組策略在系統安全方面的十大應用
組策略是windows系統自帶的，使用組策略可以方便的修改注冊表，遠比手工修改注冊表方便、安全。而且組策略對于維護系統安全性是至關重要的，下面就是組策略在系統安全方面的應用。
為了提高系統的安全性，許多朋友都喜歡去注冊表里動手動腳。殊不知，對注冊表一知半解，這簡直就是在安全面前玩火！看看筆者是如何利用圖形化直觀的界面來保衛家園的。
場景一：晚上收工后，早就對白兄的X機眼饞萬分的小菜，偷偷地在他的機器用自己的用戶名登錄玩了一把游戲，好爽！誰知第二天一上班，白兄就直接找上門來“你為什么用我的機器？想看我的小MM……？”。小菜一臉郁悶中……
場景二：小菜正偷偷使用白兄機器，游戲需要在制作面板中調整鼠標及其他設置，雙擊控制面板時卻出現一“限制”窗口，內容為“本次操作由于這臺計算機的限制而被取消。請與您的系統管理員聯系。”無奈只好做罷……
場景三：小菜因偷用機器“被捕”，心里好不是滋味，請來一DOS高手智，想在DOS下給“聞到死”環境下成長起來的白兄一點顏色。“開始→運行”，輸入CMD——黑黑的窗口出現，然而寒光一閃：“命令提示符已被系統管理員停用。按任意鍵繼續...”倒~~~
主角閃亮登場
單擊“開始”菜單，選擇“運行”命令，輸入gpedit.msc后按回車鍵，看！主角組策略粉墨登場了，如圖1。
小知識：什么是組策略？
它是Win2000/XP/2003下的一個工具，前身是98下的系統策略編輯器。組策略是系統策略的更高級擴展，它具有更多的管理模板和更靈活的設置對象以及更多的功能，目前主要應用于員Win2000/XP/2003系統。無論是系統策略還是組策略，它們的基本原理都是修改注冊表中相應的配置項目，從而達到配置計算機的目的，只是它們的一些運行機制發生了變化和擴展而已。
演出已經開始
1.偷用機器者，一個也跑不了
【位置】計算機配置→Windows設置→安全設置→本地策略→安全選項。
【設置】雙擊“交互式登錄：不顯示上次的用戶名”，在彈出的屬性窗口中選擇“已啟用”，如圖1。
小提示
在Windows 2000系統下，系統啟動時會自動顯示出上次登錄時的用戶名。啟用該項策略后，將不再出現上次登錄的用戶名。這下，小白不怕了，小菜也不擔心不知道本機合法登錄用戶名的黑客入侵了。
在Windows XP系統中，默認啟動方式下會出現歡迎屏幕，所有用戶一覽無余。應該先更改用戶登錄方式。方法是：打開“控制面板”，選擇“用戶帳戶”，在“用戶帳戶”窗口單擊“更改用戶登錄或注銷的方式”，如圖2。取消“使用歡迎屏幕”復選框，單擊“應用選項”按鈕。以后用戶登錄的界面就和Windows 2000一樣了。
2.入侵者戒
【位置】計算機配置→Windows設置→安全設置→帳戶策略→帳戶鎖定策略。
【設置】雙擊“帳戶鎖定閾值”策略，設置“3次無效登錄”。然后可以把“帳戶鎖定時間”策略設置為“30”分鐘或更長時間。
【功能】當非法用戶在3次輸入錯誤密碼后，封鎖其帳戶，禁止登錄。
3.誰動了我的奶酪
【位置】計算機配置→Windows設置→安全設置→本地策略→審核策略
【設置】把“審核帳戶登錄事件”策略設置為“成功、失敗”后，打開“事件查看器”，就能查看近期有哪些用戶登錄過你的電腦了；把“審核過程追蹤”策略設置為“成功、失敗”，可以察看用戶運行過哪些程序。如圖3所示，通過事件查看器可以發現用戶“羅艷軍”運行過QQ.exe程序。
小提示
打開“事件查看器”的方法：單擊“開始→運行”，輸入“eventvwr.msc”后回車。
4.我的機器你別關
【位置】計算機配置→Windows設置→安全設置→本地策略→用戶權利指派
【設置】在“拒絕從網絡訪問此計算機”策略的屬性窗口中添加某一用戶，則該用戶就沒有權利從網絡訪問這臺計算機；在“關閉系統”策略的屬性窗口中刪除某一群組，如圖4所示，則該群組的用戶就沒有權利關閉系統（該用戶的“開始”菜單中沒有“關閉計算機”這一菜單項）。
5.訪問“控制面板”遭拒
【位置】用戶配置→管理模板→控制面板
【設置】雙擊該策略，在彈出的屬性窗口中把該策略設置為“已啟用”。
【功能】啟用該策略后，當我們雙擊控制面板時出現一“限制”窗口，內容為“本次操作由于這臺計算機的限制而被取消。請與您的系統管理員聯系。”
6.“我的電腦”無硬盤？
【位置】用戶配置→管理模板→Windows 組件→Windows資源管理器
【設置】雙擊“隱藏我的電腦中的這些指定的驅動器”策略，選擇需要隱藏的驅動器。
【功能】這些被隱藏的驅動器將不會出現在“我的電腦”和“資源管理器”中，在Word的新建或打開窗口中也不會出現。
小提示
還是可以直接在地址欄中輸入隱藏的盤符（如D:\）來訪問。
7.我的驅動器不對你開放
【位置】用戶配置→管理模板→Windows 組件→Windows資源管理器
【設置】雙擊“防止從我的電腦訪問驅動器”策略，彈出屬性窗口如圖5所示，根據需要選擇適當的選項即可。
【功能】上一功能只是隱藏驅動器，但直接輸入地址還可以訪問，就白了還是捉迷藏而已。要想真正禁止用戶使用，就得用這個功能。啟用后，就算你看到有這個磁盤，也會提示“本次操作由于這臺計算機的限制而被取消。請與您的系統管理員聯系”。放心了吧？
小提示
此時在命令提示符狀態仍能進入被限制的驅動器，使用DIR命令可查看文件系統，并能運行程序。為了更有效地保護你的系統，請參考下一條措施。
8.DOS高手也傻了眼
【位置】用戶配置→管理模板→系統
【設置】雙擊“阻止訪問命令提示符”策略，選擇“已啟用”，并在“也停用命令提示符腳本處理嗎？”下拉列表框中選擇“是”。
【功能】當我們使用命令提示符窗口時，將會出現一提示“命令提示符已被系統管理員停用。按任意鍵繼續...”。
9.別亂動注冊表編輯器
【位置】用戶配置→管理模板→系統
【設置】雙擊“阻止訪問注冊表編輯工具”策略，選擇“已啟用”。同時在“禁止后臺運行regedit”后選擇“是”。
【功能】運行regedit啟動“注冊表編輯器”時，會彈出一錯誤提示“注冊編輯已被管理員停用”，從而禁止用戶通過注冊表編輯器訪問注冊表。
10.我的程序你別用
【位置】用戶配置→管理模板→系統
【設置】雙擊“不要運行指定的Windows應用程序”策略，選擇“已啟用”單選按鈕，然后單擊“顯示”按鈕，這時將出現一“顯示內容”窗口，該窗口中顯示的是禁止運行的程序列表。單擊“添加”按鈕，在文本框中輸入禁止運行的程序名稱即可，如圖6所示。
【功能】當你運行這些被禁止的程序時，將出現提示窗口“本次操作由于這臺計算機的限制而被取消。請與您的系統管理員聯系。”
小提示
只需輸入禁止運行的程序名，不需在程序名前加路徑。
怎么樣？經過這重重防線的設置，電腦安全多了吧？不過，最后提醒一句：不要自己給自己添亂！因為這些設置是一把雙刃劍。不僅可以限制別人，同時，也限制了自己！如果擔心熟悉組策略的用戶再運行組策略編輯器將相關選項改回來，在圖6中填入gpedit.msc吧，這樣連組策略編輯器也甭想進來了，呵呵。還是得給自己留下一條后路喲。
希望本文介紹的組策略在系統安全方面的十大應用能夠對讀者有所幫助。
【編輯推薦】
