Вот блин... а у меня как раз на ту тему своя статья создана... ну да ничего: добавлю от себя
Добавлено через 6 минут:
Настройки в панели управления
Лезем в Панель управления->Администрирование->Локальная политика->Локальные политики->Параметры безопасности
Ищем "Не показывать имя последнего пользователя" и изменяем параметр на "Включён"(в англ. винде это "Interactive logon: Do not display last user name"). Эта штука нужна для того, чтобы при входе в систему не показывалось имени последнего залогиневшигося юзера. Также можно изменить максимальный срок действия паролей. Изменяем "Очищать файл подкачки при завершении работы" на "Включён".
А теперь в списке слева выбираем: Локальные политики->Назначение прав пользователя. Справа ищем:
- Доступ к компьютеру из сети. Если ты не используешь NETBIOS для доступа к твоему компу из сети - выкидывай всех.
- Отказ в доступе к компьютеру из сети. Опять же: не нужен NETBIOS-доступ к твоему компу из сети - выбираем всех, кого можно.
- Отклонить локальный вход. Кого выберешь здесь тот не сможет войти в твой комп локально (для тех кто в танке: локальный вход - это вход, который производится, когда ты включаешь комп и входишь в систему). Смотри не переборщи: если выберешь всех - никто не сможет войти в твой компьютер локально (даже администраторы). Лично я выкинул только группу "Гости".
- Принудительное удалённое завершение. Тебе надо, чтоб твой комп удалённо выключали\перезагружали? Мне - нет. Тебе тоже? Отлично! Выкидываем из этого списка ВСЕХ!
- Все остальные настройки, в которых по-умолчанию в параметрах вписана группа Администраторы (Administrators) настраиваются так, чтобы по-возможности сама эта группа там не фигурировала: нужны администраторы - выбирай их имена, а не всю группу.
В правом списке лезем в "Локальные политики->Аудит". Здесь настраиваются те параметры, которые должны регистрироваться в журналах системы. Можно выбирать успех и/или отказ. Особо много не выбирай, ибо систему нагружает (по большому счёту домашним пользователям регистрация в журналах особа не нужна). Всего три журнала: безопасности, приложений и системный. Доступ к ним осуществляется через Панель управления->Администрирование->Просмотр событий.
Снова лезем в правый список и ищем "Политики учётных записей->Политика паролей". Здесь можно настраивать по вкусу. Рекомендую включить опцию "Пароль должен отвечать требованиям сложности".
В каталоге справа находим "Политика блокировки учётной записи". Пороговое значение блокировки устанавливаем на 3, блокировка учётной записи - на 30 минут. Это значит, что если кто-то пытался получить доступ к какой-то учётной записи, и три раза подряд ему было отказано в доступе, то учётная запись (имя пользователя), к которой была попытка получения доступа, будет заблокирована на 30 минут, в течение которых доступ к учётной записи даже с правильным паролем запрещён.
Реестр
Чтож, теперь наведём порядок в реестре.
Лезем в HKLM\SYSTEM\CurrentControlSet\LanmanServer\Parametrs и ищем параметр AutoShareWks и присваиваем ему значение 0. Если такового параметра нет - нужно создать его. Этот параметр отвечает за авто создание расшаренных ресурсов. Если тебе нужно использовать расшаренные ресурсы и к ним нужен удалённый доступ, лучше создать нужные ресурсы вручную.
Идем в HKLM\SYSTEM\CurrentControlSet\Control\Lsa и создаём параметр типа REG_DWORD с названием restrictanonymous (возможно, он уже создан) и присваеваем ему значение 2. Это надо сделать для запрещения NULL-session: ну, это когда можно присоединиться к компу для запроса различной инфы (например, НЕТБИОС имя компьютера, имя рабочей группы) без ввода имени пользователя и пароля (поэтому и нул-сешшн).
Пароль и логин к инету лучше не сохранять, т.к. его можно будет вытащить специальными утилитами. По умолчанию в системе выбрано запоминать логин и пароль, но даже если галочку убрать, логин сохраняется (а пароль уже нет). Чтобы это исправить лезем в HKLM\System\CurrentControlSet\Services\Rasman\Parameters и создаём параметр типа REG_DWORD с названием DisableSavePassword и присваиваем ему значение 1.
Я ещё рекомендую вырубить RPC (Процедура удалённого вызова) из-за того, что толку он неё немного, а комп однозначно становится более уязвимым (вспомни недавние баги в RPC!). Вырубаем: HKEY_LOCAL_MACHINE\Software\Microsoft\OLE – измените значение EnableDCOM к N. Параметры вступят в силу после перезагрузки.
К реестру возможен удалённый доступ (при условии, что известно имя пользователя и пароль того юзера, права которого позволяют изменять реестр). Чтобы выборочно ограничить доступ к реестру удалённо и локально выбираем один из главных разделов, жмём правую кнопку и выбираем "Разрешения" здесь изменяем группы. ОБЯЗАТЕЛЬНО оставь СИСТЕМУ (SYSTEM). Вместо группы "Администраторы" (Administrators). Лучше выбирать имена админов. Жмем "Дополнительно". В появившемся окне ставим галочку напротив "Заменить разрешения для всех дочерних объектов заданными здесь разрешениями, применимыми к дочерним объектам". Так нужно сделать со всеми главными разделами. В этом же окне можно задать параметы аудита реестра.
Если удалённый доступ к реестру вообще не требуется можно его вырубить: лезем в Панель управления->Администрирование->Службы. Здесь находим Удалённый доступ к реестру (Remote Registry), дважды щёлкаем по нему и указываем тип запуска как "Отключено".
Назначение доступа к файлам\папкам
Нужно правильно распределить: каким юзерам в какой католог можно залезать (возможно в файловой системе NTFS). Для этого: щёлкни правой кнопкой на нужном файле\каталоге\диске и выбери "Свойства". Теперь ищи вкладку "Безопасность". Здесь два окошка: группы пользователей и их текущие права на данный ресурс. Редактируй его как считаешь нужным (ты ведь уже должен знать кому куда можно залезать, а кому-нет!).