.

А ведь чего проще – отключить автозапуск либо с помощью групповой политики либо через реестр. И хотя сведения о таком способе отключения приводились и ранее, все же рискну напомнить еще раз.

Отключение автозапуска в Windows XP

На самом деле здесь возможны два варианта. Отключение с помощью групповой политики (для Windows XP Pro) и отключение с помощью правки реестра (Windows XP Home). Рассмотрим их оба.

Отключение путем правки реестра

Так как в Windows XP Home Edition отсутствует оснастка управления групповыми политиками, то для отключения автозапуска воспользуемся правкой реестра:

1. Пуск -> выполнить -> regedit
2. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
3. Создать новый раздел
4. Переименовать созданный раздел в Explorer
5. В этом разделе создать ключ NoDriveTypeAutoRun типа DWORD
6. Допустимые значения ключа:

6.1.                           0×1 – отключить автозапуск на приводах неизвестных типов

6.2.                           0×4 – отключить автозапуск сьемных устройств

6.3.                           0×8 – отключить автозапуск НЕсьемных устройств

6.4.                           0×10 – отключить автозапуск сетевых дисков

6.5.                           0×20 – отключить автозапуск CD-приводов

6.6.                           0×40 – отключить автозапуск RAM-дисков

6.7.                           0×80 – отключить автозапуск на приводах неизвестных типов

6.8. 0xFF – отключить автозапуск вообще всех дисков.

Значения могут комбинироваться суммированием их числовых значений.

Значения по умолчанию:

0×95 – Windows 2000 и 2003 (отключен автозапуск сьемных, сетевых и неизвестных дисков)

0×91 – Windows XP (отключен автозапуск сетевых и неизвестных дисков)

Внимание: в XP Home по умолчанию этот ключ отсутствует (как и сам раздел Explorer). Для остальных версий создавать не надо, он уже есть, просто исправьте его.

Все изменения будут приняты после перезагрузки

Отключение с использованием групповой политики

Пуск – Выполнить – gpedit.msc – Конфигурация компьютера – Административные шаблоны – Система – отключить автозапуск

Для того чтобы применить групповые политики Пуск – Выполнить – gpupdate /force

Если же на вашем ПК установлена операционная система Windows 7 или Vista, то в этом случае будут небольшие отличия.

По умолчанию автозапуск с USB-устройств отключен.

Если вы используете редакции Home, то вам по прежнему нужно будет править реестр. В случае использования более старших версий вы сможете воспользоваться групповыми политиками

Параметры автозапуска в групповой политике

Пуск – в строке поиска наберите gpedit.msc и загрузите редактор групповой политики.

Конфигурация компьютера – Административные шаблоны – Компоненты Windows – Политики автозапуска.

Отключить автозапуск

Отключает возможность автозапуска.

При включенном автоматическом запуске система приступает к чтению данных сразу же после обнаружения носителя в устройстве. В результате автоматически запускаются файлы установки программ или воспроизведение музыки для звуковых носителей.

До версии Windows XP SP2 автозапуск был по умолчанию отключен для съемных носителей, таких как дискеты (но не компакт-диски), и для сетевых устройств. Начиная с Windows XP с SP2 автозапуск включен и для съемных устройств, в том числе ZIP-дисководов и некоторых USB-накопителей.

Если этот параметр включен, то можно отключить автозапуск либо только для компакт-дисков и других съемных носителей, либо для всех устройств.

Этот параметр отключает автозапуск для дополнительных типов устройств. Параметр нельзя использовать для включения автозапуска на устройствах, на которых автозапуск отключен по умолчанию.

Не устанавливать флажок «Всегда выполнять выбранное действие»

Если данная политика включена, то флажок «Всегда выполнять выбранное действие» в диалоговом окне автозапуска не будет установлен по умолчанию при отображении данного окна.

Вариант работы автозапуска по умолчанию

Установка варианта работы по умолчанию для команд автозапуска.

Команды автозапуска, как правило, хранятся в файлах autorun.inf. Они обычно запускают программы установки или выполняют другие действия.

В версиях, предшествующих Windows Vista, при вставке носителя с командами автозапуска система автоматически исполняла программу без участия пользователя.

Начиная с Windows Vista по умолчанию выдается запрос пользователю на исполнение команд автозапуска. Команды автозапуска представлены в диалоговом окне автозапуска как обработчики.

Если разрешить данную политику, администратор сможет изменить поведение Windows Vista по умолчанию для автозапуска на:

1. Полное отключение команд автозапуска
2. Возврат к поведению, соответствующему версиям Windows, предшествующим Windows Vista, т.е. к автоматическому исполнению команд автозапуска.

Если отключить или не задавать этот параметр политики, система будет запрашивать разрешение пользователя на исполнение команд автозапуска.

Отдельно хотелось бы обратиться к пользователям антивируса от Лаборатории Касперского. В версиях продукта 2010 и выше есть опция, которая позволяет проверять USB-устройства каждый раз при включении. Не забудьте сделать ее опцией по умолчанию. Лучше подождать пару минут, чем потом лечиться.

Удачи вам в этом нелегком деле!

Литература

При подготовке статьи использовались материалы :

1. www.securitylab.ru
2. Forum.ixbt.com

Как показывает практика, пока еще рано кричать «Microsoft must die!», так как в 99% в таких глюках виноваты дополнения к Windows Explorer, которые разныие приложения просто обожают ставить в систему. Это те самые пункты меню, которые появляются по клику правой кнопкой мышки:

Правда, бывает сложно найти сбойное приложение, но вот последовательность действий, которая поможет исправить ситуацию:

1. Для начала необходимо скачать одну очень нужную утилиту: ShellExView v1.47 — Shell Extensions Manager, которая позволяет управлять этими расширениями. Надо сказать, что она абсолютно бесплатна и есть в версиях x86 и x64, правда, я разницы между ними особо и не заметил. Всё равно, для 64-битных систем лучше брать x64 версию.

2. Запускаем эту утилиту с правами администратора (Windows 7 сама запросит пароль Администратора) и сортируем список дополнений по имени компании разработчика. Для этого нужно просто щелкнуть по колонке «Company»

3. ОТКЛЮЧАЕМ ВСЕ дополнения, у которых производитель НЕ Microsoft. Для этого нужно внимательно просмотреть список, выделить не-Microsoft-дополнения и нажать на кнопку . Можно просто нажать [F7]

4. После проделанных операций лучше перегрузить компьютер и поработать некоторое время с девственно чистым (без всяких дополнительных пунктов) меню по правой кнопки мыши. Если аварийное завершение Проводника не наступит, то можно по одному включать действительно нужные дополнения, например, «Notepad++» или «7-zip» и опять же некоторое время мониторить работу своего компьютера.

Собственно всё! Я избавился от своей проблемы, и очень сильно подозреваю, что в аварийных крахах Проводника было повинно дополнение NVIDIA Display Properties Extension (C:\Windows\system32\nvcpl.dll, CLSID {FFB699E0-306A-11d3-8BD1-00104B6F7516})

Регистрация actxprxy.dll

Честно говоря, я так и не понял, за счет чего этот способ работает. actxprxy.dll — это модуль с функциями маршалинга COM компонентов. Подробности можно почитать здесь:

• http://www.processlibrary.com/directory/files/actxprxy/21735
• http://www.edbott.com/weblog/?p=2443

Но этот способ работает. Включить его довольно просто: нужно запустить командную строку с правами администратора и выполнить команду:

regsvr32 actxprxy.dll

После чего следует перегрузить компьютер.

Перенос временных файлов в оперативную память

Но основной всё-таки способ ускорения заключается в переносе временных файлов IE в оперативную память машины. Для этого нужно создать виртуальный диск в RAM.

Виртуальный диск в RAM

Идея проста: создаем виртуальный HDD в памяти компьютера. Важно! Этот способ применим при объеме RAM более 1.5 – 2 GB, так как объем доступной памяти уменьшится на объем вашего диска. Если у вас мало оперативной памяти, этот способ не для вас!

Для Windows 7 для использовал вот эту программу: Dataram RAMDisk, которую можно бесплатно сказать здесь:

http://memory.dataram.com/products-and-services/software/ramdisk/download-ramdisk

После установки настраиваем её:

Очень не рекомендую включать сохранение и загрузку содержимого диска на закладке Load And Save — сильно замедляет включение и выключение компьютера. А в выключенным режимом диск при старте будет девственно чист. Но в этом случае обязательно выберите тип диска FAT32 Partition, иначе он также будет стартовать неразмеченным.

Объем диска я поставил в 256 MB, можно, наверное и меньше, но сейчас у меня на машине 6 GB оперативки (4-я планка планка в 2 GB вылетела, и никак её не поменяю…), и поэтому я могу себе позволить «откусить» и 256 и 512 MB, дать хоть 1 GB — практически не замечу.

После настройки выберите File —> Save Settings и запустите драйвер кнопкой Start RAMDisk

У вас появляется новый диск с назначенной буквой (например, у меня это буква K)

Перенос временных файлов IE

Это делается просто. Открываем настройки IE и выбираем пункт:

Далее ставим следующие настройки:

Объем файлов: объем вашего RAM диска

Расположение: ваш RAM диск

Собственно все! Теперь нужно закрыть браузер IE и перелогинится в систему, чтобы все настройки начали действовать.

Кстати, этот же фокус работает и для FireFox и для Opera. Вот подробности:

http://ivan-nikitin.spaces.live.com/blog/cns!B1CBCA6B7D433991!1688.entry

Если не затруднит, напишите здесь в комментариях свои впечатления об ускоренных браузерах.

Сами темы хранятся в файле с расширением «.themepack», который представляет собой обычный cab-архив. Собственно вот описание его структуры:

http://msdn.microsoft.com/en-us/library/bb773190(VS.85).aspx

Конечно же, можно было сгенерировать этот файл и самостоятельно, но как-то лениво было, и я решил поискать способ попроще, например, с помощью какой-нибудь программы. А оказалось, что Windows 7 сама умеет создавать эти файлы. Предлагаю ниже пошаговую инструкцию, как это сделать.

1. Подготовка фотографий для будущей темы Windows 7

Отберите необходимые фотографии: они должны быть с разрешением не меньше чем разрешение вашего экрана, например, 1280 x 1024. Если размер фото будет меньше, фотография начнет «растягиваться» и «замыливаться», что очень некрасиво. Более того, очень хорошо предварительно с помощью графического редактора (Photoshop или бесплатный Paint.Net) добавить фотографии резкости — это очень эффектно смотрится.

Скопируйте все фотографии в какую-нибудь отдельную папку в «Мои изображения», так их будет легче выбирать на следующем шаге. Если для вас важен порядок показа фотографий, переименуйте их так, чтобы они шли в нужном порядке при сортировке по имени файла.

2. Указание фотографий слайдшоу в теме Windows 7

Щелкните правой кнопкой мыши по свободному месту рабочего стола и выберите пункт меню «Персонализация»

Щелкните по пункту «Фон рабочего стола»

Укажите расположение своих фотографий и отметьте их:

Укажите режим смены фотографий:

Собственно, всё! Нажмите кнопку [Сохранить изменения]

Также рекомендуется выбрать пункт «Цвет окна» (см. выше) и подобрать подходящий цвет под цветовую гамму ваших фотографий. Аналогично можно настроить и звуки и заставку вашей темы.

3. Сохранение темы в файле .themepack

В окне персонализации щелкните по ссылке «Сохранить тему» и введите какое-либо имя вашей темы. Далее щеклните по значку своей темы правой кнопкой мышки и выберите «Сохранить тему для общего доступа»

А вот теперь действительно всё! Полученный файл можно опубликовать где-нибудь в Интернете и радоваться его скачиваниям, которые можно промониторить с помощью Google Analytics, но это уже совсем другая история…