您当前位置:首页 > 网管文库 > 网络管理 > 故障维护

组策略之软件限制策略----组策略防病毒

大势至可以提供从上网行为管理到电脑文件防泄漏、企业数据防泄密一站式解决方案
聚生网管软件下载 是一款专业的上网行为管理系统,有效控制局域网网速、限制网络流量、禁止电脑玩网络游戏、禁止局域网迅雷下载上传、屏蔽网页视频、进行IP和MAC地址绑定、禁止无线路由器接入局域网等
大势至共享文件管理系统下载 是一款专门设置服务器共享文件访问权限,详细记录共享文件访问日志。设置共享文件访问权限,只让读取共享文件而禁止拷贝共享文件、只让修改共享文件而禁止删除共享文件、只让打开共享文件而禁止另存为本地磁盘,禁止拖拽共享文件和打印共享文件等,保护共享安全。
大势至电脑文件防泄密系统下载 是一款有效禁止U盘使用、禁用USB存储设备使用,可以只让使用特定U盘、向USB存储设备复制文件必须输入密码,以及禁止发送邮件附件、禁止使用网盘上传文件、禁止FTP文件上传以及禁止QQ发送文件、禁止微信发送文件等方式泄漏电脑文件,实现企业数据防泄密。
大势至网络准入系统下载 是一款有效禁止外来电脑接入局域网,实现局域网接入认证,禁止外来电脑访问局域网共享文件、禁止局域网电脑修改IP地址、绑定IP和MAC地址、禁止无线路由器接入局域网、隔离局域网电脑,实现局域网网络准入控制。

相信各位一定在为电脑中毒.流氓插件等问题头疼
重装系统,一键还原这些解决办法都存在各种不足.
传统的杀毒软件面对如今铺天盖地的病毒,木马,流氓软件也是只有招架之功.无还手之力.
归根结底,我们得想办法防毒.而不是把希望寄托在杀毒上.
那么如何防呢.要用到HIPS

什么是HIPS?
Host Intrusion Prevent System 主机入侵防御系统。HIPS是一种能监控你电脑中文件的运行和文件运用了其他的文件以及文件对注册表的修改,并向你报告请求允许的的软件。如果你阻止了,那么它将无法运行或者更改。比如你双击了一个病毒程序,HIPS软件跳出来报告而你阻止了,那么病毒还是没有运行的。引用一句话:”病毒天天变种天天出新,使得杀软可能跟不上病毒的脚步,而HIPS能解决这些问题。”。 HIPS是以后系统安全发展的一种趋势,只要你有足够的专业水平,你可以只用HIPS而不需杀毒软件。但是HIPS并不能称为防火墙,最多只能叫做系统防火墙,它不能阻止网络上其他计算机对你计算机的攻击行为。
 
其实,如果你能够做到用受限用户来完成日常工作的话,其实,一切的hips都可以歇菜。毕竟微软为我们准备了十分完备的防御体系,毫不夸张的说,能够真正与组策略的整体实力相抗衡的软件还没有诞生呢。
但是,为什么那么多人还是倒霉?
 
这个,就是国内的体制问题,很多开发软件的人,根本不按照常规做事情,就比如QQ,你在普通用户模式下,多多少少的会遇到这个那个的稀奇古怪的问题。而且症状都千奇百怪,主要是开发者没有考虑到用户权限的问题,开发和测试都在管理员的权限上执行,这样很多设计上的漏洞自然就暴露不出来。
 
 
组策略的软件限制策略
 
软件限制策略包括证书规则、散列规则、Internet 区域规则和路径规则。我们主要用到的是散列规则和路径规则,其中灵活性最好的就是路径规则了,所以一般我们谈到的策略规则,若没有特别说明,则直接指路径规则。
 
其他关于组策略的介绍可以参考本文开头给的连接.既然是防病毒,我们有二种思路.
一种是宽松的规则.对危险的行为进行限制.对普通的行为允许.
建立黑名单制度.对恶意程序进行限制.
另一种严格的规则,实习白名单制度,对已知的程序建立白名单,只允许运行已知的程序.
对未知的程序进行严格的限制.
 
目前的情况来看,大量windows计算机中毒主要来自两个方向.一个就是IE浏览器.另一个就是U盘等移动存储介质.IE由于自身问题,漏洞多多,即使及时的打上微软的补丁,依然无法避免一些恶意网马的入侵.
 
举一个例:
若我们把IE设成基本用户等级启动,那么由IE执行的任何程序的权限都将不高于基本用户级别,只能更低。所以就可以达到防范网马的效果——即使IE下载病毒并执行了,病毒由于权限的限制,无法对系统进行有害的更改,如果重启一下,那么病毒就只剩下尸体了。
甚至,我们还可以通过NTFS权限的设置,让IE无法下载和运行病毒,不给病毒任何的机会。
 
关于组策略规则的设置:

规则要顾及方便性,因此不能对自己有过多的限制,或者最低限度地,即使出现限制的情况,也能方便地进行排除
规则要顾及安全性,首先要考虑的对象就是浏览器等上网类软件和可移动设备所带来的威胁。没有这种防外能力的规则都是不完整或者不合格的
基于文件名防病毒、防流氓的规则不宜多设,甚至可以舍弃。
一是容易误阻,二是病毒名字可以随便改,特征库式的黑名单只会跟杀软的病毒库一样滞后。

于是,我们有两种方案:
如果想限制少一点的,可以只设防“入口”规则,主要面向U盘和浏览器
如果想安全系数更高、全面一点的,可以考虑全局规则+白名单

具体做法可以是:
IE 基本用户 
U盘 不允许的 
阅读器的受限,如hh.exe,pdf Reader 
Documents and Settings 不允许的 + Application Data 不受限 
CMD基本用户 
桌面受限的 + lnk不受限的 
全局基本用户 + 白名单不受限(系统默认的四条规则+Program Files+自定义程序+某些格式的排除)
注意全局规则中最好使用 “* 基本用户”这样的形式,大家不妨对比一下与 “*.* 基本用户”或者“*.exe 基本用户” 的不同
组策略的编辑,查看,修改,
在开始-运行里面输入gpedit.msc
 
计算机配置-windows设置-安全设置-软件限制策略-其他规则

(中国计算机网提示:本想给大家发图的,但是说的很详细,没那个必要了。只要大家按部就班就可以了。)



此处就是添加规则的地方了
因篇幅太长,无法在blog中全部详细解释了.如对本文有疑问,还是请看最上面的链接吧
本文仅仅提供思路,真正强大之处在于规则的定义上.
 
最后附上气流兄的规则文件包
下载规则后,解压缩双击就可以了.如果觉得规则影响到你的正常使用了.双击还原组策略那个程序就可以还原.规则分为二组,一个是基本规则,较为宽松,一个是全局规则,较为严格.
如果遇到组策略的阻止,会在windows的事件管理器里面留下日志记录.
 
根据气流兄的测试,以上策略可以在WINXP IE6 SP1未打补丁的状态下防御很多木马.
由于附件太大,这里就不上传了,有兴趣可以去kafan论坛下载

大势至软件官网,网络流量监控软件,路由器限制别人网速,局域网防止arp攻击,禁用迅雷下载,限制网速流量的软件

大势至公司可以独家提供从局域网网络行为管理、电脑资料防止泄密管控和信息安全防护一站式解决方案
聚生网管网络管理系统下载 是一款专门的办公室电脑监控软件、局域网网络控制软件,可以禁止网络游戏、禁止上班炒股、禁止P2P软件下载、禁止在线看视频、局域网限制别人网速等,以及绑定局域网IP和MAC地址,防止ARP攻击行为等。
大势至文件共享管理软件下载 是一款专门的共享文件夹访问日志记录软件、服务器共享文件访问权限设置软件,可以实现只让读取共享文件而禁止复制共享文件、只让打开共享文件而禁止另存为本地和禁止拖拽共享文件以及只让修改共享文件而禁止删除共享文件,保护服务器共享文件安全,防止共享文件越权访问。
大势至企业数据泄密防护系统下载 是一款专门保护电脑文件安全,防止U盘复制文件、禁用USB端口的软件,同时还可以屏蔽邮件附件、禁止登录网盘上传文件、禁止FTP软件发送文件、禁止微信发送文件、禁止QQ发送文件等,防止各种途径泄密。
大势至局域网接入认证系统下载 是一款专业的局域网网络准入控制系统,有效阻止外来电脑接入局域网、禁止外来上网上网、禁止非单位电脑访问局域网共享文件、隔离局域网电脑、进行IP和MAC地址绑定、禁止修改IP地址等,保护局域网安全。
大势至公司网络管理产品:
 
1、聚生网管局域网流量管理工具软件(点击下载),是国内最早、最专业的局域网监控软件、上网行为控制系统,可以有效管理公司局域网电脑上网行为,有效屏蔽迅雷下载、禁止迅雷上传,禁止pps上传、禁止看qq直播、禁止局域网玩游戏、禁止登录QQ游戏大厅、禁止员工炒股、限制上班看电影、进行局域网带宽限制、控制打开网页、禁止局域网网购、监控邮件内容、监控邮件附件、记录论坛发帖留言、防ARP攻击、查找局域网手机、禁止手机接入公司局域网、禁止私自安装无线路由器上网、防止无线局域网蹭网等;

2、网络特警上网行为管理设备(点击下载),专业的上网行为管理服务器、比上网行为管理路由器、上网管理路由器更强大,可以有效禁止电脑游戏、屏蔽网页游戏、限制局域网看视频、禁止别人看视频、限制P2P软件使用、禁止快车下载、局域网控制迅雷下载、限制股票软件、禁止上班炒股行为、进行局域网流量监控、限制带宽软件,禁止员工网络购物、屏蔽购物网站、屏蔽网页视频网站,并且独创了“创新直连”监控模式,国内最快捷、最简单、最安全控制多网段电脑上网行为,监控效率和综合性能最强的硬件网络管理系统、上网行为管理系统。

3、大势至USB端口管理工具(点击下载),一款强大的USB端口控制系统,有效禁用USB端口使用、屏蔽U口、禁止电脑使用U盘、屏蔽优盘使用、禁用优盘,禁止移动硬盘使用、禁止手机存储卡使用,可以有效地屏蔽USB存储设备而不影响USB鼠标键盘和非USB设备的使用;同时,还可以禁止修改注册表、禁止修改组策略、禁止修改msconfig启动项、禁止修改计算机管理、禁止F8键进入安全模式、禁止U盘启动电脑、禁止光驱启动电脑;此外,还可以只允许电脑访问特定网站,只让打开特定程序、只让运行特定软件或者禁止运行某些程序、禁止访问某些网站等;

4、大势至文件共享服务器监控软件(点击下载),是一款强大的共享文件服务器监控软件、服务器文件管理系统、服务器文件访问控制软件,最有效监控服务器共享文件的访问,详细记录修改服务器共享文件、删除服务器共享文件、复制服务器共享文件、剪切服务器共享文件或者打印服务器共享文件的行为,以及重命名共享文件等;同时,记录访问共享文件者的IP地址、MAC地址、主机名和域账号等信息,从而可以为网管员提供详细的服务器文件访问日志,便于加强服务器共享文件管理,保护单位无形资产和商业机密等;

5、大势至局域网网络准入管理系统(点击下载),是一款专业的公司局域网接入管理软件、内网接入控制系统,可以有效防止非公司电脑访问公司局域网、禁止外部电脑访问公司局域网、限制外来电脑接入公司局域网、禁止手机接入公司局域网、禁止手机无线上网、限制平板电脑无线上网,检测局域网处于混杂模式的网卡,防止局域网抓包、防止局域网嗅探;同时,还可以查找局域网无线路由器,禁止无线路由器接入公司局域网,禁止无线路由器上网,禁止局域网启用代理,限制员工代理上网,禁止电脑安装代理软件为其他电脑提供代理上网服务等;

6、大势至共享文件夹权限设置软件(点击下载),是一款专门由于管理共享文件访问、进行共享文件访问权限设置的软件,通过在开启共享文件的电脑或服务器安装以后就可以为本地账号分配共享文件的不同访问权限,这样局域网用户访问共享文件的时候就只能“读取”共享文件而禁止拷贝共享文件的内容、禁止将共享文件另存为本地磁盘、禁止打印共享文件;同时,对共享文件加密后用户访问共享文件的时候将被限定在一个特定的共享文件列表框内访问操作,可以禁止拖拽共享文件、禁止拷贝共享文件、禁止剪切共享文件到访问者自己的电脑,从而也可以防止U盘复制共享文件、防止通过网盘上传共享文件、防止通过FTP上传共享文件以及防止通过QQ将共享文件发送到外面去,从而全面保护了共享文件的安全。

7、大势至FTP服务器文件操作记录软件(点击下载) ,是一款专门监控FTP服务器文件访问操作日志的软件,可以详细记录局域网用户对FTP服务器文件的上传、下载、修改、删除、重命名等操作日志,可以记录访问者的FTP账户、IP地址、MAC地址和主机名等信息,并可以将FTP服务器文件操作日志导出为Excel格式,从而便于网管员实时审计局域网用户对FTP服务器文件上传和FTP服务器下载文件的情况,便于更好地保护FTP服务器的文件安全,保护单位无形资产和商业机密。

点击量:1000
公司简介:大势至公司是国内最早的企业网管软件提供商,可以为企事业单位提供整体的企业网络管理方案和企业网络管理平台,通过全系列的公司监控员工电脑软件教你如何控制员工上网、如何控制局域网内电脑上网以及如何保护电脑文件安全等。公司核心产品“聚生网管系统”是一款专门的公司网管必备软件、查看网络流量软件、网络流量监控软件和办公室电脑监控软件;“网络特警”则是一款专门的网络流量监控设备、上网行为管理服务器、网络行为管理设备,可以实现更为强大的局域网网络行为管理;大势至USB接口禁用软件则是一款专门的数据防泄密产品、屏蔽U盘软件、电脑USB端口禁用软件,可以严防通过一切途径泄露电脑文件,保护单位无形资产和商业机密安全;大势至共享文件夹管理软件则是一款专门的共享文件权限设置软件和共享文件设置密码软件,全面保护共享文件安全;大势至共享文件审计系统则是一款专门的服务器共享文件夹设置软件、服务器共享文件访问日志记录软件,可以详细记录局域网用户访问共享文件的行为,更好地管理共享文件的安全;大势至局域网网络准入控制系统则是一款专门防止未经授权的电脑接入公司局域网的行为,防止外来电脑访问局域网共享文件、防止蹭网以及绑定IP和MAC地址,保护网络安全;大势至FTP服务器日志记录软件则是一款专门记录局域网用户访问FTP服务器日志的软件,可以有效保护FTP服务器文件安全。
收缩

售前咨询

  • 电话:010-82825512
  • 电话:010-82825051
  • 电话:010-82825052
  • 电话:010-62656060

技术支持

  • 电话:010-82825062