Server 2003 도메인 환경에서 설치가 발생하지 않도록 하려면 어떤 정책 등을 설정할 수 있는지 궁금합니다. 2003 RC2 및 XP Pro 클라이언트가 있습니다.
빠르고 쉬운 방법은 모든 사람을 손님으로 만드는 것이지만 이로 인해 그들이 수행/액세스해야 할 수 있는 다른 작업도 차단됩니다. 나는 많은 아이디어를 보았지만 모든 것을 완전히 차단하지는 않습니다. 아마도 모든 것이 해결될 수는 없다는 것을 알고 있지만 최대한 가까이 다가가고 싶습니다.
다들 감사 해요,
답변1
로컬 관리자 권한을 제거하고, 로컬 고급 사용자를 제거하고, 액세스 문제를 수동으로 해결하기 위해 sysinternals 소프트웨어를 사용하여 액세스 문제가 있는 형편없고 잘못 설계된 소프트웨어를 디버깅하는 데 몇 시간을 소비하십시오.
홈 디렉터리, 프로필 등에 대한 소프트웨어 공유를 설정하고 선택한 하위 디렉터리(예: 내 문서)를 네트워크 공유로 리디렉션합니다. 그런 다음 Faronics Deep Freeze와 같은 프로그램을 사용하여 다시 시작할 때마다 컴퓨터를 원래 상태로 다시 "재설정"합니다.
실행 파일을 화이트리스트에 추가할 수 있는 소프트웨어도 있는 것 같지만, 처리해야 할 다양한 요구 사항이 있는 시스템이 많으면 설정하고 유지 관리하는 것이 어려울 것입니다.
CD 드라이브가 없는 시스템을 구입하고 소프트웨어 설치를 위해 휴대용 USB 드라이브를 사용하십시오.
시스템에 무엇이 허용되고 무엇이 허용되지 않는지, 해당 시스템은 회사 자산이고 개인 정보 보호가 기대되지 않는다는 점을 명확히 하는 정책을 지원하도록 HR에 요청하세요.
필터링 소프트웨어를 사용하여 웹 사용을 모니터링하고 필요한 경우 다운로드를 차단할 수 있습니다.
얼마나 가혹한가를 원하시나요?
시스템 이미지를 사용하고 주기적으로 컴퓨터 이미지를 깨끗한 상태로 다시 만들 수도 있습니다. 하지만 한 달이 지난 이미지는 화요일에 한 달 동안 패치를 설치해야 하고, 사용자는 여전히 서버에 기록된 자신의 데이터가 필요하거나 "실수로" 로컬에 항목을 저장하려는 경우 유지 관리가 필요합니다. 불평을 듣게 됩니다.
정책을 검토하고 직원이 작업을 완료할 수 있도록 얼마나 많은 PITA를 제공할 것인지, 고용주가 직원에게 많은 것을 기대하는 경우 직원이 얼마나 비참하게 느끼게 할 것인지와 사용성 사이의 균형을 맞춰야 합니다. 직원들은 동시에 그들에게 권한 부여나 자유의 느낌을 전혀 주지 않을 것입니다...등을 밟고 어깨 너머로 시선을 느끼는 직원들은 당신의 삶을 더 비참하게 만드는 놀랍도록 창의적인 방법을 가지고 있으며 그들은 그렇게 하지 않을 것입니다. 그들이 정당하다고 느끼면 최소한 기분이 나빠질 것입니다.
답변2
대답은 그들이 관리자가 되는 것을 막는 것입니다. 당신이 이것을 하고 싶지 않다면, 당신이 배치한 모든 것을 그들이 피할 수 있는 방법이 항상 있을 것입니다.
답변3
당신의 첫 번째 단계는 실제로 그러한 일을 할 수 있도록 사업체로부터 동의를 얻는 것입니다. 거대 기업의 보안 환경에서도 애플리케이션 화이트리스트 설정을 꺼리는 임원을 본 적이 있습니다. 그 이후에는 살펴봐야 할 것소프트웨어 제한 정책.
이를 통해 다음을 기준으로 소프트웨어를 허용하거나 차단할 수 있습니다.
해시, 인증서, 경로 및 인터넷 영역.
소프트웨어 제한이 적용되지 않는 경우는 다음과 같습니다.
드라이버 또는 기타 커널 모드 소프트웨어.
SYSTEM 계정으로 실행되는 모든 프로그램.
Microsoft Office 2000 또는 Office XP 문서 내부의 매크로.
공용 언어 런타임용으로 작성된 프로그램입니다.
CLR 잠금의 경우 CASPOL을 사용해야 합니다.
배포 단계는 테스트 시스템을 설정하고 정책 잠금을 시작하는 것입니다. 관리자 권한은 이러한 유형의 제한에 영향을 미치지 않습니다(자세한 내용을 보려면 링크를 보도록 선택하지 않는 한). 일반 및 CLR 기반 소프트웨어를 모두 잠근 후에는 걱정할 만한 유일한 원인은 Java입니다.
답변4
관리자 액세스가 필요하지 않은 소프트웨어는 항상 "설치"할 수 있습니다. 많은 소프트웨어는 Program Files 폴더에 쓰거나 시스템 전체를 변경할 필요가 없습니다. 특히 EXE 또는 "휴대용 앱"인 간단한 앱입니다. 결국, EXE 파일을 실행할 수 있도록 허용하는 거죠, 그렇죠?
정말로 관리자가 아니고 프로그램 파일이나 Windows에 대한 쓰기 또는 수정 권한이 없다면 그들은 단지 간단한 앱을 실행하고 있을 뿐일 것입니다. 허용되는 EXE를 화이트리스트에 추가할 수 있는 그룹 정책 설정이 있지만, 이로 인해 모든 시스템이 작동하지 않게 될 수 있으므로 매우 주의해서 사용해야 합니다.