杜絕劫持 組策略控制用戶隨意更新
任何一個(gè)有生命力的軟件都免不了經(jīng)常更新。微軟的Windows系統(tǒng)也不例外，事實(shí)證明，許多用戶為了安全的目的經(jīng)常需要更新。不可否認(rèn)，Windows Update也確實(shí)是一個(gè)實(shí)用的功能。特別是在Windows Server 2003中，它允許系統(tǒng)實(shí)施集中管理并自動(dòng)安裝更新。也許有人說(shuō)，現(xiàn)在還有其它的方案可以完成這項(xiàng)功能，但在多數(shù)情況下，Windows更新和Windows服務(wù)器更新服務(wù)(即所謂的WSUS)是一個(gè)低成本高效益的解決方案，而且運(yùn)行平滑，成為管理員的***。
但是，管理員有時(shí)并不允許一般用戶隨意更新其軟件。自從發(fā)生黑客劫持Windows更新后臺(tái)服務(wù)的安全事件之后，情況尤其如此。雖然管理員們采取的限制方法不限于我們討論的內(nèi)容，但今天我們實(shí)施的組策略設(shè)置，可以允許我們控制用戶的更新過(guò)程，并確保用戶不能用Windows Update上傳更新文件。
我們認(rèn)為，為安全起見，管理員們應(yīng)該是能夠使用WindowsUpdate上傳更新文件的唯一人員。我們可以通過(guò)管理Windows Update訪問設(shè)置來(lái)防止用戶訪問Windows Update;這就必然需要我們配置組策略。如果你想給某些用戶訪問Windows Update的訪問權(quán)，你可以設(shè)置誰(shuí)可以訪問這些設(shè)置。
我們可以用幾種獨(dú)立的措施移除對(duì)Windows Update 特性的訪問，可以用一些措施防止使用Windows Update進(jìn)行更新，另外一些措施清除對(duì)Windows Update項(xiàng)目的鏈接，再用另外一些措施禁用或配置自動(dòng)更新。使用本文中所討論的組策略會(huì)禁用用戶或計(jì)算機(jī)的自動(dòng)更新。為了防止Windows Update更新操作系統(tǒng)，需要如下的步驟：
1. 打開組策略編輯器(方法是單擊“開始”/“運(yùn)行”，輸入gpedit.msc，單擊“確定”。)
2. 創(chuàng)建一個(gè)新的組策略對(duì)象，例如，forbidUpdates
3. 選擇“計(jì)算機(jī)配置”
4. 單擊“管理模板”
5. 單擊“系統(tǒng)”
6. 單擊“Internet通信管理”
7. 選擇“Internet通信設(shè)置”
8. 在組策略編輯器的右側(cè)的窗格中，雙擊“關(guān)閉訪問所有的Windows更新特性”, 單擊“已啟用”單選按鈕，單擊“確定”。如圖1和圖2：
圖1
圖2#p#
為了禁用用戶通過(guò)其它途徑訪問Windows Update命令，例如禁用在“開始”菜單或“Internet Explorer”中的更新，請(qǐng)完成下面的步驟：
1. 單擊“用戶配置”
2. 單擊“管理模板”
3. 單擊“開始菜單和任務(wù)欄”
4. 在組策略編輯器的右側(cè)的窗格中，雙擊“刪除到“Windows Update”的訪問和鏈接”。如圖3：
圖3
5. 選擇“已啟用”單選按鈕，單擊“確定”，如圖4：
圖4#p#
為完全地防止用戶使用Windows Update，需要完成下面的步驟：
1. 打開“組策略編輯器”
2. 選擇“計(jì)算機(jī)配置”
3. 單擊“管理模板”
4. 單擊“Windows組件”
5. 單擊“Windows Update”，雙擊“刪除使用所有Windows Update功能的訪問”，如圖5：
圖5
6. 單擊選擇“已啟用”單選按鈕，單擊確定。如圖6：
圖6
(本文試驗(yàn)在Windows server 2003 sp2環(huán)境中通過(guò)。)
拋磚引玉，上面我們討論了限制使用Windows Update更新的三種方法，您可以根據(jù)自己的網(wǎng)絡(luò)和系統(tǒng)情況選擇一種而采用之，如果您能利用組策略找出限制用戶權(quán)限的其它方法，也請(qǐng)您告訴筆者。那本文就達(dá)到目的了。
【編輯推薦】
