Windows Registry Security Tips

Whenever jeg ta opp registret sikkerhet, er det uunngåelige spørsmålet alltid hvordan de skal hindre at brukere får tilgang til registeret. Du kan ikke. Husk at registeret inneholder innstillinger som brukeren må være i stand til å lese for Windows til å fungere ordentlig. Brukerne må også ha full kontroll over sine profilelveblest for operativsystemet og programmer for å spare sine preferanser. Du kan ikke hindre tilgang-nor vil du hindre det. Det beste du bør håpe på er å begrense brukeres mulighet til å redigere registeret med regedit eller annet register editors.

The mest elegante måten å hindre tilgang til Regedit er ved å aktivere hindre tilgang til registeret redigeringsverktøy politikk. Når brukerne begynner Regedit, er alt de ser en feilmelding som sier "Registry redigering har blitt deaktivert av administrator." Problemet med denne politikken er at ikke alle register redaktører ære denne politikken. Ingenting hindrer en bestemt bruker fra å laste ned en shareware Registerredigering, hvorav det er mange, og bruke det. En annen mulighet er å bruke programvarebegrensningspolicyer, som du kan lære mer om i Hjelp og støtte.

Selv om dette ikke hindre brukere fra å kjøre shareware register redaktører med mindre du bruker Software Restriction Policies å fullstendig begrense dem til en kort liste over akseptabelt applications.Securing lokal tilgang til Windows-registret er én ting; sikre fjerntilgang er en annen. Windows gir medlemmer av den lokale Administratorer og Backup Operatører grupper ekstern tilgang til registeret. Fordi Domain Admins gruppen er medlem av hver datamaskins lokale administratorgruppen, kan alle domeneadministratorer koble registeret på hvilken som helst datamaskin som er knyttet til domenet.

Også Windows nå begrenser ekstern tilgang til registeret mer enn tidligere versjoner av Windows.There kan være begrenset scenarier der du ønsker å åpne ekstern tilgang til datamaskiner 'registre. For eksempel i Active Directory, kan du opprette en administratorgruppen for hver organisasjonsenhet og ønsker å gi det muligheten til å redigere datamaskiner 'registre hvis de tilhører den organisasjonsenheten. For å aktivere denne gruppen til å fjern redigere en datamaskin register, legge til at gruppen til ACL av nøkkelen HKLMSYSTEMCurrentControlSetControlSecurePipeServerswinreg.

Problemet du kommer til å støte på er at selv om du legger til en gruppe for å winreg tillater ekstern tilgang, hver tast er ACL bestemmer fortsatt hvilke taster gruppen ka