Перейти к содержимому
AD Academy
К темам
Защита и мониторинг
Средний18 мин.Обновлено: Тема 2 из 3

Group Policy и Audit

Как политика помогает усилить безопасность.

Не прочитано

Что вы узнаете

  • Что такое GPO и как он применяется
  • Как усилить безопасность политиками
  • Как включить аудит

Перед этой темой стоит прочитать:Best Practices для защиты AD

Group Policy () — это механизм централизованного управления настройками Windows. С помощью GPO можно включить Audit, запретить слабые пароли, ограничить запуск программ и многое другое.

המדיניות מוחלת בסדר: 1. Local Policy במחשב עצמו. 2. Site — אתר פיזי או רשת. 3. Domain — כל הדומיין. 4. OU — האחרון מנצח. מדיניות מאוחרת דורסת את הקודמת, אלא אם הוגדר Enforced.

Полезные настройки GPO

  • Audit Policy — включение регистрации входов/выходов, изменений объектов и привилегированных действий.
  • Password Policy — минимальная длина, сложность и срок действия пароля.
  • — автоматическая смена паролей Local Administrator.
  • — защита Credentials от извлечения из памяти.
Архитектура и теория — под капотом

применяется в порядке LSDOU: Local → Site → → OU. Последняя политика выигрывает, если не заданы Enforced или Block Inheritance.

  • Computer Configuration обновляется при загрузке, User Configuration при входе в систему; фоновое обновление каждые 90 минут (+0-30 случайных).
  • Каждый состоит из GPC в и GPT в папке SYSVOL.
  • Security Filtering и WMI Filtering сужают целевую аудиторию.
Практическая настройка (PowerShell / GUI)
New-GPO -Name "Workstation-Baseline"
New-GPLink -Name "Workstation-Baseline" -Target "OU=Workstations,DC=corp,DC=com"
Set-GPPermission -Name "Workstation-Baseline" -TargetName "IT-PCs" -TargetType Group -PermissionLevel GpoApply
gpupdate /force
gpresult /h C:\report.html
powershell
Диагностика и устранение неполадок
  • Политика не применяется — проверьте Security Filtering и Authenticated Users (обязательно разрешение Read).
  • gpresult показывает Denied (Security) — пользователь не входит в целевую аудиторию.
  • Репликация SYSVOL застопорилась — dfsrmig /getmigrationstate.

Проверь себя

Что такое GPO?

Эта страница вам помогла?

НазадДалее