Инструкция по настройке локальной сети в Windows Vista

Для ограничения запуска программ их следует идентифицировать, а затем  установить правило. Рассмотрим два  основных варианта:

Ограничение с помощью  создания правила для хеша - хеш представляет собой своего рода цифровой "отпечаток пальцев", являющийся уникальным для программы или файла и вычисляющийся по специальным математическим алгоритмам. Файл может быть переименован или перемещен в другую папку или на другой компьютер, но его хеш останется неизменным. При внесении изменений в файл его хеш изменяется. Но как правило, код программы является неизменным и хеш однозначно идентифицирует файл. Чтобы создать правило для хеша, перейдите в пункт "Дополнительные правила", выберите в меню "Действие" пункт "Создать правило для хеша". В открывшемся окне вы можете или ввести заранее вычисленный хеш,

(например, для программы "Блокнот"  это fc15cc1d4dda7e73939fc6ec7fadc98e:66048:32771)

или выбрать файл для вычисления хеша. В пункте "Безопасность" вы можете установить правило для вычисленного хеша программы:

- "Не разрешено" - программа  не будет выполняться;

- "Неограниченный" - возможность  запуска определяется правами  пользователя.

В пункт "Комментарии" вы можете ввести заметки, объясняющие данное правило.

Ограничение с помощью  создания правила для пути - правило для пути идентифицирует программы по полному пути к файлу или папке. То есть мы можем указать папку, программы из которой запускаться не будут (или наоборот, будут, в зависимости какое разрешение нам требуется создать). Чтобы создать правило для пути, перейдите в пункт "Дополнительные правила", выберите в меню "Действие" пункт "Создать правило для пути". При указании пути могут быть использованы подстановочные символы * (заменяет неограниченное количество символов) и ? (заменяет один символ) и общие пути, например %userprofile%, %windir%, %appdata%, %programfiles% и %temp%. При указании в качестве пути папки правило распространяется на все вложенные папки и файлы. При конфликте правил для пути приоритет имеет правило с большим ограничением. Ниже приведен набор путей в порядке от высшего приоритета (наибольшее ограничение) к низшему приоритету.

диск:\папка1\папка2\имя_файла.расширение  
диск:\папка1\папка2\*.расширение  
диск:\папка1\папка2\  
диск:\папка1\

При конфликте двух похожих правил для пути приоритет имеет правило  с большим ограничением. Например, если имеется правило для пути C:\Windows\ с уровнем безопасности "Не разрешено" и правило для пути %windir% с уровнем "Неограниченный" (по сути это идентификация одного и того же пути разными способами), будет применяться более строгое правило с уровнем безопасности "Не разрешено".

Правило для хеша имеет приоритет  над правилом для пути, то есть если мы имеем две правила, одно из них - правило для хеша notepad.exe с уровнем безопасности "не разрешено", а другое - правило для пути c:\windows\notepad.exe с уровнем безопасности "неограниченный", то будет действовать правило для хеша, то есть программа запущена не будет.

Небольшой пример использования политик для ограничения инсталляции программ пользователями, которые не являются членами группы администраторов и запрета запуска программ кроме программ установленных администратором (привожу самый общий вариант, не вдаваясь в подробности, предполагается что диск разбит на несколько разделов, а все программы установлены на системный диск, на практике может возникнуть потребность в создании дополнительных правил):

- устанавливаем уровень безопасности  по умолчанию "Не разрешено";

- в пункте "Принудительный" устанавливаем применение политик для всех пользователей кроме локальных администраторов;

- создаем правило для пути  для системного диска и устанавливаем  уровень безопасности как "Неограниченный"; 
- устанавливаем ограничение на запись в системный диск для пользователей (оставляем чтение и выполнение и просмотр содержимого) с помощью средств ограничения доступа (NTFS) или с помощью программы Folder Guard (FAT32) (устанавливаем системный диск только чтение);

- устанавливаем исключения на  запись и изменение некоторых нужных файлов на системном диске для пользователей (например, если какая-то программа хранит параметры конфигурации в файле, и пользователю разрешается изменять эти параметры), если это необходимо, с помощью средств ограничения доступа (NTFS) или с помощью программы Folder Guard (FAT32).

Политики ограничения использования  программ вступают в силу после повторного входа пользователя в систему.

Что получаем в итоге: все программы  установленные на системном диске  работоспособны; запуск исполняемых файлов запрещен на всех разделах жесткого диска кроме системного, а также невозможен запуск с дискеты или CD, пользователи не имеют прав на запись в раздел диска на который установлена система, соответственно пользователи не могут запускать или инсталлировать никакие новые программы.

Можно создать файл журнала применения политик ограниченного использования  программ, для этого откройте редактор системного реестра, перейдите в  раздел

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers] и создайте строковый параметр

LogFileName=x:\xx\name.log где x:\xx\name.log - путь и имя файла журнала, например, c:\MYLOG\safetylog.log 
Теперь каждое применение политики ограничения программ будет фиксироваться в этом файле. Файл рекомендуется использовать для отладки правил. Не забудьте выставить соответствующие права на этот файл чтобы он был доступен для записи от имени пользователя.

Будьте осторожны в применении запрещающих политик, особенно для  системных файлов и папок. Многие приложения запускают другие приложения для выполнения различных задач. Следует быть уверенным, что все основные задачи используемых приложений учтены правилами.

Клонирование Windows XP

Источник: http://winlab.ru/

В свое время устанавливали Windows 98 простым клониованием раздела  жесткого диска на винчестер другого  компьютера. Все железо переопределялось, доустанавливались драйвера и система  уже настроенная и с необходимым ПО была готова к работе. С Windows XP дело обстоит иначе, сложнее. Сейчас мы займемся клонированием Windows XP уже установленной и настроенной со всеми нужными программами с одной машины на любые другие. 
 
Первое, что нам надо, естественно создать источник клонирования Windows XP. Устанавливаем Windows XP, все необходимые настройки, изменения и дополнения. Желательно использовать дистрибутив, который не требует активации (как наш Идеальный Windows XP SP3), потому что иногда при смене железа Windwos XP может "догадаться", что ее клонировали и запросить активацию. После установки системы, можно её немного почистить, но тут Вам самим решать, что оставить, а что снести.  
 
Я, к примеру, делаю небольшую чистку системы: 
 
а) Очищаю DLL кэш. Для этого выполняем следующие команды: 
Пуск - выполнить - "sfc / cachesize =5" и "sfc / purgecache" 
б) Отключаю восстановление системы и удаляю папку System Volume Information из корня раздела 
в) И многое для оптимизационные фишки, о которых я рассказываю в своей рассылке (можете подписаться, блок слева) 
 
Сейчас сделаем конфигурационный файл для клонирования. На CD Windows XP, ищем 
[cd]:\SUPPORT\TOOLS\DEPLOY.CAB. 
 
Извлекаем оттуда все файлы. Создайте на диске “С” директорию SYSPREP и скиньте туда все файлы из DEPLOY.CAB.  
 
Теперь, запускаем SETUPMGR.EXE . Запускается Wizard . Выбираем Create a new answer file , затем Sysprep Install.  
 
Внимательно выберите Вашу версию Windows. В следующем окне, пометьте Yes, full automate the installation. Перед нами открывается окно, где нам предлагается заполнить разного рода информация. Нам очень важно поле Providing the Product Key. Следующее поле важно для сисадминов. Если Вы пропишите имя компьютер, то все Ваши клоны будут с одним именем, что не очень хорошо в сетки. Если поставить Automatically generate computer name, то система будет произвольно давать имя компьютеру. Я в своём случаи оставил это поле без изменений, тем самым система спрашивает, какое имя я хочу дать компьютеру. 
 
Есть ещё куча интересных параметров, которые можно изначально прописать через эту программу. Советую внимательно пройтись по всем опциям. По завершению, всё это должно быть сохранено в файле sysprep.inf и файл должен лежать в директории C:\SYSPREP. 
 
Всё, что будем делать дальше, надо делать без перезагрузки системы !!! 
 
Самой большой проблемой, при переносе Windows на другой компьютер, является драйвер контролера диска.  
Как правило, почти все платы, поддерживают стандартный IDE контролер. Поэтому, нам желательно установить драйвер стандартного IDE .  
 
Скачиваем драйвер http://WinLab.ru/download/idedrivers.zip 
 
После распаковки скаченного, всё его содержимое, кидаем в каталог system32\drivers. В этой папке уже могут быть эти файлы, советую их не переписывать. 
 
Есть ещё один небольшой REG -файл.  
 
Скачиваем его http://WinLab.ru/download/mergeide.reg 
и запускаем.  
 
Он добавляет в систему информацию обо всех доступных Windows XP типах IDE-контроллеров. 
 
Теперь, было бы неплохо, стереть из регистре ключик: 
 
HKEY_LOCAL_MACHINE\SYSTEM \MountedDevices\ 
 
и тем самым мы избежим проблем с сопоставлением сигнатур разделов. 
 
Как многие из Вас знают, Windows XP разделяет все компьютеры на несколько типов. На "Standart PC", на "ACPI PC" и на "ACPI Uniprocessor PC". 
 
Советую слить с дистрибутива в Windows XP несколько разных HAL-ов, чтобы выбирать их на этапе первой загрузки. Если это не сделать, на некоторых компьютерах, будет проблемно загрузится. Также надо немного подкорректировать boot.ini. После изменений, он должен быть похож на этот: 
 
[boot loader] 
timeout=10 
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS 
[operating systems] 
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect 
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Standart PC" /fastdetect /hal=halstd.dll 
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="ACPI PC" /fastdetect /hal=halacpi.dll 
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="ACPI Uniprocessor PC " /fastdetect /hal=halmacpi.dll 
 
Переходим к конечной стадии создания системы для клонирования Windows XP. 
 
Выполните команду (ПУСК-ВЫПОЛНИТЬ): c:\sysprep\sysprep –pnp - mini . В появившемся окне меняем "shutdown mode" на "quit" и нажимаем "Reseal". Главное не допустить перезагрузки. И проверьте сейчас Boot.ini, там надо подправить timeout, поставьте 10. 
 
На этом можно сказать закончили. Осталось самая мелочь, сделать имидж диска “ C ”. Самое главное, не дать системе перезапустится, пока Вы не сделали образ того, что сейчас получилось. После того как Вы имеете в руках образ, его можно записать на CD , ну и конечно, рекомендую сделать CD загрузочным. 
 
Как только Вы открываете это образ на новый компьютер (или на новый диск) запускается Мини-Setup. 
 
Происходит поиск нового железа.  
 
Если всё сделали правильно и у Вас не супер экзотическое железо, то через пару минут, можно начинать работать. 
 
Спешите подписаться на рассылку "Идеальная настройка Windows XP от MasterX", это можно сделать через блок подписки слева. 
 
Успехов Вам!

Собственный инструмент для анализа безопасности Windows

Автор: Скотт Данн 
Источник: Мир ПК

В настоящее время тема безопасности укоренилась во всех умах и обосновалась на всех компьютерных экранах. Напоминания об опасности всплывают в веб-браузерах, в интерфейсах электронной почты, в антивирусном ПО, в сетевых настройках и в прочих программных приложениях. Однако исследование всех тех закоулков, где Windows прячет свои настройки безопасности, может оказаться такой работой, которая не оставит вам времени ни для чего другого.

К счастью, Windows XP Professional и 2000 содержат готовые строительные блоки для создания инструмента, способного провести всесторонний анализ безопасности и соответствующую настройку конфигурации. (Если установлена Windows XP Home, то ваши потребности должны удовлетворить средства обеспечения безопасности, встроенные в пакет обновлений Service Pack 2.) Но вот собрать имеющиеся блоки в единый инструментальный комплект придется самостоятельно. Я расскажу, как скомпоновать эту утилиту, как использовать ее для анализа системы и какие действия предпринять по полученным результатам. И хотя входящая в состав Windows утилита «Анализ и настройка безопасности» не имеет дела с безопасностью электронной почты и других приложений, она тем не менее позволяет задавать в одном месте все параметры безопасности Windows, относящиеся к системному уровню. Изменения в таких параметрах могут влиять на используемые вами подключения к локальной сети и к Интернету, на приложения и настройки Реестра Windows, так что прежде чем заниматься любыми серьезными перестройками системы, необходимо создать ее резервную копию. После каждого изменения настроек проверяйте приложения и сетевое подключение, дабы убедиться в том, что они работают корректно. При возникновении любой проблемы восстанавливайте Реестр.

Создаем свое ПО

Для создания собственного инструмента  анализа безопасности войдите в систему как администратор, выберите «Пуск•Выполнить», введите команду mmc и нажмите клавишу <Enter>. В раскрывшемся окне задайте опции «Консоль•Добавить или удалить оснастку». Щелкните затем на кнопке «Добавить», выберите из раскрывшегося списка позицию «Анализ и настройка безопасности», опять щелкните на кнопке «Добавить», а потом на кнопках «Закрыть» и OK.

Теперь под маленьким значком  «Корень консоли» появится подзначок  «Анализ и настройка безопасности», но никаких других ветвей в дереве не будет. Чтобы их добавить, создайте базу данных параметров. Для этого щелкните правой кнопкой мыши на значке «Анализ и настройка безопасности» и выберите опцию «Открыть базу данных». В графу «Имя файла» введите название базы данных, например «Мои настройки безопасности», и нажмите <Enter>. После этого вам будет предложено импортировать какой-нибудь шаблон. (Если соответствующее диалоговое окно не появится или вы его случайно закроете, то снова щелкните правой кнопкой на значке «Анализ и настройка безопасности» и выберите опцию «Импорт шаблона».)

Разнообразие шаблонов варьирует, начиная от устанавливаемого в Windows по умолчанию шаблона setup security.inf до hisecws.inf, задающего высокую безопасность. Если вы не эксперт в области управления сетями и не специалист по безопасности (или вы не убеждены в том, что к системе определенно надо применить какой-то другой шаблон), то выберите setup security и щелкните на кнопке «Открыть» (рис. 1). (Если показываются расширения имен файлов, то имя будет отображаться на экране как setup security.inf.)

Сохраните созданный вами инструмент, чтобы в дальнейшем к нему можно было бы снова обращаться, не проходя перечисленные выше шаги. Для этого задайте опции «Консоль•Сохранить как» и укажите, где должен быть сохранен файл утилиты. Если вы сохраняете его в папке «Администрирование» меню «Пуск» (оно же Главное меню; такое место сохранения выбирается по умолчанию), то сможете запустить данную утилиту, выбрав ее из меню «Пуск•Все программы•Администрирование». В том случае, когда соответствующий значок там отсутствует, щелкните правой кнопкой мыши на экранной кнопке «Пуск», задайте опции «Свойства•Меню «Пуск»•Настроить•Дополнительно») и в списке элементов меню «Пуск» выберите нужный вариант отображения. Обычный путь к папке «Администрирование» таков: C:\Documents and Settings\All Users\Главное меню\Программы\Администрирование (в графе «адрес Проводника» отображается как C:\Documents and Settings\ All Users\Start Menu\Programs\Administrative Tools). Если вы не хотите, чтобы все посетители, вошедшие в систему, видели этот элемент, то измените путь, задаваемый по умолчанию. Введите имя, например Анализатор безопасности, и нажмите <Enter>.

Проводим проверку безопасности

Чтобы проанализировать систему и  сравнить ее параметры безопасности с теми, что зафиксированы в  вашем шаблоне, щелкните правой кнопкой  мыши на значке «Анализ и настройка безопасности» и выберите опцию «Анализировать компьютер» (рис. 2). Укажите путь к файлу журнала ошибок или просто примите путь, предлагаемый по умолчанию.

Когда анализ будет завершен, то на левой створке окна должны будут  отобразиться новые ветви. Чтобы увидеть, чем отличаются настройки безопасности компьютера от параметров, зафиксированных в шаблоне, последовательно щелкайте на маленьком значке «+» до тех пор, пока не доберетесь до конца ветви. Потом щелкните на значке в самом конце ветви — и увидите параметры безопасности для данной категории на правой створке окна (рис. 3).