Домашний доктор для вашего ПК
Шрифт:
Назначение прав пользователя
Доступ к компьютеру из сети
Определяет, каким пользователям и группам разрешается подключаться к компьютеру через сеть. По умолчанию:
• на рабочих станциях и серверах:
администраторы;
операторы архива;
опытные пользователи;
пользователи;
все;
• на контроллерах домена:
администраторы;
прошедшие проверку;
все.
Работа в режиме операционной системы
Разрешает процессу проходить проверку подлинности как обычному пользователю и таким образом получать доступ к тем же ресурсам, что и любой пользователь. Эта привилегия требуется только для служб проверки подлинности низкого уровня.
Потенциально доступ не ограничен ресурсами, назначенными пользователю по умолчанию, поскольку для процесса вызова может потребоваться, чтобы в описатель доступа были внесены еще какие-либо разрешения. Более важным является тот фактор, что процесс вызова может создать анонимный описатель, способный поддержать любые разрешения на доступ. Кроме того этот описатель не может служить уникальным идентификатором при отслеживании событий в журнале аудита.
Процессы, которым необходима эта привилегия, должны использовать учетную запись LocalSystem , уже включающую данную привилегию, а не отдельную учетную запись пользователя, специально назначая ей эту привилегию. По умолчанию: Local System.
Добавление рабочих станций в домен
Определяет, какие группы и пользователи могут добавлять рабочие станции в домен. Эта политика действует только на контроллерах домена. По умолчанию таким правом обладает любой пользователь,
Компьютер, учетная запись которого добавлена в домен, может участвовать в выполнении сетевых операций, использующих содержимое Active Directory. Например, рабочая станция, добавленная в домен, получает возможность распознавать учетные записи и группы, существующие в Active Directory. По умолчанию: «Прошедшие проверку». Пользователи, обладающие разрешением на создание объектов-компьютеров в контейнере Active Directory, также могут создавать учетные записи компьютеров в домене. Но для них число создаваемых учетных записей не ограничено значением 10. Кроме того владельцем учетных записей компьютеров, созданных в соответствии с политикой «Добавление рабочих станций в домен», является группа «Администраторы домена», а владельцем учетной записи, созданной на основе разрешения для контейнера, является ее создатель. Если пользователь обладает одновременно разрешением на создание объектов в контейнере и правом «Добавление рабочих станций в домен», компьютер добавляется в домен в соответствии с разрешениями для контейнера, а не правом пользователя.
Настройка квот памяти для процесса
Определяет, какие учетные записи могут использовать процесс, обладающий разрешением «Запись свойства» для доступа к другому процессу, с целью увеличить назначенную последнему квоту ресурсов процессора. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов. По умолчанию: «Администраторы». Эту привилегию можно использовать для настройки системы, но ее использование может вызвать неблагоприятные последствия, например, в случае атаки типа «отказ в обслуживании».
Разрешать вход в систему через службу терминалов
Определяет, каким пользователям и группам разрешается входить в систему в качестве клиента служб терминалов.
По умолчанию:
• на рабочих станциях и серверах: «Администраторы», «Пользователи удаленного рабочего стола»;
• на контроллерах домена: «Администраторы».
Следует обратить особое внимание на то, что этот параметр не действует на компьютерах Windows 2000 без пакета обновления Service Pack 2.
Архивирование файлов и каталогов
Определяет, какие пользователи могут архивировать содержимое системы, невзирая на имеющиеся разрешения для файлов и каталогов. Эта привилегия эквивалентна предоставлению указанным пользователям и группам следующих разрешений на доступ ко всем файлам и папкам системы:
• обзор папок / выполнение файлов;
• содержание папки / чтение данных;
• чтение атрибутов;
• чтение дополнительных атрибутов;
• чтение разрешений.
По умолчанию данной привилегией обладают: «Администраторы» и «Операторы архива».
Обход перекрестной проверки
Определяет, какие пользователи могут проходить по дереву каталога, независимо от того, имеются ли у них разрешения на доступ к этому каталогу. Эта привилегия не позволяет пользователю выводить список содержимого каталога, а только перемещаться по его структуре. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.
По умолчанию:
• на рабочих станциях и серверах:
администраторы;
операторы архива;
опытные пользователи;
пользователи;
все.
• на контроллерах домена:
администраторы;
прошедшие проверку.
Изменение системного времени
Определяет, какие пользователи и группы могут изменять время и дату на встроенных часах компьютера. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.
По умолчанию:
• на рабочих станциях и серверах:
администраторы;
опытные пользователи;
• на контроллерах домена:
администраторы;
операторы сервера.
Создание файла подкачки
Определяет, какие пользователи и группы могут создавать файл подкачки и изменять его размер. Для создания файла подкачки нужно указать его размер для выбранного диска на вкладке Параметры быстродействия окна свойств системы. По умолчанию: «Администраторы».
Создание маркерного объекта
Определяет, какие учетные записи могут использоваться процессами для создания описателя, позволяющего получать доступ к любым локальным ресурсам, если описатель строится с помощью функции NtCreateToken или другого API-интерфейса. Процессам, которым необходима эта привилегия, рекомендуется использовать учетную запись LocalSystem, уже включающую данную привилегию, а не отдельную учетную запись пользователя, специально назначая ей эту привилегию. По умолчанию: «Локальная система».
Создание постоянных объектов совместного использования
Определяет, какие учетные записи могут использоваться процессами для создания объекта каталога в диспетчере объектов Windows 2000 Server, Windows 2000 Professional или Windows XP Professional. Эта привилегия необходима для компонентов режима ядра, которые расширяют пространство имен объектов Windows 2000 Server, Windows 2000 Professional и пространство имен объекта Windows XP Professional. Поскольку компоненты, работающие в режиме ядра, уже обладают этой привилегией, им не нужно специально назначать ее. По умолчанию: «Локальная система».
Отладка программ
Определяет, какие пользователи могут запускать программу отладки для любого процесса.
Эта привилегия обеспечивает широкие возможности доступа к особо важным компонентам операционной системы.
По умолчанию отладку программ выполняют: администраторы; локальная система.
Отказ в доступе к компьютеру из сети
Определяет, каким пользователям запрещается доступ к данному компьютеру через сеть. Эта политика отменяет политику «Доступ к компьютеру из сети», если учетная запись пользователя контролируется обеими политиками. По умолчанию:
• на рабочих станциях и серверах:
администраторы;
операторы архива;
опытные пользователи;
пользователи;
все.
• на контроллерах домена:
администраторы;
прошедшие проверку;
все.
Отказ во входе в качестве пакетного задания
Определяет, какие учетные записи запрещается использовать при входе в систему в качестве пакетного задания. Эта политика отменяет политику «Вход в качестве пакетного задания», если учетная запись пользователя контролируется обеими политиками. По умолчанию: не определен.
Отказать во входе в качестве службы
Определяет, каким учетным записям запрещается регистрировать процесс в качестве службы. Эта политика отменяет политику «Вход в качестве службы», если учетная запись пользователя контролируется обеими политиками. По умолчанию: не определен.
Отклонить локальный вход
Определяет, каким пользователям запрещается вход в систему на данном компьютере. Эта политика отменяет политику «Локальный вход в систему», если учетная запись пользователя контролируется обеими политиками. По умолчанию: не определен.
Запретить вход в систему через службу терминалов
Определяет, каким пользователям и группам запрещается входить в систему в качестве клиента служб терминалов. По умолчанию: не определен. Следует обратить особое внимание на то, что этот параметр не действует на компьютерах Windows 2000 без пакета обновления Service Pack 2.
Разрешение доверия к учетным записям компьютеров и пользователей при делегировании Определяет, какие пользователи могут устанавливать атрибут Доверен для делегирования для объекта «Пользователь» или «Компьютер». Пользователь или объект, наделенный данной привилегией, должен иметь право записи во флаги управления учетной записью объекта «Пользователь» или «Компьютер». Серверный процесс,
Принудительное удаленное завершение работы
Определяет, каким пользователям разрешено завершать работу компьютера из удаленного узла сети. Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов. По умолчанию:
• на рабочих станциях и серверах: «Администраторы»;
• на контроллерах домена: «Администраторы», «Операторы сервера».
Создание журналов безопасности
Определяет, какие учетные записи могут быть использованы процессом для добавления записей в журнал безопасности. Журнал безопасности используется для отслеживания попыток несанкционированного доступа в систему. По умолчанию: «Локальная система».
Увеличение приоритета диспетчирования
Определяет, какие учетные записи могут использовать процесс, обладающий разрешением
«Запись свойства» для доступа к другому процессу, с целью повысить назначенный последнему приоритет выполнения. Пользователь, обладающий этой привилегией, может изменять приоритет планирования процесса в окне диспетчера задач. По умолчанию:
«Администраторы».
Загрузка и выгрузка драйверов устройств
Определяет, какие пользователи могут динамически загружать и выгружать драйверы устройств. Эта привилегия необходима для установки драйверов устройств Plug and Play. По умолчанию: «Администраторы».
Закрепление страниц в памяти
Определяет, какие учетные записи могут использовать процесс для хранения данных в физической памяти, избегая подкачки страниц в виртуальную память на диск. Применение этой привилегии может существенно сказаться на системной производительности, поскольку приводит к уменьшению объема свободной оперативной памяти. По умолчанию: не определен.
Вход в качестве пакетного задания
Позволяет пользователю входить в систему с помощью средства обработки пакетных заданий. Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному. По умолчанию: «Локальная система».
Следует обратить особое внимание на то, что в системах Windows 2000 Server, Windows 2000 Professional и Windows XP Professional планировщик заданий автоматически предоставляет это право как обязательное.
Вход в качестве службы
Определяет, какие учетные записи служб могут зарегистрировать процесс в качестве службы.
По умолчанию: не определен.
Локальный вход в систему
Определяет, какие пользователи могут входить в систему на данном компьютере.
По умолчанию:
• на рабочих станциях и серверах: «Администраторы», «Операторы архива», «Опытные пользователи», «Пользователи» и «Гость»;
• на контроллерах домена: «Операторы учета», «Администраторы», «Операторы архива» и «Операторы печати».
Управление аудитом и журналом безопасности
Определяет, какие пользователи могут задавать параметры аудита доступа к объектам для отдельных ресурсов, таких как файлы, объекты Active Directory и разделы реестра. Эта политика не позволяет пользователю включать аудит доступа к файлам и объектам в целом.
Для этого необходимо настроить параметр «Аудит доступа к объектам» в папке «Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политики аудита».
Просмотр записей о событиях аудита в журнале безопасности осуществляется в окне просмотра событий. Пользователь, обладающий такой привилегией, может также просматривать и очищать журнал безопасности.
По умолчанию: «Администраторы».
Изменение параметров среды оборудования
Определяет, каким группам безопасности разрешено изменять значения общесистемных параметров среды. По умолчанию: «Администраторы», «Локальная система».
Выполнение задач по обслуживанию томов
Определяет, какие пользователи и группы имеют полномочия на выполнение процедур обслуживания томов, таких как очистка диска и дефрагментация диска. По умолчанию:
«Администраторы».
Профилирование одного процесса
Определяет, какие пользователи могут вести наблюдение за рабочими характеристиками несистемных процессов. По умолчанию: «Администраторы», «Локальная система».
Профилирование загруженности системы
Определяет, какие пользователи могут вести наблюдение за рабочими характеристиками системных процессов. По умолчанию: «Администраторы», «Локальная система».
Отключение компьютера от стыковочного узла
Определяет, может ли пользователь отключать переносной компьютер от стыковочного узла, не входя в систему.
Если эта политика включена, пользователь должен войти в систему перед тем, как отключать компьютер от стыковочного узла. Если эта политика отключена, пользователь может отсоединять компьютер от стыковочного узла, не входя в систему. По умолчанию: отключен.
Замена маркера уровня процесса
Определяет, какие учетные записи пользователей могут инициировать процесс замены стандартного маркера, связанного с запущенным подпроцессом. По умолчанию: «Локальная система».
Восстановление файлов и каталогов
Определяет, какие пользователи могут восстанавливать архивированные файлы и каталоги, невзирая на имеющиеся у них разрешения для этих файлов и каталогов, а также назначать любого действительного участника безопасности владельцем объекта.
По умолчанию: Рабочие станции и серверы: «Администраторы», «Операторы архива», контроллеры домена: «Администраторы», «Операторы архива», «Операторы сервера».
Завершение работы системы
Определяет, какие пользователи могут, войдя на локальный компьютер, завершить работу операционной системы с помощью команды Завершение работы. По умолчанию:
• рабочие станции и серверы: «Администраторы», «Операторы архива», «Опытные пользователи», «Пользователи»;
• контроллеры домена: «Операторы учета», «Администраторы», «Операторы архива», «Операторы сервера», «Операторы печати».
Синхронизация данных службы каталогов
Определяет, какие пользователи и группы имеют полномочия синхронизировать данные, относящиеся к службе каталогов. Эта процедура также называется синхронизацией Active Directory. По умолчанию: не определен.
Смена владельца файлов или иных объектов
Определяет, какие пользователи могут становиться владельцем любого объекта системы, контролируемого средствами безопасности, в том числе объектов Active Directory, файлов и папок, принтеров, разделов реестра, процессов и потоков. По умолчанию:
«Администраторы».3.17. Средства безопасности
Учетные записи как средства безопасности
Состояние учетной записи «Администратор»
Определяет, включена или отключена учетная запись «Администратор» в обычном режиме работы. При загрузке в безопасном режиме учетная запись «Администратор» всегда включена, независимо от данного параметра. По умолчанию: включен.
Если попытаться вновь включить учетную запись «Администратор» после того, как она была отключена, но ее текущий пароль не удовлетворяет требованиям, предъявляемым к паролям, учетную запись включить не удастся. В этом случае какой-либо другой член группы «Администраторы» должен установить пароль для учетной записи «Администратор» в оснастке «Локальные пользователи и группы».
Отключенная учетная запись «Администратор» может в определенных обстоятельствах вызвать затруднения при выполнении процедур технического обслуживания. Например, если в среде домена по какой-либо причине возникает сбой на безопасном канале, образующем соединение с доменом, и на компьютере нет другой локальной учетной записи «Администратор», нужно будет для устранения неполадок перезагрузиться в безопасном режиме.
Состояние учетной записи «Гость»
Определяет, включена или выключена учетная запись «Гость». По умолчанию: отключен.