10 GPO המובילים ב-Windows Server
עשרת המדיניות הקבוצתית המובילה עבור משרד Windows Server - מדיניות סיסמאות, נעילת מסך, חסימת USB, מיפוי כוננים, מדפסות, עדכונים, ניתוב מחדש של תיקיות, AppLocker, ביקורת ובקרת אדמין מקומי - כל אחד מהם מוסבר במילים פשוטות.
📑פרקים
- מדוע דומיין חדש צריך קודם כל את עשרת המדיניות האלו
- מדיניות סיסמאות - כלל אחד עבור כל הדומיין
- נעילת מסך - המחשב ללא השגחה נועל את עצמו
- חוסם USB - כונני עט מפסיקים להיות דלת
- מיפוי כונן - שיתופי השרת מופיעים לבד
- מדפסות - המדפסת המשרדית מבלי לגעת במחשב
- עדכונים - עדכוני Windows מתרחשים בלוח הזמנים שלך
- הפניה מחדש של תיקיות - מסמכים חיים בשרת, לא במחשב
- AppLocker - רק תוכניות מאושרות פועלות
- ביקורת - רשום מי נכנס ומי נכשל
- בקרת ניהול מקומית - כמעט אף אחד אינו מנהל במחשב האישי שלו
- בדוק ב-OU פיילוט לפני ההפצה לכולם
📋 סקירה כללית ומדריך שלב אחר שלב
פתח תחילה ניהול מדיניות קבוצתית
כל עשרת הפוליסות בנויות במסוף אחד: מסוף ניהול המדיניות הקבוצתית. פתח את תיבת ההפעלה, הקלד את הפקודה למטה והקש Enter. כלל העבודה עבור הרשימה כולה הוא GPO אחד לכל עבודה, לכל אחד מהם שם רגיל כמו Block-USB-Storage או Screen-Lock-10-Min - ניתן לבדוק מדיניות נפרדת, לבטל ולסנן לבד, בעוד GPO ענק אחד נכשל כענק.
gpmc.mscמדיניות סיסמאות - כלל אחד לכל התחום
נתיב: תצורת מחשב ← מדיניות ← הגדרות Windows ← הגדרות אבטחה ← מדיניות חשבון ← מדיניות סיסמאות, נערכת בדרך כלל במדיניות תחום ברירת המחדל. הגדר אורך מינימלי שאנשים יכולים לזכור - 12 תווים עם מורכבות בקצבים 8 תווים משתנים מדי חודש. ההדרכה המודרנית של מיקרוסופט עצמה ירדה מהתפוגה התכופה, מכיוון שמשתמשים עונים עליה בדפוסים צפויים. אורך פלוס מדיניות נעילת חשבון הגיונית היא השילוב הכנה.
נעילת מסך - המחשב ללא השגחה ננעל בעצמו
נתיב: תצורת משתמש ← מדיניות ← תבניות ניהול ← לוח בקרה ← התאמה אישית - הפעל את שומר המסך, הגדר את הזמן הקצוב והפעל את הגנת סיסמה על שומר המסך. תאום בצד המחשב, כניסה אינטראקטיבית: מגבלת חוסר פעילות מכונה תחת אפשרויות אבטחה, עושה את אותה עבודה לכל מכונה. עשר דקות הן הנקודה המתוקה במשרד: מישהו מתרחק ממחשב לא נעול המחובר כחשבונות או משאבי אנוש, וכל מי שעובר במקום הוא פתאום האדם הזה. פוליסה זו סוגרת את חור האבטחה הזול ביותר בבניין.
בקרת אחסון USB - כונני עט מפסיקים להיות דלת
נתיב: תצורת מחשב ← מדיניות ← תבניות ניהול ← מערכת ← גישה לאחסון נשלף. אתה יכול למנוע קריאה, כתיבה או ביצוע לפי מחלקת מכשיר, או לדחות את כל האחסון הנשלף בהגדרה אחת. הסיבה המשרדית היא נתונים: כונן עט אחד יכול לשאת את כל מסד הנתונים של הלקוחות מחוץ לבניין, או לשאת וירוס פנימה.
מיפוי כוננים - שיתופי השרת מופיעים בעצמם
נתיב: תצורת משתמש ← העדפות ← הגדרות Windows ← Drive Maps. זוהי מדיניות קבוצתית העדפה, לא מדיניות קלאסית: אתה מכוון אות כונן לשיתוף, בוחר בפעולה (צור או עדכן), ומשתמש במיקוד ברמת הפריט אם חשבונות צריכים לקבל דחף שמכירות לא צריכות לקבל. מדיניות זו מוציאה משימוש את הסקריפט הישן ביותר ב-IT - קובץ אצווה הכניסה - ואת הקריאה היומית "כונן השרת נעלם". לאחר מכן, כונן ממופה המציג צלב אדום ניתן לקריאה מיידית: בעיית רשת או הרשאות, לא תעלומת מיפוי.
פריסת מדפסת - המדפסת המשרדית מבלי לגעת במחשב
נתיב: העדפות ← הגדרות לוח הבקרה ← מדפסות (או פרוס מניהול הדפסה). המשתמש נכנס והמדפסת המשרדית פשוט שם, עם הדרייבר הנכון משרת ההדפסה. כוון למדפסות לפי OU או קבוצה כך שהקומה השלישית תפסיק להדפיס לקומת הקרקע.
בקרת עדכוני Windows - עדכונים מתרחשים בלוח הזמנים שלך
נתיב: תצורת מחשב → מדיניות → תבניות ניהול → רכיבי Windows → Windows Update. הגדרות עיקריות: הגדר עדכונים אוטומטיים, ללא הפעלה מחדש אוטומטית עם משתמשים מחוברים, מועדי יעד להתקנת, ו - אם המשרד משתמש ב-WSUS - מיקום שרת העדכונים של האינטראנט. הגדרות דחייה מאפשרות לקבוצת טייס לקבל עדכונים תחילה ולשאר המשרדים כמה ימים לאחר מכן. היה ברור לגבי העבודה: מדיניות זו שולטת בתזמון, לא אם יתרחשו עדכונים. הגדר חלון התקנה לאחר שעות העבודה ומועד אחרון להפעלה מחדש שמשתמשים יכולים לראות מגיע, ועדכונים הופכים למשעממים - וזה בדיוק מה שאתה רוצה.
ניתוב מחדש של תיקיות - מסמכים חיים בשרת, לא במחשב
נתיב: תצורת משתמש ← מדיניות ← הגדרות Windows ← ניתוב מחדש של תיקיות. מסמכים, שולחן עבודה ותמונות מצביעים בשקט על תיקיה בשרת הקבצים במקום על הדיסק המקומי. התמורה מופיעה ביום הגרוע ביותר: מחשב מת, המשתמש נכנס לכל מחשב אחר, והקבצים שלו כבר שם - והעותק של השרת יושב בתוך הגיבוי הרגיל שלך.
AppLocker - רק תוכניות מאושרות פועלות
נתיבים: תצורת מחשב ← הגדרות Windows ← הגדרות אבטחה ← מדיניות בקרת יישומים ← AppLocker, או מדיניות הגבלת התוכנה הישנה יותר באותו אזור. הרעיון הוא רשימת היתרים: Windows, Program Files ואפליקציות שאושרו על ידי מנהל עשויות לפעול; מה שמשתמש מוריד לפרופיל שלו לא יכול להיות. זה הפריט הכי חזק ברשימה וזה שדורש הכי הרבה כבוד.
רישום ביקורת - רשום מי נכנס ומי נכשל
נתיב: תצורת מחשב ← מדיניות ← הגדרות Windows ← הגדרות אבטחה ← תצורת מדיניות ביקורת מתקדמת. לכל הפחות, בדוק הצלחה וכישלון בכניסה בבקרי דומיין ושרתי חברים. ביקורת עונה על השאלה שכל משרד שואל לאחר תקרית: של מי נעשה שימוש, מאיזה מחשב ומתי?
בקרת מנהל מקומית - כמעט אף אחד אינו מנהל על המחשב האישי שלו
נתיב: העדפות ← הגדרות לוח הבקרה ← משתמשים וקבוצות מקומיים יכולים לנקות את קבוצת המנהלים בכל מחשב - הסר חשבונות משתמשים תועים, שמור על קבוצת התמיכה ב-IT. היצירה הנלווית היא Windows LAPS, המעניקה לכל מחשב סיסמת מנהל מקומית ייחודית המסובבת אוטומטית המאוחסנת בבטחה ב-Active Directory. עבודה יומיומית אינה זקוקה לזכויות אדמין; תוכנה זדונית יורשת אותם. הסר את זכויות הניהול הקבועות, שמור על LAPS ליום שבו ה-IT צריך את הסיסמה המקומית, ומחצית מהתקריות במשרד רגיל לעולם לא קורות - אבל שמור על נתיב שובר זכוכית שנבדק לפני ההפצה.
החל, עדכן ואמת במחשב בדיקה
קשר את ה-GPO החדש ל-OU הבדיקה, ואז על לקוח בדיקה כפה רענון מדיניות והוכח את התוצאה לפני שמישהו אחר יקבל אותה. הפקודה הראשונה מחילה את המדיניות כעת במקום לחכות למחזור הרענון הבא; השני כותב דו"ח שמפרט בדיוק אילו GPOs הוחלו - ואילו נדחו, ומדוע.
gpupdate /forcegpresult /h report.html🏷️משתני חיפוש נושאים ומילות מפתח
🎙️ תמלול מלא - הקש כדי להרחיב
__TOK_35__
__TOK_36__
__TOK_37__
❓ שאלות נפוצות
האם הדרכה זו היא 100% בחינם למעקב?
__TOK_38__
האם מתחילים יכולים לעקוב אחר המדריך הזה?
__TOK_39__
איפה אני יכול לשאול שאלות אם אני נתקע?
__TOK_40__