Diretiva de segurança local pode não refletir precisão real configurações do sistema

Depois de aplicar uma diretiva de segurança personalizado usando o secedit /configure comando em um prompt de comando ou a ferramenta Configuração e análise de segurança, não todas as alterações sejam refletidas na ferramenta Diretiva de segurança local.

Diretiva de segurança local exibe locais e diretivas em vigor (domínio mais local) que estão em uso no sistema. Embora uma diretiva não pode estar definida, o Windows 2000 deve se comportar deterministicamente e sempre pressupõe algum valor de sistema padrão para a configuração. Por design, diretiva de segurança local exibe somente diretivas; ele não exibe esses valores padrão.

Quando você faz uma alteração em uma configuração de sistema subjacente que também tem uma definição de diretiva, Local Security Policy detecta a alteração e atualiza a diretiva de segurança local adequadamente. Quando você faz uma alteração em uma configuração de sistema subjacente que não tem nenhuma definição de diretiva, a definição de diretiva permanece "Não definida".

Use a ferramenta Configuração e análise de segurança para confirmar que a diretiva de segurança personalizado está sendo aplicada corretamente em vez de usar a ferramenta Diretiva de segurança local.

A Microsoft confirmou que este é um problema nos produtos da Microsoft listados no começo deste artigo.

Dois exemplos que ilustram esse problema são definindo "Renomear conta do convidado" e "MaximumPasswordAge" em um arquivo .inf de segurança personalizado e aplicá-las com Secedit.exe.

Porque "Renomear conta do convidado" não está definida na diretiva de segurança local, aplicar uma diretiva personalizada usando o secedit /configure comando ou a ferramenta Configuração e análise de segurança resulta em diretiva de segurança local não refletindo que essa configuração de segurança está em uso. Ele é ainda indefinido porque para esse valor, a ferramenta Diretiva lê o arquivo de banco de dados de diretiva, não as configurações atuais. Quando você faz uma alteração usando a ferramenta diretiva, a alteração é registrada no banco de dados de diretiva e posterior aplicada ao sistema. As alterações feitas fora da ferramenta Diretiva de nunca são registradas no arquivo de banco de dados de diretiva e não são exibidas na ferramenta de diretiva.

No entanto, aplicar uma diretiva personalizada com "MaximumPasswordAge" definido, que também é definida na diretiva de segurança local, aparece na ferramenta Diretiva de segurança local. Pode haver um atraso antes da alteração é refletida. Para diminuir esse atraso, você pode forçar manualmente diretivas para reaplicar com 'secedit /refreshpolicy'. Após a diretiva com êxito conclusão do processamento, recarregue as configurações de segurança a ferramenta Diretiva de segurança local e as configurações atualizadas serão refletidas.