系統(tǒng)組策略幾乎是各位網(wǎng)絡(luò)管理人員管理網(wǎng)絡(luò)時(shí)的必用利器之一，有關(guān)該利器的常規(guī)應(yīng)用技巧，相信許多人都已經(jīng)耳熟能詳了。

　　但是筆者一直認(rèn)為，只要我們足夠細(xì)心、用心，就一定會(huì)從系統(tǒng)組策略中不斷挖掘出新的應(yīng)用技巧來(lái)。不信的話，就來(lái)看看下面的內(nèi)容吧，相信它們會(huì)幫助大家進(jìn)入一個(gè)新的應(yīng)用新“境界”!

　　巧限程序，謹(jǐn)防“自鎖”

　　Windows服務(wù)器中有一個(gè)名為“只允許運(yùn)行Windows應(yīng)用程序”的組策略項(xiàng)目，一旦你將該項(xiàng)目啟用，同時(shí)限制好指定的程序可以運(yùn)行外，那么無(wú)論你是否在“只允許運(yùn)行程序列表”中，添加了gpedit.msc命令，只要“只允許運(yùn)行Windows應(yīng)用程序”的組策略項(xiàng)目生效，系統(tǒng)的組策略就會(huì)自動(dòng)“自鎖”，即使你在超級(jí)管理員帳號(hào)下使用“gpedit.msc”命令，也不能打開(kāi)系統(tǒng)的組策略編輯窗口!那么有沒(méi)有一種辦法，既能限制應(yīng)用程序的運(yùn)行，又能防止系統(tǒng)組策略出現(xiàn)“自鎖”現(xiàn)象呢?答案是肯定的，你可以按照如下步驟來(lái)操作:

　　首先依次單擊“開(kāi)始”/“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行框中，輸入字符串命令“gpedit.msc”，單擊“確定”按鈕后，打開(kāi)系統(tǒng)組策略編輯窗口;

　　依次展開(kāi)該窗口中的“用戶配置”/“管理模板”/“系統(tǒng)”項(xiàng)目，在對(duì)應(yīng)“系統(tǒng)”項(xiàng)目右邊的子窗口中，雙擊“只運(yùn)行許可的Windows應(yīng)用程序”選項(xiàng)，在其后彈出的界面中，將“已啟用”選項(xiàng)選中。隨后，你將在對(duì)應(yīng)的窗口中看到“顯示”按鈕被自動(dòng)激活，再單擊“顯示”按鈕，然后繼續(xù)單擊其后窗口中的“添加”按鈕，再將需要運(yùn)行的應(yīng)用程序名稱輸入在添加設(shè)置框中，最后單擊“確定”按鈕;

　　下面，請(qǐng)大家千萬(wàn)不要將組策略編輯窗口立即關(guān)閉;然后打開(kāi)系統(tǒng)運(yùn)行對(duì)話框，并在其中執(zhí)行“gpedit.msc”命令，此時(shí)你將發(fā)現(xiàn)系統(tǒng)組策略編輯程序已經(jīng)無(wú)法運(yùn)行了!不過(guò)，幸虧前面沒(méi)有將組策略編輯窗口關(guān)閉，現(xiàn)在你可以繼續(xù)在組策略編輯窗口中，雙擊剛才設(shè)置的“只允許運(yùn)行Windows應(yīng)用程序”項(xiàng)目，然后在彈出的策略設(shè)置窗口中，選中“未配置”選項(xiàng)，最后單擊一下“確定”按鈕，這樣就能實(shí)現(xiàn)既可以限制運(yùn)行應(yīng)用程序的目的，又能阻止系統(tǒng)組策略出現(xiàn)“自鎖”現(xiàn)象。

　　小提示:要是你將指定的應(yīng)用程序名稱添加到“只允許運(yùn)行Windows應(yīng)用程序”列表中后，直接把組策略編輯窗口關(guān)閉的話，可以通過(guò)下面的步驟來(lái)進(jìn)行恢復(fù):

　　重新將服務(wù)器系統(tǒng)啟動(dòng)一下，在啟動(dòng)的過(guò)程中不停地按下F8功能鍵，直到出現(xiàn)系統(tǒng)的啟動(dòng)菜單，然后執(zhí)行其中的“帶命令行提示的安全模式”命令，將服務(wù)器系統(tǒng)切換到命令行提示符狀態(tài);

　　接下來(lái)在命令提示符下直接執(zhí)行mmc.exe字符串命令，在彈出的系統(tǒng)控制臺(tái)界面中，單擊“文件”菜單項(xiàng)，并從彈出的下拉菜單中單擊“添加/刪除管理單元”選項(xiàng)，再單擊其后窗口中的“獨(dú)立”標(biāo)簽，然后在如圖1所示的標(biāo)簽頁(yè)面中，單擊“添加”按鈕;
　　下面，再依次單擊“組策略”、“添加”、“完成”、“關(guān)閉”、“確定”按鈕，這樣就能成功添加一個(gè)新的組策略控制臺(tái);以后，你就能重新打開(kāi)組策略編輯窗口，然后按照上面的設(shè)置，實(shí)現(xiàn)既可以限制運(yùn)行應(yīng)用程序的目的，又能阻止系統(tǒng)組策略出現(xiàn)“自鎖”現(xiàn)象。
　　系統(tǒng)組策略幾乎是各位網(wǎng)絡(luò)管理人員管理網(wǎng)絡(luò)時(shí)的必用利器之一，有關(guān)該利器的常規(guī)應(yīng)用技巧，相信許多人都已經(jīng)耳熟能詳了。

　　但是筆者一直認(rèn)為，只要我們足夠細(xì)心、用心，就一定會(huì)從系統(tǒng)組策略中不斷挖掘出新的應(yīng)用技巧來(lái)。不信的話，就來(lái)看看下面的內(nèi)容吧，相信它們會(huì)幫助大家進(jìn)入一個(gè)新的應(yīng)用新“境界”!

　　巧限程序，謹(jǐn)防“自鎖”

　　Windows服務(wù)器中有一個(gè)名為“只允許運(yùn)行Windows應(yīng)用程序”的組策略項(xiàng)目，一旦你將該項(xiàng)目啟用，同時(shí)限制好指定的程序可以運(yùn)行外，那么無(wú)論你是否在“只允許運(yùn)行程序列表”中，添加了gpedit.msc命令，只要“只允許運(yùn)行Windows應(yīng)用程序”的組策略項(xiàng)目生效，系統(tǒng)的組策略就會(huì)自動(dòng)“自鎖”，即使你在超級(jí)管理員帳號(hào)下使用“gpedit.msc”命令，也不能打開(kāi)系統(tǒng)的組策略編輯窗口!那么有沒(méi)有一種辦法，既能限制應(yīng)用程序的運(yùn)行，又能防止系統(tǒng)組策略出現(xiàn)“自鎖”現(xiàn)象呢?答案是肯定的，你可以按照如下步驟來(lái)操作:

　　首先依次單擊“開(kāi)始”/“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行框中，輸入字符串命令“gpedit.msc”，單擊“確定”按鈕后，打開(kāi)系統(tǒng)組策略編輯窗口;

　　依次展開(kāi)該窗口中的“用戶配置”/“管理模板”/“系統(tǒng)”項(xiàng)目，在對(duì)應(yīng)“系統(tǒng)”項(xiàng)目右邊的子窗口中，雙擊“只運(yùn)行許可的Windows應(yīng)用程序”選項(xiàng)，在其后彈出的界面中，將“已啟用”選項(xiàng)選中。隨后，你將在對(duì)應(yīng)的窗口中看到“顯示”按鈕被自動(dòng)激活，再單擊“顯示”按鈕，然后繼續(xù)單擊其后窗口中的“添加”按鈕，再將需要運(yùn)行的應(yīng)用程序名稱輸入在添加設(shè)置框中，最后單擊“確定”按鈕;

　　下面，請(qǐng)大家千萬(wàn)不要將組策略編輯窗口立即關(guān)閉;然后打開(kāi)系統(tǒng)運(yùn)行對(duì)話框，并在其中執(zhí)行“gpedit.msc”命令，此時(shí)你將發(fā)現(xiàn)系統(tǒng)組策略編輯程序已經(jīng)無(wú)法運(yùn)行了!不過(guò)，幸虧前面沒(méi)有將組策略編輯窗口關(guān)閉，現(xiàn)在你可以繼續(xù)在組策略編輯窗口中，雙擊剛才設(shè)置的“只允許運(yùn)行Windows應(yīng)用程序”項(xiàng)目，然后在彈出的策略設(shè)置窗口中，選中“未配置”選項(xiàng)，最后單擊一下“確定”按鈕，這樣就能實(shí)現(xiàn)既可以限制運(yùn)行應(yīng)用程序的目的，又能阻止系統(tǒng)組策略出現(xiàn)“自鎖”現(xiàn)象。

　　小提示:要是你將指定的應(yīng)用程序名稱添加到“只允許運(yùn)行Windows應(yīng)用程序”列表中后，直接把組策略編輯窗口關(guān)閉的話，可以通過(guò)下面的步驟來(lái)進(jìn)行恢復(fù):

　　重新將服務(wù)器系統(tǒng)啟動(dòng)一下，在啟動(dòng)的過(guò)程中不停地按下F8功能鍵，直到出現(xiàn)系統(tǒng)的啟動(dòng)菜單，然后執(zhí)行其中的“帶命令行提示的安全模式”命令，將服務(wù)器系統(tǒng)切換到命令行提示符狀態(tài);

　　接下來(lái)在命令提示符下直接執(zhí)行mmc.exe字符串命令，在彈出的系統(tǒng)控制臺(tái)界面中，單擊“文件”菜單項(xiàng)，并從彈出的下拉菜單中單擊“添加/刪除管理單元”選項(xiàng)，再單擊其后窗口中的“獨(dú)立”標(biāo)簽，然后在如圖1所示的標(biāo)簽頁(yè)面中，單擊“添加”按鈕;
　　下面，再依次單擊“組策略”、“添加”、“完成”、“關(guān)閉”、“確定”按鈕，這樣就能成功添加一個(gè)新的組策略控制臺(tái);以后，你就能重新打開(kāi)組策略編輯窗口，然后按照上面的設(shè)置，實(shí)現(xiàn)既可以限制運(yùn)行應(yīng)用程序的目的，又能阻止系統(tǒng)組策略出現(xiàn)“自鎖”現(xiàn)象。

　　接著在DOS命令提示符下，輸入字符串命令“gpupdate /target:computer”，單擊回車鍵后，新修改的安全策略將會(huì)立即生效;

　　如果你想讓新修改的用戶策略立即生效的話，只要在DOS命令提示符下，執(zhí)行字符串命令“gpupdate /target:user”就可以了。如果你想對(duì)計(jì)算機(jī)策略和用戶策略同時(shí)進(jìn)行更新的話，那你可以直接執(zhí)行字符串命令“gpupdate”就行了。

　　不同用戶，不同權(quán)限

　　也許你的服務(wù)器中包含有許多用戶，但為了保護(hù)服務(wù)器的安全，你希望這些用戶對(duì)服務(wù)器的訪問(wèn)控制權(quán)限各不相同，以便日后服務(wù)器遇到意外時(shí)，你能根據(jù)權(quán)限高低的不同，就能快速地找到“從中作亂”的用戶。要想對(duì)不同的用戶，分配不同的訪問(wèn)控制權(quán)限，只需要對(duì)服務(wù)器組策略進(jìn)行一下設(shè)置就可以了，下面就是具體的設(shè)置步驟:

　　依次單擊“開(kāi)始”/“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行框中，輸入字符串命令“gpedit.msc”，單擊“確定”按鈕后，打開(kāi)系統(tǒng)組策略編輯窗口;

　　在該窗口中，依次展開(kāi)其中的“計(jì)算機(jī)配置”/“Windows設(shè)置”/“安全設(shè)置”/“本地策略”/“用戶權(quán)利指派”項(xiàng)目;

　　在對(duì)應(yīng)“用戶權(quán)利指派”項(xiàng)目的右側(cè)窗口區(qū)域中，你將看到有多種權(quán)利可供指派，如圖3所示。例如，要是你只想讓aaa用戶通過(guò)網(wǎng)絡(luò)連接方式來(lái)遠(yuǎn)程訪問(wèn)服務(wù)器中的內(nèi)容，而不允許其在本地登錄服務(wù)器寫(xiě)入內(nèi)容或執(zhí)行其中的應(yīng)用程序時(shí)，你可以先雙擊“拒絕本地登錄”權(quán)限; 　　　

　　在其后打開(kāi)的設(shè)置窗口中，單擊一下“添加”，然后選中aaa用戶所對(duì)應(yīng)的帳號(hào)名稱，再單擊一下“添加”，這樣aaa用戶日后就只能通過(guò)遠(yuǎn)程網(wǎng)絡(luò)來(lái)訪問(wèn)服務(wù)器中的內(nèi)容了。

　　同樣地你可以將本地登錄控制權(quán)限分配給bbb用戶，將文件或其他對(duì)象的所有權(quán)分配給ccc用戶等;一旦為不同用戶分配好了不同控制權(quán)限后，你日后就能根據(jù)權(quán)限級(jí)別的不同，來(lái)有針對(duì)性地管理和控制用戶了。例如，要是你發(fā)現(xiàn)服務(wù)器在沒(méi)有接入到網(wǎng)絡(luò)的時(shí)間內(nèi)，有人隨意向服務(wù)器中上傳非法信息而需要追究時(shí)，你可以很輕松地將aaa用戶排除在外，畢竟aaa用戶沒(méi)有這樣的“作案能力”!

　　保護(hù)設(shè)置，避免沖突

　　在局域網(wǎng)中常常會(huì)出現(xiàn)工作站IP地址被隨意修改，造成IP沖突現(xiàn)象的發(fā)生，從而影響局域網(wǎng)的運(yùn)行效率。盡管目前有許多方法可以避免IP地址發(fā)生沖突，但仔細(xì)推敲一下，你不難發(fā)現(xiàn)其中的一些方法對(duì)于一些菜鳥(niǎo)用戶來(lái)說(shuō)，操作起來(lái)有點(diǎn)難度;其實(shí)借助組策略功能，你可以很輕松地限制局域網(wǎng)工作站的網(wǎng)絡(luò)配置參數(shù)被隨意修改，從而有效避免網(wǎng)絡(luò)中的IP地址發(fā)生沖突:

　　依次單擊“開(kāi)始”/“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行框中，輸入字符串命令“gpedit.msc”，單擊“確定”按鈕后，打開(kāi)系統(tǒng)組策略編輯窗口;

　　依次展開(kāi)該窗口中的“用戶配置”/“管理模板”/“網(wǎng)絡(luò)”/“網(wǎng)絡(luò)和撥號(hào)連接”策略項(xiàng)目，在對(duì)應(yīng)“網(wǎng)絡(luò)和撥號(hào)連接”策略的右側(cè)窗口區(qū)域中，雙擊一下“允許TCP/IP高級(jí)設(shè)置”項(xiàng)目;

　　在彈出的如圖4所示的設(shè)置窗口中，將“禁用”選項(xiàng)選中，并單擊一下“確定”按鈕，這樣的話，任何一個(gè)工作站用戶日后打開(kāi)TCP/IP屬性設(shè)置窗口時(shí)，將會(huì)發(fā)現(xiàn)無(wú)法進(jìn)入“高級(jí)”設(shè)置窗口，來(lái)修改工作站的IP地址或其他網(wǎng)絡(luò)參數(shù)，如此一來(lái)局域網(wǎng)中的IP地址就不大容易發(fā)生沖突了。

　　強(qiáng)化審核，遠(yuǎn)離攻擊

　　在缺省條件下，Windows 2003服務(wù)器沒(méi)有啟用任何一種安全審核手段，來(lái)保護(hù)服務(wù)器的安全，顯然這會(huì)給服務(wù)器帶來(lái)很大的安全隱患。為了避免服務(wù)器遭受攻擊，你只要對(duì)服務(wù)器中的組策略“動(dòng)動(dòng)手腳”，就能啟用好安全審核策略，保護(hù)好服務(wù)器的安全:

　　依次單擊“開(kāi)始”/“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行框中，輸入字符串命令“gpedit.msc”，單擊“確定”按鈕后，打開(kāi)系統(tǒng)組策略編輯窗口;

　　將鼠標(biāo)定位于其中的“計(jì)算機(jī)配置”/“Windows設(shè)置”/“安全設(shè)置”/“本地策略”/“審核策略”組策略分支上，在“審核策略”分支下面，你將看到有多種審核事件需要你指定，如圖5所示; 　

　　雙擊其中的“策略更改”項(xiàng)目，在彈出的設(shè)置窗口中，如果選中“成功”選項(xiàng)的話，那么服務(wù)器日后將會(huì)對(duì)所有事件的成功操作進(jìn)行審核，要是選中“失敗”選項(xiàng)的話，那么服務(wù)器日后將會(huì)對(duì)所有事件的失敗操作進(jìn)行審核;

　　為了能夠及早知道服務(wù)器存在的安全隱患，我們通常需要對(duì)“系統(tǒng)事件”、“登錄事件”、“帳戶登錄事件”、“帳戶管理事件”的成功操作與失敗操作分別進(jìn)行審核，如此一來(lái)即使一些已經(jīng)實(shí)施攻擊、但沒(méi)有攻擊成功的操作記錄，也會(huì)一一被服務(wù)器自動(dòng)記錄下來(lái)，以后我們仔細(xì)分析記錄，就能查找出安全隱患，并及時(shí)采取補(bǔ)救措施確保服務(wù)器的安全了;對(duì)于“對(duì)象訪問(wèn)”事件、“目錄服務(wù)訪問(wèn)”事件、“特權(quán)使用”事件等，一般只要審核它們的失敗操作，就可以達(dá)到捕捉攻擊記錄的目的了。

　　一旦通過(guò)組策略分別對(duì)相關(guān)事件啟用審核功能后，服務(wù)器日后將會(huì)把相關(guān)事件的審核記錄全部保存到系統(tǒng)的“事件查看器”中，以后你只要及時(shí)打開(kāi)日志內(nèi)容，并對(duì)其中記錄進(jìn)行認(rèn)真分析，就能查清服務(wù)器此時(shí)有沒(méi)有受到攻擊了。