מאמר זה מתאר כיצד להשתמש במדיניות קבוצתית כדי לקבוע הגדרות ביקורת אבטחה למחשבי לקוח של Microsoft Windows Vista בתחום של Windows Server 2003 או בתחום של Windows 2000. מערכת Windows Vista מאפשרת לך לנהל את מדיניות הביקורת ברמה מפורטת יותר, באמצעות קטגוריות משנה של מדיניות הביקורת. מאמר זה מתאר הליך שבאמצעותו יכולים מנהלי מערכת לפרוס מדיניות ביקורת מותאמת אישית המחילה הגדרות ביקורת אבטחה מפורטות במחשבי לקוח של Windows Vista.
מאמר זה מסביר כיצד להשתמש במדיניות קבוצתית כדי לקבוע הגדרות מפורטות של ביקורת אבטחה למחשבי לקוח של Windows Vista בתחומים של Windows Server 2003 או Windows 2000. ב-Windows Vista, ניתנת לך שליטה מוגברת בקטגוריות המשנה השונות של מדיניות הביקורת בהשוואה לגירסאות קודמות של מערכת ההפעלה Windows. קטגוריות המשנה השונות של מדיניות הביקורת הזמינות ב-Windows Vista אינן נחשפות בממשק של כלי המדיניות הקבוצתית. מנהלי מערכת יכולים להיעזר בהליך המתואר במאמר זה כדי לפרוס מדיניות ביקורת מותאמת אישית, המחילה הגדרות ביקורת אבטחה מפורטות על מחשבי לקוח של Windows Vista בתחום של Windows Server 2003 או בתחום של Windows 2000.
להלן כמה נקודות שיש להביא בחשבון לפני ביצוע ההליך הנדון במאמר זה:
ההליך עושה שימוש בקוד לדוגמה. הקוד לדוגמה משתמש במיקום המשותף של Netlogon. בנוסף, הקוד לדוגמה משתמש בתיקיה ?%SystemRoot%\Temp כמטמון.
ההליך עושה שימוש בתחום לדוגמה ששמו Contoso.com.
ההליך מבוסס על ההנחה שמתקיימים התנאים הבאים:
אתה בקי בהפעלת הטכנולוגיות והכלים הבאים:
קבצי script של הפעלת מדיניות קבוצתית
מסוף ניהול של מדיניות קבוצתית
כלי שורת הפקודה Auditpol.exe
יש לך הבנה בסיסית בעיבוד קבצי אצווה.
באפשרותך לקבוע את התצורה של מדיניות ביקורת אחת למחשבי לקוח של Windows Vista בתחום של Windows Server 2003 או של Windows 2000. מדיניות הביקורת מוקצית למדיניות ברירת המחדל של תחום.
אתה מכיר היטב את קבצי ה-script שההליך מתבסס עליהם כדי לעקוף את הגדרות מדיניות הביקורת הישנות המבוססות על תחומים בעזרת הגדרות מדיניות הביקורת המפורטות הזמינות ב-Windows Vista. אם אינך מעוניין לקבוע את הגדרות מדיניות הביקורת המפורטות הזמינות ב-Windows Vista, אל תשתמש בהליך המתואר במאמר זה.
השתמש במדיניות קבוצתית כדי לקבוע הגדרות ביקורת אבטחה מפורטות למחשבי לקוח של Windows Vista
כדי להשתמש במדיניות קבוצתית לקביעת הגדרות ביקורת אבטחה מפורטות למחשבי לקוח של Windows Vista בתחום של Windows Server 2003 או בתחום של Windows 2000, בצע את השלבים הבאים.
שלב 1: קבע אילו הגדרות ביקורת אבטחה ברצונך לפרוס במחשבי לקוח של Windows Vista.
היכנס למחשב שבו פועלת מערכת ההפעלה Windows Vista כמשתמש בעל אישורי מנהל מערכת.
לחץ על התחל, הצבע על כל התוכניות, לחץ על עזרים, לחץ בעזרת לחצן העכבר הימני על שורת הפקודה ולאחר מכן לחץ על הפעל כמנהל.
בתיבת הדו-שיח בקרת חשבונות משתמשים, לחץ על המשך.
רוקן את הגדרות ברירת המחדל של מדיניות הביקורת. לשם כך, הקלד את הפקודה הבאה בשורת הפקודה ולאחר מכן הקש על ENTER:?
auditpol /clear
השתמש בכלי שורת הפקודה Auditpol.exe כדי לקבוע את ההגדרות המותאמות אישית של מדיניות הביקורת הדרושות לך.
לדוגמה, הקלד בשורת הפקודה את השורות הבאות. הקש על ENTER לאחר כל שורה.
auditpol /set /subcategory:"IPSEC Main Mode" /failure:enable
שים לב כדי להציג את כל הקטגוריות ואת כל קטגוריות המשנה האפשרויות, הקלד את הפקודה הבאה בשורה הפקודה ולאחר מכן הקש על ENTER:?
auditpol /list /subcategory:*??
הקלד את הפקודה הבאה בשורת הפקודה ולאחר מכן הקש על ENTER:?
auditpol /backup /file:auditpolicy.txt
העתק את הקובץ Auditpolicy.txt אל המיקום המשותף של Netlogon של בקר התחום המחזיק בתפקיד של אמולטור PDC (בקר תחום ראשי) בתחום.
קובץ זה מכיל את כל הגדרות מדיניות הביקורת שקבעת. קובץ ה-script להפעלה משתמש בקובץ זה כדי להחיל מחדש את המדיניות. לאחר שתחיל בהצלחה את קובץ ה-script להפעלה פעם אחת, לא תצטרך להפעיל את המחשב מחדש כדי לעדכן את הגדרות מדיניות הביקורת. כדי לעדכן את הגדרות מדיניות הביקורת, דרוס את הגירסה הקודמת של הקובץ Auditpolicy.txt שהעתקת אל המיקום המשותף של Netlogon. לשם כך, צור קובץ Auditpolicy.txt חדש והעתק את קובץ ה-Auditpolicy.txt החדש אל המיקום המשותף של Netlogon.
שלב 2: מנע החלפה של מדיניות הביקורת במחשבי לקוח של Windows Vista על-ידי מדיניות ביקורת תחום מדור קודם
כדי למנוע החלפה של מדיניות הביקורת על-ידי מדיניות תחום מדור קודם, יש להפוך לזמינה את הגדרת המדיניות אלץ החלפת הגדרות של קטגוריות של מדיניות ביקורת בהגדרות של קטגוריות משנה של מדיניות ביקורת (Windows Vista או עדכניות יותר). הדבר ימנע ממדיניות הביקורת המבוססת על התחום לדרוס את הגדרות מדיניות הביקורת המפורטות יותר שהחלת במחשבי הלקוח של Windows Vista. לשם כך, בצע את השלבים הבאים:
במחשב לקוח של Windows Vista המצורף לתחום, פתח את מדיניות ברירת המחדל של התחום.
הרחב את תצורת מחשב, הרחב את הגדרות Windows, הרחב את הגדרות אבטחה, הרחב את פריטי מדיניות מקומיים ולחץ על אפשרויות אבטחה.
לחץ פעמיים על ביקורת: ??כפה עקיפה של הגדרות קטגוריות של מדיניות ביקורת על-ידי הגדרות של קטגוריות משנה של מדיניות ביקורת (Windows Vista ואילך).
לחץ על מופעל ולאחר מכן לחץ על אישור.
שלב 3: צור את קבצי ה-scripts והוסף אותם למיקום המשותף של Netlogon
?????Microsoft מספקת את דוגמאות התכנות שלהלן להמחשה בלבד וללא כל אחריות, בין מפורשת ובין משתמעת, ובכלל זה, אך לא רק, אחריות לגבי סחירות או התאמה למטרה מסוימת. מאמר זה מבוסס על ההנחה שאתה מכיר את שפת התכנות המודגמת ובקי בהפעלת הכלים המשמשים ליצירת פרוצדורות ולניפוי שגיאות. מהנדסי התמיכה של Microsoft יכולים לסייע בהסברת הפונקציונליות של פרוצדורה מסוימת, אך הם לא ישנו את הדוגמאות כדי לספק פונקציונליות נוספת או כדי לבנות פרוצדורות שיענו על צרכיך הספציפיים.
צור את קובץ ה-script? AuditPolicy.cmd. לשם כך, בצע את השלבים הבאים:
הפעל את 'פנקס רשימות' ופתח מסמך ריק.
הדבק את הקוד הבא במסמך שב'פנקס רשימות':
?@echo off
REM AuditPolicy.cmd
REM (c) 2006 Microsoft Corporation. All rights reserved.
REM Sample Audit Script to deploy Windows Vista
REM Granular Audit Policy settings.
REM Should be run as a startup script from Group Policy
REM ###################################################
REM Declare Variables so that we only need to edit file
REM names/paths in one location in script
REM ###################################################
set AuditPolicyLog=%systemroot%\temp\auditpolicy.log
set OSVersionSwap=%systemroot%\temp\osversionwap.txt
set OsVersionTxt=%systemroot%\temp\osversion.txt
set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
set ApplyAuditPolicyCMD=applyauditpolicy.cmd
set AuditPolicyTxt=auditpolicy.txt
REM ###################################################
REM Clear Log & start fresh
REM ###################################################
if exist %AuditPolicyLog% del %AuditPolicyLog% /q /f
date /t > %AuditPolicyLog% & time /t >> %AuditPolicyLog%
echo.
REM ###################################################
REM Check OS Version
REM ###################################################
ver | findstr "[" > %OSVersionSwap%
for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
echo OS Version=%osversion% >> %AuditPolicyLog%
REM ###################################################
REM Skip Pre-Vista
REM ###################################################
if "%osversion%" LSS "6.0" exit /b 1
REM ###################################################
REM Get Domain Name
REM ###################################################
WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
echo Machine domain=%machinedomain% >> %AuditPolicyLog%
REM ###################################################
REM Copy Script & Policy to Local Directory or Terminate
REM ###################################################
xcopy \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% %systemroot%\temp\*.* /r /h /v /y
if %ERRORLEVEL% NEQ 0 (
echo Could not read \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% >> %AuditPolicyLog%
exit /b 1
) else (
echo Copied \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% to %systemroot%\temp >> %AuditPolicyLog%
)
xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
if %ERRORLEVEL% NEQ 0 (
echo Could not read \\%machinedomain%\netlogon\%AuditPolicyTxt% >> %AuditPolicyLog%
exit /b 1
) else (
echo Copied \\%machinedomain%\netlogon\%AuditPolicyTxt% to %systemroot%\temp >> %AuditPolicyLog%
)
REM ###################################################
REM Create Named Scheduled Task to Apply Policy
REM ###################################################
%systemroot%\system32\schtasks.exe /create /ru System /tn audit /sc hourly /mo 1 /f /rl highest /tr "%systemroot%\temp\%ApplyAuditPolicyCMD%"
if %ERRORLEVEL% NEQ 0 (
echo Failed to create scheduled task for Audit >> %AuditPolicyLog%
exit /b 1
) else (
echo Created scheduled task for Audit >> %AuditPolicyLog%
)
REM ###################################################
REM Start Named Scheduled Task to Apply Policy
REM ###################################################
%systemroot%\system32\schtasks.exe /run /tn audit
if %ERRORLEVEL% NEQ 0 (
Failed to execute scheduled task for Audit >> %AuditPolicyLog%
) else (
echo Executed scheduled task for Audit >> %AuditPolicyLog%
)
בתפריט קובץ, לחץ על שמור.
בתיבה שמור כסוג, לחץ על All Files, הקלד AuditPolicy.cmd בתיבה שם הקובץ ולאחר מכן לחץ על שמור.
צור את קובץ ה-script? ApplyAuditPolicy.cmd. לשם כך, בצע את השלבים הבאים:
הפעל את 'פנקס רשימות' ופתח מסמך ריק.
הדבק את הקוד הבא במסמך שב'פנקס רשימות':
?@echo off
REM ApplyAuditPolicy.cmd
REM (c) 2006 Microsoft Corporation. All rights reserved.
REM Sample Audit Script to deploy Windows Vista
REM Granular Audit Policy settings.
REM ###################################################
REM Declare Variables so that we only need to edit file
REM names/paths in one location in script
REM ###################################################
set DeleteAudit=DeleteAudit.txt
set AuditPolicyLog=%systemroot%\temp\AuditPolicy.log
set ApplyAuditPolicyLog=%systemroot%\temp\ApplyAuditPolicy.log
set OSVersionSwap=%systemroot%\temp\osversionwap.txt
set OsVersionTxt=%systemroot%\temp\osversion.txt
set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
set ApplyAuditPolicyCMD=ApplyAuditpolicy.cmd
set AuditPolicyTxt=AuditPolicy.txt
REM ###################################################
REM Clear Log & start fresh
REM ###################################################
if exist %ApplyAuditPolicyLog% del %ApplyAuditPolicyLog% /q /f
date /t > %ApplyAuditPolicyLog% & time /t >> %ApplyAuditPolicyLog%
echo.
REM ###################################################
REM Check OS Version
REM ###################################################
ver | findstr "[" > %OSVersionSwap%
for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
echo OS Version=%osversion% >> %ApplyAuditPolicyLog%
REM ###################################################
REM Skip Pre-Vista
REM ###################################################
if "%osversion%" LSS "6.0" exit /b 1
REM ###################################################
REM Get Domain Name
REM ###################################################
WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
echo Machine domain=%machinedomain% >> %ApplyAuditPolicyLog%
REM ###################################################
REM Delete Audit Task
REM Should only be used to remove the pseudo-policy from
REM client machines (designed for future Vista revisions
REM where this script will no longer be necessary, and this
REM script needs to be backed out).
REM to use, simply create a file in NETLOGON with a name
REM that matches the contents of DeleteAudit variable (above)
REM ###################################################
if exist \\%machinedomain%\netlogon\%DeleteAudit% (
%systemroot%\system32\schtasks.exe /delete /tn "Audit" /F
DEL %AuditPolicyLog%
DEL %ApplyAuditPolicyLog%
DEL %OSVersionSwap%
DEL %OsVersionTxt%
DEL %MachineDomainTxt%
DEL %MachineDomainSwap%
DEL %systemroot%\temp\%ApplyAuditPolicyCMD%
DEL %systemroot%\temp\%AuditPolicyTxt%
exit /b 1
)
REM ###################################################
REM Copy Audit Policy to Local Directory
REM This is tolerant of failures since the copy is just
REM a "cache refresh".
REM ###################################################
xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
if %ERRORLEVEL% NEQ 0 (
echo Could not read \\%machinedomain%\netlogon\%AuditPolicyTxt% so using previous cached copy>> %ApplyAuditPolicyLog%
) else (
echo Copied \\%machinedomain%\netlogon\%AuditPolicyTxt% to %systemroot%\temp >> %ApplyAuditPolicyLog%
)
REM ###################################################
REM Apply Policy
REM ###################################################
%systemroot%\system32\auditpol.exe /restore /file:%systemroot%\temp\%AuditPolicyTxt%
if %ERRORLEVEL% NEQ 0 (
Failed to apply audit settings >> %ApplyAuditPolicyLog%
) else (
echo Successfully applied audit settings >> %ApplyAuditPolicyLog%
)
בתפריט קובץ, לחץ על שמור.
בתיבה שמור כסוג, לחץ על All Files, הקלד ApplyAuditPolicy.cmd בתיבה שם הקובץ ולאחר מכן לחץ על שמור.
העתק את קובץ ה-script? AuditPolicy.cmd ואת ApplyAuditPolicy.cmd למיקום המשותף של Netlogon של בקר התחום המחזיק בתפקיד של אמולטור PDC בתחום.
המתן עד שיתרחש שכפול של Active Directory. נוסף לכך, המתן עד שכל הקבצים והתיקיות בתיקיה המשותפת של המערכת (SYSVOL) יעברו שכפול בבקרי התחומים של התחום.
הוסף את קובץ ה-script של ההפעלה למדיניות ברירת המחדל של התחום. לשם כך, בצע את השלבים הבאים:
הפעל את הכלי 'משתמשים ומחשבים של Active Directory'.
לחץ באמצעות לחצן העכבר הימני על DomainName ולאחר מכן לחץ על מאפיינים.
לחץ על הכרטיסייה מדיניות קבוצתית, לחץ על מדיניות ברירת המחדל של תחום ולאחר מכן לחץ על עריכה. כעת יופעל הכלי 'עורך אובייקטי המדיניות הקבוצתית'.
הרחב את תצורת מחשב, הרחב את הגדרות Windows ולאחר מכן לחץ על קובצי Script - (הפעלה/כיבוי).
לחץ פעמיים על הפעלה ולאחר מכן לחץ על הוספה.
בתיבה שם קובץ Script, הקלד את הנתיב של הקובץ AuditPolicy.cmd הממוקם במיקוף המשותף של Netlogon לפי תבנית המוסכמה העולמית למתן שמות (UNC). השתמש בתבנית הבאה:
לדוגמה, הקלד ?\\contoso.com\netlogon\auditpolicy.cmd.
לחץ פעמיים על אישור.
שלב 4: ודא שהגדרות ביקורת האבטחה הוחלו בהצלחה
המתן עד שיתרחש שכפול של Active Directory. נוסף לכך, המתן עד שכל הקבצים והתיקיות בתיקיה המשותפת של המערכת (SYSVOL) יעברו שכפול בבקרי התחומים של התחום.
הפעל מחשב לקוח של Windows Vista המחובר לתחום. לאחר מכן, היכנס למערכת כמשתמש בעל אישורי מנהל מערכת.
לחץ על התחל, הצבע על כל התוכניות ולאחר מכן לחץ על עזרים.
לחץ באמצעות לחצן העכבר הימני על שורת הפקודה ולאחר מכן לחץ על הפעל כמנהל.
בתיבת הדו-שיח בקרת חשבונות משתמשים, לחץ על המשך.
הקלד את הפקודה הבאה בשורת הפקודה ולאחר מכן, הקש על ENTER:?
auditpol /get /category:*?
ודא שהגדרות ביקורת האבטחה המוצגות בשורת הפקודה תואמות לאלה הקיימות בקובץ AuditPolicy.txt שיצרת ב"שלב 1: קבע אילו הגדרות ביקורת אבטחה ברצונך לפרוס במחשבי לקוח של Windows Vista."
אם אין התאמה בין הגדרות ביקורת האבטחה, בדוק את קובצי היומן המופקים על ידי script האתחול בתיקיה ?%SystemRoot%\Temp. אם אינך מוצא קובץ יומן בתיקייה ?%SystemRoot%\Temp, בדוק את מחשב הלקוח של Windows Vista כדי לברר מדוע לא יצאה אל הפועל החלת המדיניות הקבוצתית.
לראש הדף
