חסימת RUN ו-CMD
בדומיין עם GPO

תמלול ההרצאה: חסימת RUN ו-CMD בדומיין עם GPO

הטקסט המלא של הדקות הראשונות בהרצאה «חסימת RUN ו-CMD בדומיין עם GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם. בהרצאה זו אנחנו נראה מה זה הניהול המרכזי הזה של Active Directory, איך אפשר להוריד הגדרה כלשהי על כל המחשבים בדומיין. כרגע יש לנו שתי תחנות עבודה ואנחנו רוצים להגדיר משהו ב-Active Directory בשרת Domain Controller ולראות שכל התחנות תופסות את ההגדרה.

2. 00:24

   אז אנחנו ניכנס ל-Group Policy Management ובתוך הכלי הזה אנחנו יכולים ליצור פוליסות שיחולו על כלל המחשבים ועל כל המשתמשים בדומיין שלנו, במתחם האבטחה שלנו. כרגע יש לנו פה פוליסת ברירת מחדל שמגיעה עם ההתקנה.

3. 00:42

   הפוליסה הזאת מטפלת באורך סיסמה מינימלי שאפשר לשים בדומיין, כמה אותיות וכמה מספרים ותווים חייבים להיות בסיסמה הזאת, שהסיסמאות לא יהיו פשוטות מדי. ויש עוד פוליסה נוספת שחלה רק על Domain Controller-ים.

4. 00:59

   פוליסה שמאבטחת את שרתי ה-DC. אנחנו יכולים גם להיכנס ל-Settings ולראות בדיוק מה מוגדר פה. לדוגמה, מוגדר פה מי יכול לעשות Log On, להיכנס לתוך השרת הזה.

5. 01:13

   כמו שאנחנו נכנסנו עם שם וסיסמה של אדמיניסטרטור, פה בפוליסה מוגדר שאכן אדמיניסטרטור יכול להיכנס, אבל אם תקראו טוב טוב מה כתוב כאן, אתם תשימו לב שאין פה User-ים רגילים.

6. 01:27

   המשתמשים הרגילים לא יכולים להיכנס ל-Domain Controller עם השם שלהם כי הם לא חברים בקבוצות שלהם מותר להיכנס פנימה. והפוליסה הזאת, שחלה על Domain Controllers, מונעת מיוזר רגיל להיכנס למחשב של DC כי ליוזר רגיל אין מה לחפש בפנים.

7. 01:45

   זאת לא תחנת עבודה שלו ואין שום סיבה שהוא ייכנס עם שם והסיסמה שלו פנימה. אם הוא רוצה לגשת דרך הרשת לשיתוף כלשהו דרך ה-Network, הנה אני רואה פה של-Everyone יש אישור כזה.

8. 01:58

   לכולם יש אישור. כל אחד יכול לגשת למחשב הזה דרך שיתופים ברשת, אבל להיכנס פנימה כמו שאנחנו יושבים ולחטט במחשב הזה זה רק לקבוצות מסוימות, אדמיניסטרטורים.

9. 02:12

   בואו נבדוק את הטענה הזאת. נעשה Sign Out, מה שנקרא Log Off, וניכנס מחדש עם יוזר פשוט בשם יוני. ותראו מה הוא כותב, שה-User is not allowed. הוא לא מורשה לעשות Sign In.

10. 02:25

    הוא לא מורשה להיכנס לתוך המחשב הזה. זאת דוגמה לפוליסה שחלה על שרתי DC שמאבטחת אותם שיוזר בשם יוני לא ייכנס לי לשרת וינסה לגנוב לי מידע. לנהל שרת ולהיכנס לתוכו זה תפקיד של אדמיניסטרטור.

11. 02:40

    בואו נעשה עוד איזושהי פוליסה משלנו שתחול על כל תחנות העבודה. ניכנס ל-Group Policy Management. ראינו פה שיש לנו פוליסה ברמת דומיין כולו ויש לנו פוליסה ברמת שרתי DC בלבד, שחלה על תיקייה של Domain Controllers בלבד ואנחנו נעשה עכשיו פוליסה חדשה.

12. 02:59

    נקרא לה No Run Menu Option. אני חוסם את האופציה של Run. מכירים את זה שפה אני לוחץ כפתור ימני Run, שהיוזר לא יוכל לעשות את זה. סתם הדגמה למשהו שאני לא מרשה לעשות ליוזר.

13. 03:13

    כרגע הפוליסה הזאת חלה על כל הדומיין, על כולם, לא על תיקייה מסוימת. כאן אנחנו רואים ש-Computer Configuration, הגדרות ברמת מחשב, אין כלום No Settings. הגדרות ברמת היוזר גם הן No Settings.

14. 03:28

    אין שום הגדרות כי עשינו פוליסה נקייה. בואו ניכנס ונגדיר משהו בפנים. נעשה Edit על פוליסה. בואו ניכנס ל-User Configurations, לפוליסות, ל-Windows Settings.

15. 03:40

    אתם לא צריכים לזכור את זה בעל פה כי יש פה אלפי הגדרות. אף אחד לא מצפה ממכם לזכור את כל ההגדרות האלו בעל פה. ויש לנו פה Start Menu ובתוך ה-Start Menu יש לנו Remove Run Menu from Start Menu.

16. 03:55

    זאת ההגדרה. האמת בדקתי את זה בגוגל לפני הסרט. אני גם לא זוכר את זה בעל פה. ההגדרה הזאת כרגע Not Configured, לא מוגדרת.

17. 04:03

    אם אני אעשה פה דבל קליק, יפתח לי החלון הזה ואפשר פה לאשר אותה. נעשה אוקיי ואנחנו רואים שההגדרה הזאת Enabled. היא מאושרת.

18. 04:12

    ואתם יודעים מה? חוץ מלהגביל אותו ב-Run, בואו נגביל אותו גם שלא יוכל לפתוח CMD. ניכנס פה ל-System, נסדר את זה לפי האלף בית.

19. 04:21

    אתם רואים, יש פה צ'ופצ'יק שיהיה לי קל לחפש ואני רואה פה Prevent Access to the Command Prompt. להגביל גישה ל-CMD. אני עושה דבל קליק ועושה Enabled להגדרה.

20. 04:33

    אוקיי. בואו נסגור את הכלי שעורך את הפוליסה הזאת שנקראת No Run Menu Options. עכשיו נעשה עליה Refresh על הפוליסה הזאת.