В предыдущих статьях, посвященных локальным политикам безопасности, вы узнали о принципах работы политик учетных записей и политик аудита. Владея приобретенными знаниями, вы можете значительно обезопасить учетные данные ваших пользователей и отслеживать попытки несанкционированного доступа. Стоит учесть, что пользователи не владеют достаточной базой знаний по обеспечению безопасности и даже у обычного пользователя может быть достаточно привилегий для нанесения ущерба своей системе и даже компьютерам в вашей интрасети. Избежать подобных проблем помогают локальные политики безопасности назначения прав пользователя, о чем, собственно, и пойдет речь в данной статье. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Оперируя данными политиками, вы можете не волноваться за то, что пользователи будут выполнять действия, которые им делать не положено. Для назначения прав доступны 44 политики безопасности, о применении которых далее пойдет речь.
Политики назначения прав пользователей
Как говорилось выше, для назначения прав пользователей существует 44 политики безопасности. Далее вы сможете ознакомиться с восемнадцатью политиками безопасности, которые отвечают за назначение различных прав для пользователей или групп вашей организации.
Архивация файлов и каталогов. При помощи данной политики вы можете указать пользователей или группы, предназначенные для выполнения операций резервного копирования файлов, каталогов, разделов реестра и других объектов, которые подлежат архивации. Данная политика предоставляет доступ для следующих разрешений:
Обзор папок/Выполнение файлов
Содержимое папки/Чтение данных
Чтение атрибутов
Чтение расширенных атрибутов
Чтение разрешений
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы» и «Операторы архивации», а на контроллерах домена – «Операторы архивации» и «Операторы сервера».
Блокировка страниц в памяти. Используя эту политику безопасности, вы можете указать конкретных пользователей или группы, которым разрешается использовать процессы для сохранения данных в физической памяти для предотвращения сброса данных в виртуальную память на диске.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
Восстановление файлов и каталогов. Эта политика позволяет вам указывать пользователей и группы, которые могут выполнять восстановление файлов и каталогов, в обход блокировке файлов, каталогов, разделов реестра и прочих объектов, расположенных в архивных версиях файлов.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы» и «Операторы архивации», а на контроллерах домена – «Операторы архивации» и «Операторы сервера».
Вход в качестве пакетного задания. При создании задания, используя планировщик заданий, операционная система регистрирует пользователя в системе как пользователя с пакетным входом. Данная политика разрешает группе или определенному пользователю входить в систему при помощи такого метода.
По умолчанию, как на рабочих станциях, так и на контроллерах домена, данные привилегии предоставляются группам «Администраторы» и «Операторы архивации».
Вход в качестве службы. Некоторые системные службы осуществляют вход в операционную систему под разными учетными записями. Например, служба «Windows Audio» запускается под учетной записью «Локальная служба», служба «Телефония» использует учетную запись «Сетевая служба». Данная политика безопасности определяет, какие учетные записи служб могут зарегистрировать процесс в качестве службы.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
Выполнение задач по обслуживанию томов. Используя эту политику, вы можете указать пользователей или группы, участники которых могут выполнять операции, предназначенные для обслуживания томов. У пользователей, обладающих такими привилегиями, есть права на чтение и изменение запрошенных данных после открытия дополнительных файлов, они также могут просматривать диски и добавлять файлы в память, занятую другими данными.
По умолчанию, такими правами обладают только администраторы рабочих станций и контроллеров домена.
Добавление рабочих станций к домену. Эта политика отвечает за разрешение пользователям или группам добавлять компьютеры в домен Active Directory. Пользователь, обладающий данными привилегиями, может добавить в домен до десяти компьютеров.
По умолчанию, все пользователи, прошедшие проверку подлинности, на контроллерах домена могут добавлять до десяти компьютеров.
Доступ к диспетчеру учетных данных от имени доверенного вызывающего. Диспетчер учетных данных – это компонент, который предназначен для хранения учетных данных, таких как имена пользователей и пароли, используемых для входа на веб-сайты или другие компьютеры в сети. Эта политика используется диспетчером учетных данных в ходе архивации и восстановления, и ее не желательно предоставлять пользователям.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
Доступ к компьютеру из сети. Данная политика безопасности отвечает за разрешение подключения к компьютеру по сети указанным пользователям или группам.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы» и «Операторы архивации», «Пользователи» и «Все». На контроллерах домена – «Администраторы», «Проверенные пользователи», «Контроллеры домена предприятия» и «Все».
Завершение работы системы. Используя этот параметр политики, вы можете составить список пользователей, которые имеют право на использование команды «Завершение работы» после удачного входа в систему.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы», «Операторы архивации» и «Пользователи» (только на рабочих станциях), а на контроллерах домена – «Администраторы», «Операторы архивации», «Операторы сервера» и «Операторы печати».
Загрузка и выгрузка драйверов устройств. При помощи текущей политики вы можете указать пользователей, которым будут предоставлены права на динамическую загрузку и выгрузку драйверов устройств в режиме ядра, причем эта политика не распространяется на PnP-устройства.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы», а на контроллерах домена – «Администраторы» и «Операторы печати».
Замена маркера уровня процесса. Используя данную политику безопасности, вы можете ограничить пользователей или группу от использования API-функции CreateProcessAsUser для того, чтобы одна служба могла запускать другую функцию, процесс или службу. Стоит обратить внимание на то, что такое приложение как «Планировщик заданий» для своей работы использует данные привилегии.
По умолчанию, как на рабочих станциях, так и на контроллерах домена, данные привилегии предоставляются учетным записям «Сетевая служба» и «Локальная служба».
Запретить вход в систему через службу удаленных рабочих столов. При помощи данной политики безопасности вы можете ограничить пользователей или группы от входа в систему в качестве клиента удаленных рабочих столов.
По умолчанию, как на рабочих станциях, так и на серверах, всем разрешено входить в систему как клиенту удаленных рабочих столов.
Запретить локальный вход. Данная политика запрещает отдельным пользователям или группам выполнять вход в систему.
По умолчанию всем пользователям разрешен вход в систему.
Изменение метки объектов. Благодаря данной политике назначения прав, вы можете предоставить возможность указанным пользователям или группам изменять метки целостности объектов других пользователей, таких как файлы, разделы реестра или процессы.
По умолчанию никому не разрешено изменять метки объектов.
Изменение параметров среды изготовителя. Используя эту политику безопасности, вы можете указать пользователей или группы, которым будет доступна возможность чтения переменных аппаратной среды. Переменные аппаратной среды - это параметры, сохраняемые в энергонезависимой памяти компьютеров, архитектура которых отлична от x86.
На рабочих станциях и контроллерах домена, по умолчанию данные привилегии предоставляются группам «Администраторы».
Изменение системного времени. Эта политика отвечает за изменение системного времени. Предоставив данное право пользователям или группам, вы тем самым кроме разрешения изменения даты и времени внутренних часов позволите им изменять соответствующее время отслеживаемых событий в оснастке «Просмотр событий».
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы» и «Локальная служба», а на контроллерах домена – «Администраторы», «Операторы сервера» и «Локальная служба».
Изменение часового пояса. При помощи текущей политики безопасности, вы можете указать пользователей или группы, которым разрешено изменять часовой пояс своего компьютера для отображения местного времени, которое представляет собой сумму системного времени компьютера и смещения часового пояса.
На рабочих станциях и контроллерах домена по умолчанию данные привилегии предоставляются группам «Администраторы» и «Пользователи».
Применение политик назначение прав пользователей
В этом примере я расскажу, как можно назначить права для одной из групп вашей организации на контроллере домена. Выполните следующие действия:
Откройте оснастку «Управление групповой политикой» и выберите контейнер, к которому будут привязаны политики назначения прав пользователей, например, «Группы»;
Нажмите правой кнопкой мыши на контейнере и из контекстного меню выберите команду «Создать объект групповой политики в этом домене и связать его…». В диалоговом окне «Новый объект групповой политики» введите «Права для группы отладчиков» и нажмите на кнопку «ОК»;
Выделите созданный объект групповой политики, нажмите на нем правой кнопкой мыши и из контекстного меню выберите команду «Изменить», как показано на иллюстрации:
Рис. 1. Изменение созданного объекта групповой политики
В окне «Редактор управления групповыми политиками», в дереве консоли разверните узел «Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя»;
Рис. 2. Окно «Редактор управления групповыми политиками»
Откройте свойства политики «Отладка программ». При помощи этой политики, пользователи смогут выполнять отладку системных компонентов, что обеспечивает полный доступ к компонентам операционной системы. На вкладке «Параметр политики безопасности» установите флажок на опции «Определить следующие параметры политики» и нажмите на кнопку «Добавить пользователя или группу», как показано ниже:
Рис. 3. Изменение параметров политики «Отладка программ»
В диалоговом окне «Добавление пользователя или группы» нажмите на кнопку «Обзор». В поле «Введите имя выбираемых объектов» укажите название группы (в данном случае – «Отладчики») и нажмите на кнопку «Проверить имена».
Рис. 4. Выбор группы, на которую будет распространяться данная политика
Если вы не помните название группы, нажмите на кнопку «Дополнительно» и выполните поиск при помощи поисковых запросов;
Нажмите два раза на кнопку «ОК»;
Закройте редактор управления групповыми политиками. В оснастке «Управление групповыми политиками» на вкладке «Область» в фильтрах безопасности удалите группу «Прошедшие проверку». Затем нажмите на кнопку «Добавить» и выберите группу «Отладчики»;
Рис. 5. Изменение области действия групповой политики
На компьютерах пользователей, которые входят в группу «Отладчики» инициируйте обновление групповых политик при помощи команды Gpupdate.
Заключение
В данной статье мы продолжили изучение политик безопасности, а именно, узнали о политиках назначения прав пользователей. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Подробно описаны 18 из 44 политик безопасности. На приведенном в статье примере вы также узнали о том, как можно применить данные политики в организации. В следующей статье вы узнаете политиках, управляющих журналами событий.
В предыдущих статьях, посвященных локальным политикам безопасности, вы узнали о принципах работы политик учетных записей и политик аудита. Владея приобретенными знаниями, вы можете значительно обезопасить учетные данные ваших пользователей и отслеживать попытки несанкционированного доступа. Стоит учесть, что пользователи не владеют достаточной базой знаний по обеспечению безопасности и даже у обычного пользователя может быть достаточно привилегий для нанесения ущерба своей системе и даже компьютерам в вашей интрасети. Избежать подобных проблем помогают локальные политики безопасности назначения прав пользователя, о чем, собственно, и пойдет речь в данной статье. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Оперируя данными политиками, вы можете не волноваться за то, что пользователи будут выполнять действия, которые им делать не положено. Для назначения прав доступны 44 политики безопасности, о применении которых далее пойдет речь.
