Управление учетными записями пользователей и паролями

1. Инструменты управления аккаунтом:
2. Создание учетных записей пользователей
3. Отключение и удаление учетных записей пользователей
4. Назначить учетные записи пользователей группам безопасности
5. Назначение пароля к учетной записи
6. Защита учетной записи администратора
7. Безопасность гостевого аккаунта
8. Эффективное использование паролей
9. Восстановление забытого пароля
10. Настройка безопасного входа в систему
11. Дополнительная защита благодаря инструменту Syskey

Одним из основных компонентов системы безопасности Windows XP являются учетные записи пользователей. Разумная конфигурация, а затем управление профилями определенно повысит уровень компьютерной безопасности. В статье подробно объясняется, как администрировать учетные записи пользователей.
Другая тема - пароль. Безопасное управление аккаунтом требует надежных паролей. Поэтому в следующей части текста я обсуждал, как выбрать эти строки символов для хорошей защиты. Последняя проблема, обсуждаемая в статье, заключается в обеспечении безопасности процесса входа в систему.

Инструменты управления аккаунтом:

• Локальные пользователи и группы Приложение запускается путем открытия следующих веток: Панель управления \ Администрирование \ Управление компьютером и Системные инструменты \ Локальные пользователи и группы . Вы также можете ввести в командной строке или в окне « Выполнить» команду lusrmgr.msc .
  uzytkownicy_grupylokalne

  

  Оснастка « Пользователи и локальные группы» полезна только при редактировании Windows XP Professional. В Windows XP Home Edition также встречается, но не предлагает никакой функциональности. Инструмент позволяет создавать и удалять учетные записи пользователей. Мы можем добавить профиль в группу безопасности (но только в одну), изменить имя пользователя, полное имя и описание. Это окно позволяет устанавливать пароли и накладывать на них ограничения, включать, отключать и разблокировать учетные записи. Кроме того, он позволяет установить профиль и скрипт входа в систему.
  

• Учетные записи пользователей Чтобы открыть их, выберите «Учетные записи пользователей» на панели управления.
  

  

  Инструмент « Учетные записи пользователей» имеет ограниченные возможности, он создан для менее опытных или нетребовательных администраторов. Сфера его деятельности - создание и удаление учетных записей и размещение их в группе безопасности (только в одной), изменение имени пользователя, описания и полного имени профиля, установка пароля только для локальных учетных записей, отличных от той, в которой мы зарегистрированы, и присоединение учетной записи к службе. Паспорт Microsoft.NET.
  

• Команды net. Более широкий спектр действий с локальными учетными записями пользователей предлагается линейными инструментами: Net User и Net Localgroup . Эти команды вводятся в консоли. Для получения подробной информации введите net help user или net help localgroup . Если мы хотим увидеть синтаксис команды, введите: net user /? или чистая локальная группа /? ,
  

  

  Действия, которые позволяет нам выполнять этот инструмент, - это создание и удаление учетных записей, размещение учетной записи в группах безопасности , изменение полного имени и описания, установка пароля, наложение ограничений на пароль, установка часов входа в систему, включение, отключение и разблокировка учетной записи, установка даты истечения срока действия учетной записи и профиль и логин скрипт.
  

• Учетные записи пользователей Если ваш компьютер подключен к домену, апплет « Учетные записи пользователей» на панели управления выглядит как предыдущая версия Windows и предлагает больше возможностей. Если компьютер не подключен к домену, мы можем открыть учетные записи пользователей, введя control userpasswords2 в командной строке.

  

  Этот инструмент позволяет: создавать и удалять пароли, помещать учетную запись в группу безопасности (но только администраторов или пользователей ), изменять полное имя и изображение, устанавливать пароли и подсказки для них, включать или отключать гостевую учетную запись, прикреплять учетные записи к службе паспорта Microsoft.NET.

Мы можем управлять локальными группами безопасности только с помощью инструментов «Локальные пользователи и группы» или « Сетевые локальные группы», которые позволяют создавать локальные группы безопасности , добавлять локальные учетные записи в группы или удалять их из групп , создавать и удалять группы безопасности , переименовывать группы и добавлять в локальные группы безопасности домена. учетные записи пользователей.

Создание учетных записей пользователей

При установке Windows XP мы решаем, сколько учетных записей мы будем использовать. Мы можем работать с компьютером, используя только одну учетную запись администратора по умолчанию. Однако это наименее безопасный вариант. Хорошей практикой является создание учетной записи для каждого пользователя, конечно, с учетом объема всех его потребностей и возможностей. Даже в случае, когда компьютером пользуется только один человек, для повседневной деятельности лучше использовать обычные учетные записи. Ниже приведены способы создания учетных записей:

• В оснастке « Пользователи и локальные группы» выберите « Пользователи» , а затем во всплывающем меню « Действие» на вкладке « Действие » команду « Новый пользователь» . После ввода необходимых данных нажмите кнопку « Создать» .
• Используя команду Net User в командной строке, введите пользователя xxxxxxxx / add (вместо xxxxxxxx введите имя пользователя). Выбирая эту опцию, мы имеем больше возможностей в нашем распоряжении. В предыдущей части статьи я объяснил, как мы можем увидеть его список команд и синтаксиса. Ниже приведен пример команды:
  

  

• В разделе « Учетные записи пользователей» просто выберите ссылку « Создать новую учетную запись» . В процессе создания учетной записи мы устанавливаем только имя и будь то учетная запись администратора или пользователя с ограниченными возможностями . Мы настраиваем дальнейшие настройки после создания учетной записи.
  

Отключение и удаление учетных записей пользователей

Давайте позаботимся о порядке нашей системы. Если у данного пользователя нет или не должно быть доступа к компьютеру, удалите или деактивируйте его учетную запись. Ненужный, забытый профиль может стать воротами для злоумышленника. Отключение его отличается от удаления тем, что после выключения информация и личные файлы пользователя не удаляются, и отключенная учетная запись может быть восстановлена. После удаления профиля восстановить его невозможно. Вся информация об учетной записи хранится в его идентификационном номере - SID. Если мы удаляем учетную запись, SID также удаляется. Каждый SID используется один раз, если мы создадим новую учетную запись, такую ​​же, как ранее удаленная, у нее будет другой SID, поэтому система будет полностью новой. Поэтому, если мы не уверены, что определенный профиль не понадобится однажды, просто отключите его. Существует два способа включения и отключения учетных записей:

• Введите в командной строке: net user xxxxxxxx / active: no (где xxxxxxxx - имя пользователя), чтобы отключить учетную запись, в то время как net user xxxxxxxx / active: yes , когда мы хотим включить их.
• В приложении «Локальные пользователи и группы» дважды щелкните учетную запись, выберите вкладку « Общие », установите (чтобы отключить) или снимите флажок (включить) « Учетная запись отключена» .

У нас есть несколько способов удаления аккаунтов:

• Используя команду Net User , введите net user xxxxxxxx / delete в командной строке (где xxxxxxxx - имя пользователя).
• В оснастке « Пользователи и локальные группы» откройте узел « Пользователи» , щелкните правой кнопкой мыши выбранную учетную запись и выберите параметр « Удалить» во всплывающем меню.
• Используя апплет « Учетные записи пользователей» , выберите учетную запись, которую нужно удалить, затем нажмите кнопку « Удалить учетную запись» . Используя этот метод, мы можем сохранить удаленные пользовательские файлы. В процессе удаления система спросит нас, хотим ли мы сохранить пользовательские файлы. Мы можем выбрать: Сохранить файлы или Удалить файлы . Если мы решим сохранить данные, Windows переместит файлы и папки пользователя с рабочего стола, а папку « Мои документы » в принадлежащую нам папку рабочего стола. Остальная часть профиля пользователя удалена. Однако, если мы решим удалить информацию, Windows удалит учетную запись, профиль и все личные файлы пользователя и его настройки в реестре.

Только апплет учетной записи пользователя при удалении учетной записи также удаляет профиль пользователя и его настройки в реестре. Используя другие инструменты, мы должны сами избавиться от этих ненужных данных. Для этого щелкните правой кнопкой мыши значок « Мой компьютер» и выберите « Свойства» , откройте вкладку « Дополнительно », нажмите кнопку « Настройки» в разделе « Профили пользователей ». Отметьте удаленную учетную запись - учетная запись неизвестна и, наконец, выберите Удалить .

Назначить учетные записи пользователей группам безопасности

После создания соответствующих учетных записей для всех пользователей компьютеров мы должны назначить каждую из них одной или нескольким группам безопасности . Для автономных компьютеров и небольших сетей достаточно встроенных групп. Назначение учетных записей для групп может быть выполнено в Windows XP с использованием различных инструментов:

• Оснастка « Пользователи и локальные группы» предлагает два варианта:
  а) Управление членством в группах одного пользователя. В дереве консоли откройте узел « Пользователи» , в области сведений выберите имя пользователя, откроется диалоговое окно « Свойства », перейдите на вкладку « Член группы ». Когда мы хотим добавить учетную запись в группу, нажмите кнопку « Добавить» и введите имя группы, если мы хотим удалить ее из группы, выберите соответствующий элемент и нажмите « Удалить» .
  

  

  б) Управление членством пользователей в одной группе. В дереве консоли щелкните узел Группы , затем дважды щелкните имя выбранной группы. В диалоговом окне свойств группы нажмите кнопку « Добавить» и введите имя учетной записи, если вы хотите назначить ее группе. Если вы хотите удалить учетную запись из группы, выберите ее и нажмите кнопку « Удалить» .

• Команда Net Localgroup . Мы добавляем учетную запись в группу, используя синтаксис netlocalgroup group name / add (group - имя группы безопасности, name - одно или несколько имен пользователей, разделенных запятыми). Чтобы удалить одного или нескольких членов группы, мы используем тот же синтаксис, заменяя строку / добавить строкой / удалить .
  

  

• Апплет Учетные записи пользователей позволяет добавлять учетные записи в группу « Администраторы» или « Пользователи ». Вы можете быть членом только одной из этих двух групп. В диалоговом окне « Учетные записи пользователей» щелкните имя профиля, а затем нажмите « Изменить тип учетной записи» . Присутствие в других группах безопасности после остается неизменным.
  

Назначение пароля к учетной записи

После создания учетной записи и назначения ее в группу безопасности (часто обе они выполняются автоматически во время установки), вы должны назначить ей пароль (для большинства учетных записей вы должны сделать это самостоятельно). Пароли должны быть трудно угадать. Поэтому лучше всего, если пароль состоит как минимум из 8 случайно выбранных символов. Эти мероприятия проводятся в следующих местах:

• Локальные пользователи и группы . Щелкните узел « Пользователи» , затем щелкните правой кнопкой мыши имя пользователя и выберите команду « Установить пароль» .
• Аккаунты пользователей . Выберите имя учетной записи и нажмите ссылку « Создать пароль» . Апплет User Accounts позволяет ввести подсказку пароля. При определении подсказок, будьте осторожны, чтобы не сказать слишком много о нашем коде. Однако, если мы серьезно относимся к безопасности, мы должны отказаться от этой удобной, но небрежной функции.
• Команда Net User . Мы используем следующий синтаксис: сетевой пароль пользователя . Вместо пользователя введите имя выбранного пользователя. Вместо пароля вы можете ввести одно из трех значений:
  1) установить пароль;
  2) * - система попросит вас ввести пароль, хороший вариант, когда мы создаем учетную запись, а пользователь сам вводит код;
  3) / random - система автоматически сгенерирует 8-значный пароль и отобразит его.

Если у нас уже установлена ​​система и настроены учетные записи, лучше не менять и не удалять пароли для других пользователей. Это приведет к тому, что профиль потеряет все свои личные сертификаты и пароли для веб-сайтов и сетевых ресурсов. Этот механизм предназначен для предотвращения доступа администратора к личным ресурсам пользователя путем изменения пароля.

Защита учетной записи администратора

Если кому-то удастся получить доступ к учетной записи администратора, мы станем практически беззащитными. Злоумышленник может делать с нашим компьютером все, что захочет. Вот почему мы должны особенно заботиться о безопасности этого профиля. Для этого установите для него особо надежный пароль и часто меняйте его. Кроме того, мы можем изменить его название. Злоумышленники ожидают имя администратора, меняя его на другое, и им предстоит преодолеть еще одно препятствие. Для этого в командной строке введите control userpasswords2 . На вкладке Пользователи выберите учетную запись администратора . В поле Имя пользователя введите новое имя.
Разумное решение - изменить имя учетной записи администратора, создать новую с этим именем. Затем добавьте эту учетную запись в группу « Гости » и создайте для нее пароль. Имя Администратор привлекает злоумышленников, но даже если им удастся взломать систему безопасности, они не смогут ничего сделать. Кроме того, мы сможем проверить, пытался ли кто-нибудь проникнуть в систему, благодаря журналу безопасности в Event Viewer (отслеживая, пытался ли кто-нибудь войти в систему как администратор).
Если в дополнение к учетной записи по умолчанию у нас есть другая учетная запись, которая принадлежит группе «Администраторы», мы можем отключить учетные записи по умолчанию. Для этого в оснастке « Пользователи и локальные группы» дважды щелкните учетную запись администратора, установите флажок « Учетная запись отключена» и нажмите кнопку « ОК» .

Безопасность гостевого аккаунта

Пользователи этой учетной записи имеют доступ к установленным программам, файлам в папке « Общие документы » и профилю « Гость» . Аккаунт предназначен для случайных пользователей. Хотя это не позволяет многое, это еще одна дверь, через которую злоумышленники могут попытаться проникнуть в систему.
Если нам не нужна учетная запись для случайных пользователей, мы можем отключить их. Если в будущем возникнет необходимость, мы сможем начать ее заново. Если компьютер не входит в домен, мы можем сделать это в учетной записи пользователя на панели управления (выберите гостевую учетную запись и нажмите « Отключить гостевую учетную запись» ).

Если компьютер включен в домен, чтобы отключить учетную запись «Гость», откройте оснастку «Локальные пользователи и группы» , щелкните узел « Пользователи» и выберите учетную запись «Гость» в окне сведений. В окне Свойства: Гость установите флажок Учетная запись отключена (если вы хотите включить этот флажок).
Следующим шагом повышения уровня безопасности является изменение имени этого профиля. Это делается так же, как в случае учетной записи администратора, описанной выше. Мы также можем изменить имя учетной записи «Гость», предварительно не включив ее. Для этого введите в командной строке следующее: secpol.msc, чтобы запустить локальные параметры безопасности . Мы открываем Параметры безопасности \ Локальные политики \ Параметры безопасности и в окне сведений дважды щелкните Учетные записи: переименовать гостевую учетную запись . Затем введите новое имя.

В случае, если мы не передаем файлы или принтеры в сети с помощью простого общего доступа к файлам , мы можем запретить другим членам сети входить на наш компьютер с использованием учетной записи «Гость». Запускаем « Локальные параметры безопасности» , открываем « Параметры безопасности \ Локальные политики \ Назначить права пользователя» , дважды щелкаем в окне сведений, чтобы запретить доступ к этому компьютеру из сети, и добавляем гостевую учетную запись в список.

Давайте помешать гостевой учетной записи пользователя завершить работу системы. Для этого запустите оснастку « Локальные параметры безопасности» , откройте « Параметры безопасности» \ «Локальная политика» \ «Назначение прав пользователя», дважды щелкните « Завершение работы» и удалите гостевую учетную запись из списка.

Чтобы предотвратить отключение системы из диалогового окна «Добро пожаловать» или « Вход в Windows », в разделе « Локальные параметры безопасности» откройте ветку « Параметры безопасности \ Локальные политики \ Параметры безопасности» и в окне сведений выберите « Закрыть»: разрешить отключение без входа в систему , нажмите « Отключить», а затем « ОК» .

Конечно, любой, кто имеет прямой контакт с компьютером, может просто отключить его от электричества. Поэтому, если гости не смогут отключить систему, имеет смысл, если центральный блок находится в безопасном месте, к которому неавторизованные пользователи не могут получить доступ.
Кроме того, мы также можем запретить гостевому пользователю отображать журналы событий. С помощью этой опции гости могут получать информацию о компьютере, просматривая журналы. Чтобы предотвратить это, мы запускаем редактор реестра и открываем ключ HKLM \ System \ CurrentControlSet \ Services \ Eventlog . Для подразделов Application , Security и System должно быть значение DWORD с именем RestrictGuestAccess, равное 1.

Эффективное использование паролей

Нам нужно понять, насколько важны надежные пароли. Весь расширенный механизм безопасности Windows становится беспомощным, если злоумышленник входит в систему как пользователь с неограниченными возможностями. Пароли - это элементарный инструмент, разработанный, чтобы помочь системе проверить пользователя. По умолчанию только пользователь учетной записи знает пароль для доступа к нему. Давайте удостоверимся, что это предположение всегда выполняется.

Создание надежных паролей

Как правило, пользователи компьютеров используют в качестве паролей некоторые случайные слова, имена, имена любимых команд, специальные даты и т. Д. Для продвинутых программ взлома кода это тривиальные задачи, решение которых занимает несколько минут. Типичная ошибка - выбор слова, в том числе и иностранного. Не выбирайте имена, любимые имена или места. Помните, что вы не оставляете карточку пароля рядом с компьютером. Хороший код содержит не менее 8 символов и представляет собой комбинацию цифр, символов, прописных и строчных букв. Кроме того, его следует периодически менять, и никто не может быть известен никому, кроме нас. Взлом такого пароля - несравненно более сложная задача. Тем не менее, следует помнить, что это можно решить, но требует более длительного периода времени (часто месяцев). Если мы применяем правила безопасности, прежде чем кому-то удастся взломать наш код, он будет изменен.
Единственный недостаток случайных паролей в том, что в большинстве случаев мы их где-то пишем. Умные пользователи имеют свои собственные способы, чтобы компьютерный код был в их голове. Например, используя фразу « J uventus T urine», сыгранную с помощью A C M ilan 2-1 », я создаю пароль:« JTwzAM2-1 ».
Мы можем использовать команду Net User для создания надежного пароля. Для этого в командной строке введите: net user xxxxxx / random (вместо xxxxxx username). Пароль будет сгенерирован и присвоен учетной записи пользователя. В Интернете мы можем найти много случайных программ и сервисов, которые генерируют пароли. Просто введите «генератор паролей» в поисковой системе, чтобы узнать.
Системные пароли могут состоять из 127 символов. По мере увеличения длины увеличивается сложность взлома кода. Мы можем использовать любые символы, включая пробелы. Использование пробелов в паролях помогает создавать длинные фразы. Однако не используйте пробелы в качестве первого или последнего символа, поскольку некоторые приложения усекают эти позиции.

Создание и применение политик паролей.

Все пользователи компьютера должны применять политики в отношении паролей для входа. Большинство правил могут быть применены с помощью консоли Local Security Settings . Чтобы запустить его из командной строки, введите: secpol.msc . Чтобы перейти к политикам паролей для всех учетных записей, откройте узел « Параметры безопасности \ Политики учетных записей \ Правила паролей» .

У нас есть список следующих правил (мы открываем их, дважды щелкнув):

• Применение истории паролей . Windows создает список существующих паролей (до 24), благодаря которому он может контролировать, что пользователь не меняет пароль на тот, который он использовал ранее. Если мы используем эту функцию, мы также должны установить минимальный срок действия пароля. Таким образом, мы не позволим пользователю менять свой пароль несколько раз, а затем снова дадим то, что у него было раньше.
• Максимальный срок действия пароля. Мы устанавливаем здесь срок действия аккаунта (максимум 999 дней). Чтобы отключить эту функцию для выбранной учетной записи, откройте свойства учетной записи в оснастке «Локальные пользователи и группы» и выберите « Срок действия пароля не истекает» .
• Минимальный срок действия аккаунта. Это количество дней (до 999), после которого пароль может быть изменен.
• Минимальная длина пароля. До 14 символов. Изменение этого параметра не влияет на ваши существующие пароли.
• Пароли должны соответствовать требованиям сложности. Включение политики означает: пароли должны состоять как минимум из 6 символов, должны содержать заглавные и строчные буквы, цифры и символы, они не могут содержать части имени или фамилии пользователя. Изменение не влияет на ваши текущие пароли.
• Сохраните пароли для всех пользователей в домене, используя обратимое шифрование. Включение сохраняет пароли с открытым текстом, а не в зашифрованном виде. Это используется очень редко только для совместимости со старыми приложениями.
  

Восстановление забытого пароля

Если мы часто меняем длинные и сложные пароли, весьма вероятно, что когда-нибудь мы сможем забыть об одном из них. Вероятно, разумно защитить себя от такого случая, создав дискету сброса пароля . Благодаря этому мы можем войти в систему, не зная пароля. Мы можем создать его только для нашего локального профиля. Чтобы сделать эту дискету, войдите в учетную запись, для которой вы хотите создать «последнюю доску», затем войдите в консоль учетных записей пользователей на панели управления , щелкните имя своей учетной записи и на панели « Связанные задачи» нажмите « Предотвратить забытый пароль» , таким образом, мы запустим мастер напоминания пароля. , Модуль попросит вас вставить дискету в дисковод и ввести пароль. После окончания работы мастера лучше всего поставить дискету в безопасное место.
Если мы забудем код, Windows предоставит полезные опции во время входа в систему. Если мы используем экран приветствия, окно содержит ссылку « Использовать дискету для сброса пароля». Если экран приветствия выключен, индикатор содержит кнопку « Сброс» . Выбрав один из этих параметров, мастер запросит у вас дискету, а затем новый пароль.
Другое традиционное решение забыть код - войти в систему как администратор и установить другой пароль. Однако это неэффективное решение. После удаления старого кода пользователь теряет все свои личные сертификаты и сохраненные пароли для сайтов и сетевых ресурсов. Без этих сертификатов у него не будет доступа к файлам и электронным письмам, зашифрованным с использованием его индивидуального ключа.

Если мы заранее не создали диск для сброса пароля и не знаем пароль администратора, нам придется остаться в руках хакеров и попробовать некоторые хитрости.
Если наш системный диск имеет формат FAT32, то после определенного времени отображения экрана входа в систему баз, при отсутствии действий с мышью или клавиатурой, система запускает экранную заставку Logon.scr из системной учетной записи, т.е. она имеет полную мощность. Мы можем поставить под него еще одну программу, которая будет работать без входа в систему. Вся операция выглядит так:

1. Мы запускаем систему с дискеты Windows или MS-DOS.
2. Введите команды:
   cd \ windows \ system32 // перейти в папку% SystemRoot% \ System32
   ren logon.scr logon.sav // переименование файла logon.scr
   copy cmd.exe logon.scr // создаем копию cmd.exe под именем logon.scr
3. Вынимаем дискету и перезагружаем компьютер.
4. Подождите, пока вместо заставки не появится командная строка.
5. В окне командной строки введите: nest user administrator ****** (вместо ****** нового пароля).
6. Мы можем войти как администратор, используя новый пароль.

Если мы больше заботимся о безопасности и всех разделах диска, отформатированных с использованием NTFS, этот прием не сработает. Мы можем использовать взломщик паролей. Их работа наиболее эффективна, если мы можем войти как администратор с любой другой учетной записи. Некоторые из этих программ работают после загрузки системы с дискеты или из другой операционной системы (если она была установлена ​​ранее). Вы также можете использовать другой компьютер в сети. Программы взлома паролей используют следующие методы: атака по словарю; получение значения хеш-функции для пароля из базы данных SAM или из памяти; Метод силы, который заключается в проверке всех комбинаций символов. Даже если вам не нужно найти забытый пароль, стоит проверить возможности таких программ и повеселиться с ними. Мы можем проверить надежность наших паролей (и понять, почему так важно использовать длинную сложную комбинацию символов). Несколько таких программ:

Настройка безопасного входа в систему

Защита экрана приветствия

Экран приветствия - это инструмент, который позволяет нам легко и удобно войти в систему. Если мы заботимся о безопасности, к сожалению, мы должны отказаться от этого удобства. Экран приветствия показывает слишком много информации. Каждый может видеть все имена пользователей и подсказки для своих паролей (если мы их используем).

Чтобы отключить отображение экрана приветствия, откройте апплет « Учетные записи пользователей» на панели управления . Затем нажмите « Изменить способ входа или выхода пользователей» , снимите флажок « Использовать экран приветствия» и нажмите « Применить параметры» .
После блокировки экрана приветствия мы используем старый метод входа в систему - диалог входа в Windows . Однако мы больше не можем использовать функцию быстрого переключения пользователей , которая позволяет вам войти в другую учетную запись, не выходя из той, над которой мы работаем в настоящее время. Благодаря этой функции несколько пользователей могут войти в систему одновременно, и программы, работающие на учетных записях, в настоящее время мы не используем в фоновом режиме. Если нам так важна эта функция, что мы не хотим избавляться от экрана приветствия, мы можем хотя бы повысить уровень его безопасности. У нас есть два способа использования:

• Приветствуются только члены групп Администраторы, Гости, Пользователи и Опытные пользователи. Мы можем изменить членство в группах учетных записей, которые мы хотим скрыть.
• Мы также можем изменить настройки в реестре. Для этого запустите редактор реестра , а затем откройте ключ HKLM \ Software \ Microsoft \ Windows NT \ Текущая версия \ Winlogon \ SecialAccounts \ UserList , создайте новое значение DWORD , назовите его как учетную запись, которую вы хотите скрыть, и установите значение 0.

Теперь, используя экран приветствия, чтобы войти в скрытую учетную запись, дважды нажмите клавиши Ctrl + Alt + Delete , чтобы появилось диалоговое окно « Вход в систему Windows ». Мы вводим имя и пароль в нем. Однако мы не можем переключиться на учетные записи пользователей, которые скрыты на экране приветствия, поскольку двойное нажатие клавиш Ctrl + Alt + Delete работает, только если никто не вошел в систему.

Обеспечение классического входа

Классический вход в систему требует нажатия клавиш Ctrl + Alt + Delete для отображения окна входа в Windows, в котором мы вводим имя пользователя и пароль. Чтобы защитить этот способ входа в систему, мы открываем диалоговое окно « Выполнить » и вводим управляющий пароль пользователя 2. Точно перед каждым входом в систему пользователь должен был использовать безопасную последовательность вызовов [Ctrl + Alt + Delete] , перейдите на вкладку « Дополнительно » и выберите « Требовать пользователей, чтобы нажать Ctrl + Alt + Delete» . Следующим шагом является отключение опции автологизации. Для этого перейдите на вкладку « Пользователи » и выберите « Чтобы использовать этот компьютер, пользователь должен ввести имя пользователя и пароль» .

Контроль автоматического входа

Как правило, для повышения уровня компьютерной безопасности мы отказываемся от функций автологизации. Этот процесс состоит в том, чтобы пропустить процедуру ввода пароля. После запуска системы мы сразу переходим на рабочий стол. Однако есть случаи, когда аутологирование полезно. Например, если мы являемся единственными пользователями компьютера и, кроме того, он находится в месте, где к нему не имеет доступа посторонний человек, эта функция не представляет особой опасности для нас, что делает его более удобным для использования компьютера. Эта процедура также может оказаться полезной. Пользователь даже не может выбрать учетную запись, но использует ту, которая автоматически входит в систему.
Чтобы включить автологизацию в окне « Выполнить» , введите управляющие пароли пользователей2 и на вкладке « Пользователи ». Чтобы использовать этот компьютер, введите имя пользователя и пароль . Затем нажмите кнопку « ОК» , чтобы запросить учетную запись пользователя, который будет автоматически запущен.
Результатом этого действия является несколько изменений в разделе сайта HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon . Значение создается с именем DefaultUserName и устанавливается с указанным именем пользователя. Если учетная запись не является локальной учетной записью, создается строковое значение DefaultDomainName, которого К началу страницы Устанавливается для имя домена данной учетной записи пользователя . Строковое значение AutoAdminLogon также добавляется и устанавливается равным 1.
Мы можем внести несколько изменений, которые влияют на процесс автологизации. Этот процесс начинается только в начале. Мы можем изменить это, добавив строковое значение AutoLogon и установив его в 1.
По умолчанию, мы блокируем автоматики. Если мы хотим отказаться от этой опции, мы добавим строковое значение IgnoreShiftOverride и устанавливаем его равным 1.
Мы можем установить количество действий автолога, после чего эта функция будет отключена. Чтобы ограничить количество действий в этой процедуре, мы добавляем значение DWORD с именем AutoLogonCount и даем выбранное число. Во время каждого запуска системы число будет уменьшаться на 1. Когда число достигает 0, функция будет отключена - система изменит значение AutoAdminLogon на 0 и удалит значение AutoLogonCount .

Приветственное сообщение

Вы можете поместить сообщение прямо перед окном входа в Windows . Это может быть дружеское приветствие или предупреждение. Это не является частью системы безопасности, но существуют ситуации, когда, например, требуется предупреждение о том, что неавторизованный пользователь является незаконным для применения санкций (санкционировано законом). Если однажды мы окажемся в такой (мы должны признать немного напряженной :)) ситуации, то нам придется предпринять следующие шаги:

• Введите команду: secpol.msc в окне « Выполнить» , которое откроет Local Security Settings .
• Открываем ветку: Настройки безопасности \ Локальная политика \ Параметры безопасности .
• Дважды щелкните интерактивный вход в систему: заголовок сообщения для пользователей, пытающихся войти в систему , введите текст, который будет отображаться в строке заголовка предупреждения, и нажмите кнопку « ОК» .
• Дважды щелкните Правило интерактивного входа в систему: текст сообщения для пользователей, пытающихся войти в систему , введите заголовок

и текст предупреждения и выберите ОК .

Мы также можем создать это сообщение, изменив два строковых значения в разделе реестра HKLM \ Software \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon . Мы вводим значение LegalNoticeCaption в качестве содержимого панели, а значение LegalNoticeText в качестве содержимого самого сообщения.

Политика блокировки учетной записи

Эффективная защита от пользователя или программы, пытающейся проникнуть в систему путем последовательного ввода различных паролей, - это установка политики блокировки учетной записи. Мы можем настроить их с помощью консоли Local Security Settings , которую мы запускаем после ввода командной строки secpol.msc . Мы открываем Настройки безопасности \ Политики учетной записи \ Политика блокировки учетной записи и дважды щелкаем по выбранной политике, у нас есть:

• Продолжительность блокировки аккаунта. Число, определяющее время блокировки пользователя. Значение 0 означает, что учетная запись будет заблокирована навсегда (пока она не будет разблокирована администратором). Максимальное значение составляет 9999 минут или около 69 дней.
• Порог блокировки учетной записи. Число (от 1 до 999), указывающее лимит неудачных входов в систему за определенный промежуток времени, пересечение которого заблокирует учетную запись.
• Сброс счетчика блокировки учетной записи после. Число (от 0 до 99999 минут), указывающее период, в течение которого применяется лимит неудачных попыток входа в систему. Если мы установим 10 минут, это означает, что после этого периода количество испытаний обнуляется, и отсчет начинается с начала.

Дополнительная защита благодаря инструменту Syskey

Syskey защищает базу данных SAM, которая содержит информацию об учетных записях. Использует ключ запуска для шифрования базы данных. Стандартный ключ - это сгенерированный ключ, хранящийся на локальном компьютере. Syskey предотвращает атаки, заключающиеся в запуске другой операционной системы и копировании SAM или краже резервной копии, это очень хорошая защита информации о паролях в реестре.
Если у злоумышленника есть физический доступ к компьютеру, а также хороший взломщик паролей и много времени, он может узнать наши пароли. Если мы ожидаем, что существует вероятность такой атаки на устройство, мы можем использовать инструмент Syskey для дополнительной защиты. Мы должны настроить их так, чтобы ключ запуска не сохранялся на компьютере. С этого момента первое окно, которое появляется при включении компьютера, будет тем, в котором вы должны ввести пароль ключа запуска. Без этого пароля или дискеты, на которой записан пароль, ничего нельзя сделать на компьютере. Если вы потеряете дискету или забудете свой пароль, единственным решением будет использование диска автоматического восстановления системы (ASR) и восстановление реестра из резервной копии, созданной до включения ключа запуска. Однако, если мы решим, что нам нужен этот дополнительный защитный слой, мы должны сделать следующее:

• Введите в командной строке syskey .
• Нажмите Обновить .
  

  

• Мы выбираем один из вариантов: « Запуск с паролем» или « Сохранение ключа запуска на гибком диске» (по умолчанию установлено « Сохранить ключ запуска локально» ) и нажмите « ОК».

  

Похожие

Комментарии