Загальні відомості про групову політику

Групова політика дозволяє керувати параметрами користувача та комп'ютера на комп'ютерах під керуванням операційних систем Windows Server та Windows Client. Крім використання групової політики для визначення конфігурацій для груп користувачів та клієнтських комп'ютерів, можна також використовувати групову політику для керування серверами, настроюючи безліч параметрів операційної та безпеки для конкретного сервера.

Що таке групова політика

Групова політика може представляти параметри політики у локальній файловій системі або службах домен Active Directory. У разі використання з Active Directory параметри групової політики містяться в об'єкті групової політики (GPO). Об'єкт групової політики — це віртуальна колекція параметрів політики, дозволів безпеки та область керування (SOM), які можна застосувати до користувачів та комп'ютерів у Active Directory. Об'єкт групової політики має унікальне ім'я, наприклад, GUID. Клієнти оцінюють параметри групової політики за допомогою ієрархічної природи Active Directory.

Параметри політики поділяються на параметри політики, що впливають на параметри комп'ютера та політики, які впливають на користувача. Політики, пов'язані з комп'ютером, визначають системну поведінку, параметри програми, параметри безпеки, призначені програми та скрипти запуску комп'ютера та завершення роботи комп'ютера. Політики, пов'язані з користувачем, вказують системну поведінку, параметри програми, параметри безпеки, призначені та опубліковані програми, сценарії входу користувача та виходу з системи та перенаправлення папок.Параметри комп'ютера перевизначають параметри, пов'язані з користувачем.

Щоб створити групову політику, адміністратор може використовувати редактор локальної групової політики ( gpedit.msc ), який може бути автономним інструментом та параметрами, що зберігаються локально. Ми рекомендуємо використовувати редактор об'єктів групової політики як розширення для оснащення MMC, пов'язаного з Active Directory. Редактор об'єктів групової політики дозволяє зв'язати об'єкти групової політики з вибраними сайтами, доменами та підрозділами Active Directory . Зв'язування застосовує параметри політики в об'єкті групової політики для користувачів та комп'ютерів у цих об'єктах Active Directory. Об'єкти групової політики зберігаються як у Active Directory, так і в папці SYSVOL на кожному контролері домену.

Як працює групова політика

Для комп'ютерів групова політика застосовується під час запуску комп'ютера. Для користувачів групова політика застосовується під час входу. Ця початкова обробка політики також може бути додатком політики переднього плану.

Програма групової політики може бути синхронною або асинхронною. У синхронному режимі комп'ютер не завершує роботу системи, доки політика комп'ютера не буде застосована успішно. Процес входу користувача не завершується доти, доки політика користувача не буде застосована успішно. В асинхронному режимі, якщо немає змін політики, які потребують синхронної обробки, комп'ютер може завершити початкову послідовність до завершення застосування політики комп'ютера. Оболонка може бути доступна користувачеві до завершення застосування політики користувача. Потім система періодично застосовує (оновлює) групову політику у фоновому режимі.Під час оновлення параметри політики застосовуються асинхронно.

Додаткові відомості про роботу групових політик див. у розділі "Обробка групової політики".

Що таке підрозділ (підрозділ)

Підрозділ – це найнижчий рівень контейнера Active Directory, якому можна призначити параметри групової політики. Як правило, більшість об'єктів групової політики призначаються на рівні підрозділу, тому переконайтеся, що структура підрозділу підтримує стратегію управління клієнтами на основі групової політики. Ви також можете застосувати деякі параметри групової політики на рівні домену, особливо політики паролів. На рівні сайту застосовується кілька параметрів політики. Добре розроблена структура підрозділу, яка відображає адміністративну структуру вашої організації та використовує переваги успадкування групової політики, спрощує застосування групової політики. Наприклад, добре розроблена структура підрозділу може запобігти дублювання певних об'єктів групової політики, щоб ці об'єкти групової політики могли застосовуватися до різних частин організації. По можливості створіть підрозділи, щоб делегувати адміністративні повноваження та допомогти реалізувати групову політику.

Для проектування підрозділу потрібно балансування вимог до делегування прав адміністратора незалежно від потреб групової політики, а також необхідність сфери застосування групової політики. Ви можете створювати підрозділи в домені та делегувати адміністративний контроль для певних підрозділів певним користувачам чи групам.Використовуючи структуру, в якій підрозділи містять однорідні об'єкти, такі як об'єкти або комп'ютерні об'єкти, але не обидва, можна легко відключити ці розділи об'єкта групової політики, які не застосовуються до певного типу об'єкта. Такий підхід до проектування підрозділів знижує складність та підвищує швидкість застосування групової політики. Об'єкти групової політики, пов'язані з вищими рівнями структури підрозділу, успадковуються за замовчуванням підрозділів на нижньому рівні, зменшуючи необхідність дублювати об'єкти групової політики чи пов'язувати об'єкт групової політики з кількома контейнерами.

Пов'язаний контент

Групові політики (GPO) Active Directory: розуміємо, чому це важливо і як ними керувати в GPOAdmin

Групова політика – важливий елемент будь-якого середовища Microsoft Active Directory (AD). Її основна мета – дати ІТ-адміністраторам можливість централізовано керувати користувачами та комп'ютерами в домені. Групова політика, у свою чергу, складається з набору політик, які називаються об'єктами групової політики (GPO). Microsoft реалізує тисячі різних політик і налаштувань, в яких можна потонути і потім не спливти. Усі вони докладно описані у довідковій таблиці.

У цій статті ми розповімо про роботи з налаштування групових політик та зручний інструмент для спрощення управління ними – Quest GPOAdmin. Деталі під катом.

Як влаштовані групові політики

Під час створення домену AD автоматично створюються два об'єкти групової політики:

Політика домену за промовчанням встановлює базові параметри для всіх користувачів та комп'ютерів у домені у трьох площинах: політика паролів, політика блокування облікових записів та політика Kerberos.

Політика контролерів домену за замовчуванням встановлює базові параметри безпеки та аудиту для всіх контролерів домену в межах домену.

Для набрання чинності об'єкт групової політики необхідно застосувати (пов'язати) з одним або декількома контейнерами Active Directory: сайт, домен або підрозділ (OU). Наприклад, можна використовувати групову політику, щоб вимагати від усіх користувачів певного домену використовувати більш складні паролі або заборонити використання знімних носіїв на всіх комп'ютерах тільки у фінансовому підрозділі даного домену.

Об'єкт групової політики не діє, доки не буде пов'язаний з контейнером Active Directory, наприклад сайтом, доменом або підрозділом. Будь-який об'єкт групової політики може бути пов'язаний з кількома контейнерами, і, навпаки, з конкретним контейнером може бути пов'язано кілька об'єктів групової політики. Крім того, контейнери успадковують об'єкти групової політики, наприклад, об'єкт групової політики, пов'язаний із підрозділом, застосовується до всіх користувачів та комп'ютерів у його дочірніх підрозділах. Аналогічно, об'єкт групової політики, який застосовується до OU, застосовується не тільки до всіх користувачів та комп'ютерів у цьому OU, але й успадковується всім користувачам та комп'ютерам у дочірніх OU.

Налаштування різних об'єктів групової політики можуть перекриватись або конфліктувати. За замовчуванням об'єкти групової політики обробляються у такому порядку (причому створені пізніше мають пріоритет над створеними раніше):

Локальний (індивідуальний комп'ютер)
Сайт
Домен
Організаційна одиниця

Зміна послідовності GPO. p align="justify"> Об'єкт групової політики, створений пізніше, обробляється останнім і має найвищий пріоритет, перезаписуючи налаштування в створених раніше об'єктах. Це працює у разі виникнення конфліктів.

Блокування наслідування. За умовчанням дочірні об'єкти успадковують усі об'єкти групової політики від батьківського, але ви можете заблокувати це спадкування.

Примусове ігнорування зв'язку GPO. За промовчанням параметри батьківських політик перезаписуються будь-якими конфліктуючими політиками дочірніх об'єктів. Ви можете перевизначити цю поведінку.

Відключення зв'язків GPO. За промовчанням обробка включена для всіх зв'язків GPO. Ви можете запобігти застосуванню групи групової політики для конкретного контейнера, відключивши зв'язок з об'єктом групової політики цього контейнера.

Іноді важко зрозуміти, які політики фактично застосовуються до конкретного користувача чи комп'ютера, визначити т.зв. результуючий набір політик (Resultant Set of Policy, RSoP). Microsoft пропонує утиліту командного рядка GPResult, що вміє генерувати звіт RSoP.

Для керування груповими політиками Microsoft надає консоль керування груповими політиками (GPMC). Використовуючи цей безкоштовний редактор групової політики, ІТ-адміністратори можуть створювати, копіювати, імпортувати, створювати резервні копії та відновлювати об'єкти групової політики, а також складати звіти щодо них. Microsoft також пропонує цілий набір інтерфейсів GPMC, які можна використовувати для програмного доступу до багатьох операцій, що підтримуються консоллю.

За промовчанням будь-який член групи адміністраторів домену може створювати об'єкти групової політики та керувати ними.Крім того, існує глобальна група під назвою "Власники-творці групових політик"; його члени можуть створювати об'єкти групової політики, але вони можуть змінювати лише створені ними політики, якщо їм спеціально не надано дозволи на редагування інших об'єктів групової політики.

У цій же консолі можна делегувати допоміжним ІТ-адміністраторам дозволи на різні дії: створення, редагування та створення зв'язків для певних об'єктів групової політики. Делегування – цінний інструмент; наприклад, можна надати групі, відповідальній за керування Microsoft Office, можливість редагувати об'єкти групової політики, які використовуються для керування налаштуваннями Office на робочому столі користувачів.

Управління груповою політикою та делегування

Делегування - та річ, яка швидко виходить з-під контролю. Права делегуються то так то так і, зрештою, не ті люди можуть отримати не ті права.

Цінність групової політики полягає у її силі. Одним махом ви можете застосувати політики в домені або підрозділі, які значно зміцнять безпеку або покращать продуктивність бізнесу. Або навпаки.

Але цією владою також можна зловживати навмисно чи випадково. Одна неправильна зміна об'єкта групової політики може призвести до порушення безпеки. Зломщик або зловмисний адміністратор можуть легко змінити об'єкти групової політики, щоб, наприклад:

Дозволити необмежену кількість спроб вгадати пароль облікового запису.
Включити можливість підключення знімних носіїв спрощення крадіжки даних.
Розгорнути зловмисне програмне забезпечення на всіх машинах в домені.
Замінити сайти, збережені в закладках браузерів користувачів, шкідливими URL-адресами.
Запустити шкідливий сценарій під час запуску або завершення роботи комп'ютера.

Чому вбудовані інструменти роботи з GPO недостатньо зручні

На жаль, вбудовані інструменти не завжди дозволяють у зручному форматі підтримувати безпеку та контроль групової політики. Зміни, внесені до об'єктів групової політики, за замовчуванням набирають чинності, як тільки вікно закривається — відсутня кнопка «Застосувати», яка могла б дати адміністраторам шанс зупинитися, одуматися та виявити помилки, перш ніж організація зазнає атаки.

Через те, що дозволи безпеки ґрунтуються на об'єктах групової політики, будь-який адміністратор домену може змінювати будь-який параметр безпеки об'єкта групової політики. І навіть параметри, які мають перешкоджати зловмисним діям цієї людини. Наприклад, адміністратор може вимкнути об'єкт групової політики, який відповідає за дозвіл входу до системи на певному сервері, на якому розміщено конфіденційні дані. Ну а далі скопіювати частину або весь цінний контент на свій комп'ютер ~~і продати у даркнеті~~.

Але найжахливіше в цій історії з безпекою GPO — зміни налаштувань не відслідковуються у власних журналах безпеки, немає попереджень, отже, неможливо відслідковувати такі порушення, навіть якщо використовувати SIEM-систему.

Як убезпечити GPO (об'єкти групової політики)

Найкращий спосіб мінімізувати ризик неправильного налаштування об'єктів групової політики - це створити багаторівневу структуру безпеки, яка доповнює власні інструменти. Для надійного захисту групової політики потрібні рішення, які дозволять:

Зрозуміти, хто і яких об'єктів групової політики має доступ.
Впровадити воркфлоу з опцією узгодження та поділом обов'язків для керування змінами у GPO.
Відстежувати, виконувати моніторинг та сповіщати про зміни в GPO.
Запобігти зміні найважливіших параметрів GPO.
Швидко відкочувати небажані зміни до GPO.

Консолідація GPO

В інтерфейсі можна вибрати надмірні або конфліктуючі параметри групової політики та об'єднати їх в один об'єкт групової політики або створити новий.

Відкат. Можна легко відкотитись до попередніх версій об'єктів групової політики та усунути негативні наслідки.

Налаштований воркфлоу. В інтерфейсі GPOADmin можна заздалегідь визначити автоматичні дії різних сценаріїв.

Політики захищених опцій. Визначте список параметрів, за якими перевіряються дозволені настройки для політик.

Управління об'єктами. В інтерфейсі легко визначити, хто відповідає за керування певними політиками.

Підтвердження електронною поштою. Затверджувати або відхиляти запити на зміну об'єкта групової політики можна прямо з листа поштою.

Користувальницькі шаблони листів. Для певних ролей шаблони листів можна кастомізувати.

Синхронізація GPO. Можна синхронізувати установки між кількома GPO.

Порівняння GPO. Забезпечте цілісність налаштувань GPO та зменште ризик порушення політики.

З GPOAdmin можна навести лад у роботі десятка адміністраторів, які можуть навмисно або випадково вносити неправильні зміни до об'єктів групової політики. Тепер про кожну зміну знатимуть усі.

Ми готові провести демонстрацію або розгорнути рішення у вашій інфраструктурі, щоб ви могли переконатися в цінності GPOAdmin для вашої організації.Рішення дійсно допоможе уберегтися від фатальних помилок і навести лад у домені. Зв'яжіться з нами зручним для вас способом.

А ще у нас є:

Хто це зробив? Автоматизуємо аудит інформаційної безпеки
Що корисного можна витягнути з логів робочої станції на базі Windows
Керування доступом та формування звітів безпеки для оточення Microsoft у Quest Enterprise Reporter
Порівняємо інструменти для аудиту змін у Active Directory: Quest Change Auditor та Netwrix Auditor
Sysmon тепер може записувати вміст буфера обміну
Включаємо збір подій про запуск підозрілих процесів у Windows та виявляємо загрози за допомогою Quest InTrust
Як InTrust може допомогти зменшити частоту невдалих спроб авторизацій через RDP
Як знизити вартість володіння SIEM-системою і навіщо потрібний Central Log Management (CLM)
Виявляємо атаку вірусу-шифрувальника, отримуємо доступ до контролера домену і пробуємо протистояти цим атакам
Група у Facebook
Канал у Youtube.

GPO: що таке доменні групові політики і навіщо вони потрібні

У системному адмініструванні є такий термін — GPO або Group Policy Object. Він розшифровується як об'єкт групової політики. Цей інструмент існує в операційних системах Windows та допомагає масово налаштовувати правила використання комп'ютерів. Розповідаємо, що являють собою групові політики в Windows Server і чому вони є незамінним інструментом адміністратора.

Онлайн-програма спільно з НІЯУ МІФІ. Реальні проекти компаній у портфоліо вже під час навчання. Спікери програми – фахівці з Лабораторії Касперського, Positive Technologies, S7 Airlines.

Для чого потрібні групові політики

Кожен користувач у мережі має мати свої права доступу, обмеження та можливості.Наприклад, офісним співробітникам потрібен доступ до факсу, а серверам — навряд.
Є й вимоги безпеки: які паролі мають ставити співробітники, як часто їх оновлювати, скільки триває сесія в обліковому записі тощо.
Іноді зміни потрібно застосувати до одного пристрою або служби, іноді до кількох або навіть до всіх відразу.

Щоб адміністратор мав можливість виконувати всі необхідні дії, використовується програмне забезпечення для управління об'єктами в мережі. Воно допомагає стежити, щоб у кожного користувача були всі необхідні права, і не дозволяти їм робити те, що забороняє правила безпеки компанії.

Як влаштовані доменні політики

У серверній операційній системі Windows Server є набір інструментів, який називається Active Directory (AD). Ці інструменти допомагають керувати пристроями, обліковими записами та правилами безпеки в мережі. Компанії використовують AD, щоб задати кожному користувачеві свої налаштування доступу та налагодити зв'язок між різними видами техніки.

Групові політики — один із компонентів Active Directory. Вони допомагають створити певні правила та налаштування, а потім масово застосувати їх до різних об'єктів: комп'ютерів та принтерів, служб на кшталт електронної пошти, облікових записів користувачів.

Наприклад, на цьому зображенні у лівій частині вікна відображається перелік групових політик для робочих станцій, тобто комп'ютерів користувачів. Джерело

Наприклад, за допомогою групових політик Active Directory можна:

видати доступ до віддаленого використання принтера комп'ютерам у конкретному відділі;
масово встановити потрібний для роботи офісний додаток на всі комп'ютери;
заборонити користувачам встановлювати прості паролі та ввести ліміт на кількість спроб введення;
підключити автоматичний запуск програм або скриптів при включенні пристрою - наприклад, антивіруса та утиліти для очищення пам'яті;
заблокувати або розблокувати можливість встановлення програм із флешки;
налаштувати планувальник завдань для користувачів комп'ютерів;
перемістити на пристрої файли та папки з даними для роботи;
вказати налаштування проксі-сервера, вимкнути або ввімкнути протоколи тощо.

Так адміністратор управляє оточенням усередині домену Windows Server. Доменом у термінології цієї системи називається ділянка комп'ютерної мережі із загальною базою даних. До нього можуть входити сервери, комп'ютери користувача та інші пристрої.

Друге поняття сайт. Це теж ділянка комп'ютерної мережі, але створена не за логічним, а за фізичним принципом. До нього входять об'єкти з певними областями IP-адрес.

Кожен набір правил називається об'єктом групової політики і складається з двох компонентів - контейнера та шаблону.

Контейнер одне з основних понять Active Directory. Це об'єкт, що виконує функції своєрідного сховища: групує всередині різні об'єкти та інші контейнери. Саме контейнер груповий політики зберігає характеристики самого GPO, наприклад статус і версію об'єкта.
Шаблон безпосередньо набір правил, що зберігаються в об'єкті групової політики. Сюди входять різні дозволи, вимоги та інші параметри пристроїв.

Правила не застосовуються, поки шаблон групової політики не пов'язаний із певним контейнером Active Directory. Після цього вони діятимуть для групи об'єктів, з якою пов'язані.

Якими бувають групові політики

Важлива перевага групових політик — досить гнучкі.Можна створити безліч об'єктів AD GPO з різними правилами та застосувати їх до будь-якої групи пристроїв, протоколів або облікових записів. Наприклад, коли адміністратор створює домен у Windows Server, автоматично з'являються дві основні політики:

групова політика домену за замовчуванням - базові правила, які застосовуються до всіх комп'ютерів. Вони стосуються трьох напрямків: паролів, блокування облікових записів та налаштувань Kerberos. Останнє – протокол, за допомогою якого перевіряють коректність пароля;
політика контролерів домену за замовчуванням — правила безпеки для контролерів, тобто серверів, які керують різними ділянками Windows Server.

Ці дві політики базові. Але адміністратор може додати набагато більше об'єктів GPO та задати для кожного свої набори правил.

Щоб створити політику, потрібно зайти у відповідне вікно до консолі управління. Потім клацнути правою кнопкою миші в будь-якому місці вікна і вибрати варіант "Створити". Джерело

Застосовувати політики можна на кількох рівнях, залежно від того, з яким контейнером AD пов'язаний об'єкт:

лише на рівні локального комп'ютера;
на рівні сайту;
на рівні домену;
на рівні OU – організаційної одиниці.

Організаційна одиниця, або підрозділ, — це контейнер-папка, в якому можна зберігати облікові записи, групи користувачів та комп'ютерів. Так можна гнучко налаштовувати правила для різних груп: скажімо, задати для облікових записів менеджерів вимогу використовувати складніші паролі.

Налаштування GPO, застосовані до об'єктів усередині підрозділу, успадковуються. Тобто, якщо всередині OU або домену є якісь інші контейнери, політики застосовуються до всіх об'єктів усередині них.

Стати затребуваним спеціалістом з інформаційної безпеки на онлайн-програмі НДЯУ МІФІ. 30% теорії та 70% практики.

У чому полягає керування політиками Active Directory

Створювати, настроювати, копіювати, видаляти та виконувати інші дії з GPO адміністратор може за допомогою спеціальної консолі – GPMC. Це редактор групової політики домену, де є всі необхідні функції, включаючи складання звітів. Для GPMC існують різні інтерфейси для роботи з тими чи іншими параметрами. Крім того, є утиліта GPResult - вона дозволяє відстежити, які політики застосовуються до якогось об'єкта. А для командного рядка PowerShell можна встановити модуль GPO та керувати політиками з нього.

Працювати з редактором можуть групи користувачів, яким видано права на керування GPO. За замовчуванням до них належать:

адміністратори домену - можуть вільно змінювати, створювати чи видаляти групові політики;
власники-творці групових політик члени цієї групи можуть керувати політиками, але лише тими, що створили самі;
допоміжні адміністратори членам групи можна передати дозвіл на певні дії з тими чи іншими політиками або делегувати управління.

Здається, що зрозуміло: можна створити групові політики кожної категорії користувачів чи пристроїв, продумати їм правила — і система працюватиме. Насправді, звісно, бувають нюанси. До того самого об'єкта часто застосовується кілька різних політик, і вони перекривають або навіть виключають один одного. Щоб уникнути конфліктів, фахівці втручаються у стандартний порядок застосування групових політик.

За промовчанням групові політики Windows обробляються у порядку.Спочатку застосовуються політики на рівні комп'ютера, потім на рівні сайту, домену та організаційної одиниці. Створені пізніше політики мають пріоритет над попередніми.

Так виглядає порядок застосування групових політик. Варто враховувати: сайт може містити кілька доменів, так і один домен може включати кілька сайтів. Це різні методи поділу об'єктів на групи. Джерело А ось так може виглядати результат застосування різних політик до різних рівнів мережі. Видно, що одні налаштування перезаписують інші. Джерело

Порядок можна змінити — саме цим займаються адміністратори, якщо різні політики починають конфліктувати чи перекривати один одного. Ось які можливості Windows GPO дають це зробити.

Зміна послідовності. Адміністратор може використовувати стандартну властивість об'єктів Active Directory: пізніші GPO застосовуються пізніше за всіх і мають найвищий пріоритет. Він може навмисно створити якусь політику останньої, щоб вона виявилася пріоритетнішою за інших.

Примусове ігнорування зв'язків. Можна перевизначити стандартну поведінку, коли дочірня політика «перекриває» батьківську.

Блокування спадкування. Якщо в домені створюється новий об'єкт на основі існуючого, до нього автоматично застосовуються політики батьків. Адміністратор може заборонити таке спадкування, тоді політики нових об'єктів не автоматично повторюватимуть батьківські.

Вимкнення зв'язків. Можна вручну вимкнути використання GPO для певного контейнера або об'єкта. Наприклад, якщо політика поширюється на всі комп'ютери мережі, адміністратор може вивести з-під неї конкретні пристрої.

Фільтрування політик. У Active Directory можна використовувати списки контролю доступу — ACL або Access Control List. Вони описують, хто має доступ до того чи іншого пристрою та які дії може з ним робити. Для групових політик також можна створити ACL. Тоді вони діятимуть лише щодо об'єктів, до яких отримають доступ та право на застосування.

Групові політики та безпека мережі

При всій зручності GPO їх не можна назвати повністю захищеними. Основна небезпека для мережі – у необдуманому делегуванні. Адміністратори можуть передавати іншим користувачам право на роботу з груповими політиками. А ті, у свою чергу, можуть випадково чи навмисно застосувати правила, які порушать захист мережі. Наприклад:

дозволити комп'ютерам читати та зберігати інформацію з флешки. Якщо флешка виявиться заражена вірусом, в мережу проникне шкідливий код;
допустити необмежену кількість спроб введення пароля. В результаті прості паролі можна буде підібрати перебором;
дозволити будь-якому користувачеві встановлювати на комп'ютер нове ПЗ. Співробітник з незнання зможе завантажити з інтернету шкідливу програму та заразити робочий пристрій.

Якщо ж до GPO отримає доступ зловмисний користувач, наслідки можуть бути ще гіршими. Наприклад, він може за допомогою групової політики разом встановити на всі машини шкідливу програму. Або увімкнути автоматичний запуск якихось скриптів, які заважатимуть роботі. Або замінити збережені сайти у браузері на фішингові.

Тому при роботі з груповими політиками слід уважно ставитись до делегування доступу. А ще налаштовувати служби безпеки так, щоб не допускати інцидентів:

моніторити зміни у політиках та повідомляти про них адміністраторів;
захистити найважливіші налаштування GPO - не надавати до них доступ нікому, крім довірених адміністраторів;
мати можливість швидко відкотити зміну, якщо вона порушує вимоги безпеки.

Головне про GPO

GPO – це групові політики домену, набори правил, які застосовуються до комп'ютерів усередині локальної мережі під керуванням Windows Server.
За допомогою політик можна налаштовувати доступи, дозволи та правила використання комп'ютерів, інших пристроїв, облікових записів та служб.
Політики можна встановлювати на окремі комп'ютери або облікові записи, а також масово: наприклад, цілий відділ або всю мережу.
Базово створюється дві політики: групова політика домену за промовчанням та політика контролерів домену за умовчанням. Перша керує всіма пристроями у мережі, друга — лише керуючими пристроями, чи серверами.
Адміністратор може налаштовувати групові політики: втручатися у порядок успадкування, блокувати чи примусово застосовувати якусь політику до конкретного об'єкта.
Групові політики, зокрема, створені для забезпечення безпеки, але щоб мережа дійсно була захищеною, потрібно уважно ставитися до того, хто має доступ до зміни GPO. А також моніторити зміни та у разі потреби швидко їх відкочувати.

Стати затребуваним спеціалістом в IT на онлайн-програмі НДЯУ МІФІ. Навчіться на практиці проектувати системи безпеки, щоб відображати кібератаки та допомагати бізнесу захищати дані користувачів. Індустріальний партнер курсу – Positive Technologies.

Що робить групова політика