IZONE - http://www.izcity.com/ - бесплатный софт, вэб-сервисы, ресурсы для раскрутки, свежие номера журнала "Internet Zone".

Разделяй и властвуй

Этот принцип великого римского полководца давно известен, но оказывается, он может помочь нам защитить компьютер от чрезмерного любопытства или "мании вредительства" пользователей.

Александр Полянский

Одним из самых наболевших вопросов системных администраторов при организации работы является вопрос о защите Windows от любопытных пользователей. И больше всего, на мой взгляд, эта проблема касается компьютерных классов и компьютерных клубов, поскольку в этих заведениях невозможно закрепить каждый компьютер за конкретным лицом и заставить его отвечать за работоспособность компьютера. К превеликому нашему сожалению, компания Microsoft не оснастила Windows 9х/Ме надежными средствами защиты, хотя спрос на эти средства достаточно высокий. Но, как говорится, спрос формирует предложение, и постепенно начали появляться утилиты, которые могут обеспечить ту или иную степень защиты. Наилучшим вариантом, на мой взгляд, является использование комплекса из двух-трех программ для создания мощной системы Real Security. Либо можно просто прописать кучу параметров в реестре, после чего запретить его редактирование и наслаждаться плодами своей работы. Первый способ более прост и безопасен, но на вкус и цвет… Мы рассмотрим оба способа создания защиты.

Утилита RESTrick: преимущесва и недостатки

Основными преимуществами утилиты, на мой взгляд, являются ее русский интерфейс, простота в использовании и возможность разрешать запуск определенных приложений, а самым большим недостатком – то, что ее нельзя скрыть от пользователя, но оставить доступной для администратора. К недостаткам или недочетам разработчиков можно отнести и тот факт, что эта утилита хранит свои файлы в отдельной папке, что повышает ее уязвимость. Кроме того, RESTrick запрещает редактирование реестра путем запрета запуска Regedit.exe, но ведь есть еще и альтернативные редакторы! Похоже, разработчики не учли эту маленькую особенность.

Более подробно эта утилита описана в статье "Защита от дурака", а дистрибутив находится на сайте разработчика.

Утилита Tweak UI (разработчик Microsoft)

Утилита Tweak UI является альтернативой и англоязычным (хотя уже есть и русскоязычная версия) аналогом программы RESTrick. Tweak UI позволяет запрещать доступ к различным параметрам и настройкам.

Немаловажной особенностью программы является то, что она работает исключительно с данными реестра, и в режиме запрета на редактирование реестра при попытке запустить программу выдает сообщение об ограничении прав:

В отличие от нее RESTrick может запустить любой пользователь. Единственный известный мне сейчас способ запретить запуск RESTrick – скрыть этот аплет из “Панели управления”. Но администратор в таком случае теряет возможность контроля за компьютером, и при необходимости, например, добавить сетевой диск вам придется, как минимум, восстановить резервные файлы реестра и профили.

Tweak UI работает под Windows_95/98/ME/2000/NT. Скачать файл установки можно с этого сайта (размер архива составляет 110 Кб.). Имейте в виду, что, скачав необходимый архивный файл и разархивировав его, в образовавшейся папке вы не обнаружите привычного setup.exe или install.exe. Там будет находиться файл tweakui.inf, на котором необходимо кликнуть правой кнопкой мыши, выбрать команду "установить" (setup) и дождаться ее выполнения.

Единственной загвоздкой во всей системе защиты при использовании этих утилит является то, что нельзя их скрыть от очень любопытных пользователей. Вот тут-то и понадобится дополнительная утилита e-Admin, разработанная автором этой статьи.

Утилита e-Admin

e-Admin является небольшой программой, которая существенно облегчает жизнь системным администраторам. Она позволяет отключить/включить возможность редактирования реестра Windows. Это надежнее, чем запретить/разрешить запуск утилиты Tweak UI. Кроме этого, e-Admin позволяет контролировать свойства экрана, принтера, сети, конфигурировать главное меню. Скачать файл установки можно здесь (размер архива составляет 235 Кб.).

Часто бывает, что пользователь то ли от незнания, то ли из любопытства пытается что-то создавать, изменять, редактировать, и зачастую после определенных манипуляцией над системой он (пользователь) выводит ОС из строя, от чего страдают все: администратор должен срочно устранить неполадку, а на это время организация лишается одного рабочего места со всеми вытекающими отсюда последствиями.

Для предотвращения подобных ситуаций необходимо внести в систему некоторые ограничения. Многие из этих ограничений можно создать без помощи утилит, всего лишь прописав в реестре Windows определенные ключи.

Параметр NoConfigPage: скрытие вкладки "Профили оборудования" (Windows 98)

Обыкновенному пользователю незачем проникать в данную вкладку и менять там что-нибудь. Когда этот параметр включен, вкладка "Профили оборудования" будет скрыта в свойствах системы.

Параметр NoDevMgrPage: скрытие вкладки "Устройства" (Windows 98)

А этот параметр управляет видимостью вкладки "Устройства" в свойствах системы. Как-то я присутствовал на одной конференции, где обсуждался вопрос об улучшении сопровождения учебно-методического процесса в вузах. Выяснилось, что одной из злободневных проблем системных администраторов является несанкционированный доступ и удаление из вкладки “Устройства” различного оборудования. А если учесть тот факт, что основные манипуляции с оборудованием в организациях осуществляет системный администратор, то логично предположить, что пользователю даже необязательно догадываться о существовании такой закладки.

Параметр NoFileSysPage: скрытие кнопки "Файловая система..." (Windows 98)

Этот параметр скрывает кнопку "Файловая система..." на вкладке "Быстродействие" в свойствах системы. Хотя кардинально изменить работу компьютера при внесении изменений в “Файловую систему” невозможно, но все же я считаю, что пользователю нужно заниматься работой (учебой), а не исследовать воздействие неквалифицированных действий на ОС:).

Параметр NoVirtMemPage: скрытие кнопки "Виртуальная память..." (Windows 98)

А вот шалости с “Виртуальной памятью” могут значительно подпортить настроение как пользователю, так и администратору. Ведь неправильно установленный объем виртуальной памяти способен очень сильно “тормозить” компьютер, так что лучше скрыть эту кнопку на вкладке "Быстродействие" в свойствах системы.

Параметр NoDispAppearancePage: скрытие вкладки "Оформление" (Windows 98 и NT)

Скрытие вкладки “Оформление” в диалоговом окне свойств экрана не является обязательным, но в случаях, когда одним компьютером пользуются несколько человек (например, в компьютерном классе), желательно предотвратить возможность постоянного изменения параметров этой закладки, так как у пользователей будет уходить большое количество времени на перенастройку оформления под себя.

Параметр NoDispBackgroundPage: скрытие вкладки "Фон" (Windows 98 и NT)

“Фон” - казалось бы, совершенно безобидная закладка. Но если поместить на “Рабочий стол” полноэкранную картинку, то это безобидное удовольствие проглотит около 2 мегабайт оперативной памяти вашего компьютера. Ежели для вас 2 Мб памяти – это не актуально, то тогда эти действия не являются обязательными.

Параметр NoDispScrSavPage: скрытие вкладки "Заставка" (Windows 98 и NT)

Читатели могут мне возразить, что даже если заставка и использует оперативную память, то лишь в случае, когда компьютер простаивает. Я с вами полностью согласен, и если вас не беспокоит факт наличия на винчестере 15-20 Мб заставок, то можно этот параметр и не создавать.

Параметр NoDispSettingsPage: скрытие вкладки "Настройка" (Windows 98 и NT)

“Настройка” - это, на мой взгляд, закладка, которую необходимо скрыть в первую очередь. Чтобы продемонстрировать необходимость таких действий, приведу один пример: новый методист кафедры, устав от рутинной работы (она набирала учебные программы на предстоящий семестр), решила отдохнуть и вспомнить, о чем когда-то рассказывали им на курсах “Пользователь ПК”. Случайно она изменила настройки таким образом, что на мониторе вместо привычного рабочего стола пошли полосы, а перезагрузить компьютер было нельзя, поскольку леди забыла сохранить изменения. Для избежания подобных ситуаций после настройки компьютера должным образом эту вкладку необходимо скрыть.

Итак, все вышеперечисленные параметры имеют ключ: [HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\ Policies\System]
Тип: REG_DWORD
Значение: 0 = отключено, 1 = включено

И еще один совет любителям ковыряться в реестре: перед началом экспериментов не забывайте создавать резервные копии той ветви, которую собираетесь редактировать, или всего реестра.

Название статьи - “Разделяй и властвуй” - неслучайно, поскольку в основу своей технологии защиты Windows я положил именно этот принцип:

Шаг 1: Разбиваем физический диск на два логических, второй по возможности называем (например, Х).

Шаг 2: Устанавливаем оперционную систему и программное обеспечение на второй диск.

Шаг 3: Переносим папку мои документы на С: диск, для этого необходимо запустить редактор реестра. В ключе HKEY_USERS\.Default\Software\ Microsoft\Windows\Curent Version\Explorer\Shell Folders есть строковый параметр Personal, нужно изменить его на “C:\Мои документы”, после этого скопировать одноименную папку на диск С:.

Шаг 4: Устанавливаем утилиту Tweak UI и с ее помощью скрываем диск с операционной системой (закладка My Computer), кроме этого, если есть необходимость, можно также скрыть из “Панели инструментов” все “ненужные” элементы.

Шаг 5: Для обеспечения защиты необходимо запретить запуск DOS. Для этого в разделе HKEY_CURRENT_USER\Software\Microsoft\ Windows\Current version\Policies\ WinOldApp нужно создать параметр NoRealMode и присвоить ему значение 0х000001, удаление этого параметра или установка его в ноль снова разрешает режим MS DOS.

Шаг 6: В завершение необходимо при помощи программы e-Admin запретить редактирование реестра (это запретит запуск утилиты Tweak UI), а также установить дополнительные ограничения, после чего переместить эту программу в недоступное для юзеров место.

Источник (оригинал) - SoftТерра, http://www.softerra.ru

 


Copyright © "Internet Zone", http://www.izcity.com/, info@izcity.com