Одним из основных инструментов тонкой настройки параметров пользователя и системы Windows являются групповые политики — GPO (Group Policy Object) . На сам компьютер и его пользователей могут действовать доменные групповые политики (если компьютер состоит в домене Active Directory) и локальные (эти политики настраиваются локально и применяются только на данном компьютере). Групповые политики являются отличным средством настройки системы, способным повысить ее функционал, защищенность и безопасность. Однако у начинающих системных администраторов, решивших поэкспериментировать с безопасностью своего компьютера, некорректная настройка некоторых параметров локальной (или доменной) групповой политики может привести к различным проблемам: от мелких проблем, заключающихся, например, в невозможности подключить принтер или USB флешку, до полного запрета на установку или запуск любых приложений (через политики SPR или AppLocker),или даже запрета на локальный или удаленный вход в систему.

В таких случаях, когда администратор не может локально войти в систему, или не знает точно какая из примененных им настроек политик вызывает проблему, приходится прибегать к аварийному сценарию сброса настроек групповых политик на стандартные настройки (по-умолчанию). В «чистом» состоянии компьютера ни один из параметров групповых политик не задан.

В этой статье мы покажем несколько методов сброса настроек параметров локальных и доменных групповых политик к значениям по умолчанию. Эта инструкция является универсальной и может быть использована для сброса настроек GPO на всех поддерживаемых версиях Windows: начиная с Windows 7 и заканчивая Windows 10, а также для всех версий Windows Server 2008/R2, 2012/R2 и 2016.

Сброс локальных политик с помощью консоли gpedit.msc

Этот способ предполагает использование графической консоли редактора локальной групповой политики gpedit .msc для отключения всех настроенных политик. Графический редактор локальной GPO доступен только в Pro, Enterprise и Education редакциях.

Совет . В домашних (Home) редакциях Windows консоль Local Group Policy Editor отсутствует, однако запустить ее все-таки можно. По ссылкам ниже вы сможете скачать и установить консоль gpedit.msc для Windows 7 и Windows 10:

Запустите оснастку gpedit.msc и перейдите в раздел All Settings локальных политик компьютера (Local Computer Policy -> Computer Configuration - > Administrative templates / Политика «Локальный компьютер» -> Конфигурация компьютера -> Административные шаблоны ). Данные раздел содержит список всех политик, доступных к настройке в административных шаблонах. Отсортируйте политики по столбцу State (Состояние) и найдите все активные политики (находятся в состоянии Disabled / Отключено или Enabled / Включено ). Отключите действие всех или только определенных политик, переведя их в состояние Not configured (Не задана).

Такие же действия нужно провести и в разделе пользовательских политик (User Configuration / Конфигурация пользователя ). Таким образом можно отключить действие всех настроек административных шаблонов GPO.

Совет . Список всех примененных настроек локальных и доменных политик в удобном html отчете можно получить с помощью встроенной утилиты командой:
gpresult /h c:\distr\gpreport2.html

Указанный выше способ сброса групповых политик в Windows подойдет для самых «простых» случаев. Некорректные настройки групповых политик могут привести к более серьезным проблемам, например: невозможности запуска оснастки gpedit.msc или вообще всех программ, потери пользователем прав администратора системы, или запрета на локальный вход в систему. Рассмотрим эти случаи подробнее.

Принудительный сброс настроек локальных GPO из командной строки

В этом разделе описан способ принудительного сброса всех текущих настроек групповых политик в Windows. Однако сначала опишем некоторые принципы работы административных шаблонов групповых политик в Windows.

Архитектура работы групповых политик основана на специальных файлах Registry .pol . Данные файлы хранят параметры реестра, которые соответствуют тем или иным параметрам настроенных групповых политик. Пользовательские и компьютерные политики хранятся в разных файлах Registry .pol .

• Настройки конфигурации компьютера (раздел Computer Configuration ) хранятся в %SystemRoot%\System32\ GroupPolicy\Machine\registry.pol
• Пользовательские политики (раздел User Configuration ) — %SystemRoot%\System32\ GroupPolicy\User\registry.pol

При загрузке компьютера система импортирует содержимое файла \Machine\Registry.pol в ветку системного реестра HKEY_LOCAL_MACHINE (HKLM). Содержимое файла \User\Registry.pol импортируется в ветку HKEY_CURRENT_USER (HKCU) при входе пользователя в систему.

Консоль редактора локальных групповых политик при открытии загружает содержимое данных файлов и предоставляет их в удобном пользователю графическом виде. При закрытии редактора GPO внесенные изменения записываются в файлы Registry.pol. После обновления групповых политик (командой gpupdate /force или по-расписанию), новые настройки попадают в реестр.

Совет . Для внесения изменения в файлы стоит использовать только редактор групповых политик GPO. Не рекомендуется редактировать файлы Registry.pol вручную или с помощью старых версий редактора групповой политики!

Чтобы удалить все текущие настройки локальных групповых политик, нужно удалить файлы Registry.pol в каталоге GroupPolicy. Сделать это можно следующими командами, запущенными в командной строке с правами администратора:

RD /S /Q "%WinDir%\System32\GroupPolicyUsers" RD /S /Q "%WinDir%\System32\GroupPolicy"

После этого нужно обновить настройки политик в реестре:

Gpupdate /force

Данные команды сбросят все настройки локальных групповых политик в секциях Computer Configuration и User Configuration.

Откройте консоль редактора gpedit.msc и убедитесь, что все политики перешли в состояние Не задано / Not configured. После запуска консоли gpedit.msc удаленные папки будут созданы автоматически с настройками по-умолчанию.

Сброс локальных политик безопасности Windows

Локальные политик безопасности (local security policies) настраиваются с помощью отдельной консоли управления secpol.msc . Если проблемы с компьютером вызваны «закручиванием гаек» в локальных политиках безопасности, и, если у пользователя остался доступ к системе и административные права, сначала стоит попробовать сбросить настройки локальных политик безопасности Windows к значениям по-умолчанию. Для этого в командной строке с правами администратора выполните:

• Для Windows 10, Windows 8.1/8 и Windows 7: secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
• Для Windows XP: secedit /configure /cfg %windir%\repair\secsetup.inf /db secsetup.sdb /verbose

После чего компьютер нужно перезагрузить.

В том случае, если проблемы с политиками безопасности сохраняются, попробуйте вручную переименовать файл контрольной точки базы локальных политик безопасности %windir%\security\database\edb.chk

ren %windir%\security\database\edb.chk edb_old.chk

Выполните команду:
gpupdate /force
Перезагрузите Windows с помощью :
Shutdown –f –r –t 0

Сброс локальных политик при невозможности входа в Windows

В том случае, если локальный вход в систему невозможен или не удается запустить командную строку (например, при блокировке ее и других программ с помощью ). Удалить файлы Registry.pol можно, загрузившись с установочного диска Windows или любого LiveCD.

Сброс примененных настроек доменных GPO

Несколько слов о доменных групповых политиках. В том случае, если компьютер включен в домен Active Directory, некоторыми его настройками может управлять администратор домена через доменные GPO.

Файлы registry.pol всех применённых доменных групповых политик хранятся в каталоге %windir%\System32\GroupPolicy\DataStore\0\SysVol\ contoso.com\Policies . Каждая политика хранится в отдельном каталоге с GUID доменной политики.

Этим файлам registry.pol соответствуют следующие ветки реестра:

• HKLM\Software\Policies\Microsoft
• HKCU\Software\Policies\Microsoft
• HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects
• HKCU\Software\Microsoft\Windows\CurrentVersion\Policies

История примененных версий доменных политик, которые сохранились на клиенте, находится в ветках:

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\
• HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy\History\

При исключении компьютера из домена файлы registry.pol доменных политик на компьютере удаляются и соответственно, не загружаются в реестр.

Если нужно принудительно удалить настройки доменных GPO, нужно очистить каталог %windir%\System32\GroupPolicy\DataStore\0\SysVol\contoso.com\Policies и удалить указанные ветки реестра (настоятельно рекомендуется создать резервную копию удаляемых файлов и веток реестра!!!). Затем выполните команду:

gpupdate /force /boot

Совет . Указанная методика позволяет сбросить все настройки локальных групповых политик во всех версиях Windows. Сбрасываются все настройки, внесенные с помощью редактора групповой политики, однако не сбрасываются все изменения, внесенные в реестре напрямую через редактор реестра, REG- файлы или любым другим способом.

Я загорелся такой идеей обеспечения безопасности и решил попробовать сделать у себя так же.

Поскольку у меня стоит Windows 7 Professional, первой идеей оказалось использование AppLocker"a, однако быстро выяснилось, что работать в моей редакции винды он не хочет, и требует Ultimate или Enterprise. В силу лицензионности моей винды и пустоты моего кошелька, вариант с AppLocker"ом отпал.

Следующей попыткой стала настройка групповых политик ограниченного использования программ. Поскольку AppLocker является «прокачанной» версией данного механизма, логично попробовать именно политики, тем более они бесплатны для пользователей Windows:)

Заходим в настройки:
gpedit.msc -> Конфигурация компьютера -> Конфигурация Windows -> Параметры безопасности -> Политики ограниченного использования программ

В случае, если правил нет, система предложит сгенерировать автоматические правила, разрешающие запуск программ из папки Windows и Program Files. Так же добавим запрещающее правило для пути * (любой путь). В результате мы хотим получить возможность запуска программ только из защищенных системных папок. И что же?
Да, это мы и получим, но вот только маленькая незадача - не работают ярлыки и http ссылки. На ссылки еще можно забить, а без ярлыков жить плоховато.
Если разрешить запуск файлов по маске *.lnk - мы получим возможность создать ярлык для любого исполняемого файла, и по ярлыку запустить его, даже если он лежит не в системной папке. Паршиво.
Запрос в гугл приводит к таким решениям: или разрешить запуск ярлыков из пользовательской папки, либо пользовать сторонние бары с ярлычками. Иначе никак. Лично мне такой вариант не нравится.

В итоге мы сталкиваемся с ситуацией, что *.lnk является с точки зрения винды не ссылкой на исполняемый файл, а исполняемым файлом. Бредово, но что ж поделать… Хотелось бы, чтобы винда проверяла не местонахождение ярлычка, а местонахождение файла, на который он ссылается.

И тут я нечаянно натолкнулся на настройки списка расширений, являщихся исполняемыми с точки зрения винды (gpedit.msc -> Конфигурация компьютера -> Конфигурация Windows -> Параметры безопасности -> Назначенные типы файлов). Удаляем оттуда LNK и заодно HTTP и релогинимся. Получаем полностью рабочие ярлычки и проверку на местонахождение исполняемого файла.
Было сомнение, можно ли будет передавать через ярлыки параметры - можно, так что все ок.

В результате мы получили реализацию идеи, описанной в статье «Windows-компьютер без антивирусов» без каких либо неудобств для пользователя.

Также для любителей стрелять себе в ногу, можно создать папку в Program Files и кинуть ярлык для нее на рабочий стол, назвав, например «Песочницей». Это позволит запускать оттуда программы без отключения политик, пользуясь защищенным хранилищем (защита через UAC).

Надеюсь описанный метод окажется для кого-то полезным и новым. По крайней мере я о таком ни от кого не слышал и нигде не видел.

Желание Microsoft похоронить его в глубине системы совершенно не удивительно - в руках неопытного пользователя Редактор локальной групповой политики может нарушить нормальное функционирование ОС. Это своего рода электронный ящик Пандоры, способный ввергнуть мир Windows в череду несчастий и бед, попади он не в те руки.

Разумеется, эти мрачные пророчества не имеют к вам, дорогие читатели, никакого отношения. Ведь вы - осторожные и внимательные пользователи системных инструментов, и конечно же, не забудете создать точку восстановления системы, прежде чем браться за редактирование локальных групповых политик. Я не сомневаюсь, что на вас можно положиться.

Если коротко, групповые политики - это параметры, управляющие функционированием системы. Их можно использовать для настройки интерфейса Windows 7, ограничения доступа к определенным зонам, определения параметров безопасности и так далее. Изменять групповые политики можно с помощью Редактора локальной групповой политики - оснастки . В версиях Windows 7 Home и Редактор недоступен, поэтому по каждому пункту я буду также давать рекомендации о том, как добиться желаемого результата с помощью Редактора реестра (Regedit). Чтобы запустить Редактор локальной групповой политики:

1. Нажмите кнопку «Пуск» (Start).
2. Введите «gpedit.msc» в строке поиска.
3. Нажмите .

На рис. A показано окно Редактора локальной групповой политики. Слово «локальной» указывает на то, что редактируются групповые политики на локальном компьютере, а не на удаленном.

Рисунок A. Использование Редактора локальной групповой политики для изменения групповой политики на локальном компьютере.

При удалении файлов или папок в Windows 7 всегда появляется диалоговое окно с предложением подтвердить удаление. Если это вас напрягает, подтверждения можно отключить, нажав правой кнопкой мыши на значке Корзины (Recycle Bin) и сняв флажок «Запрашивать подтверждение на удаление» (Display Delete Confirmation Dialog) в диалоговом окне «Свойства» (Properties).

С другой стороны, система по умолчанию запрашивает подтверждение на удаление не просто так, а для того, чтобы пользователь случайно не удалил нужные файлы. Мы с вами - люди опытные и хорошо понимаем, что можно удалять, а что нет. Но ведь не все такие. Если компьютером пользуются маленькие дети или пожилые родители, плохо знакомые с системой, запрос подтверждения на удаление - прекрасная защита от случайных ошибок неопытных пользователей.

В этом случае имеет смысл сделать так, чтобы рядовые пользователи не имели возможности самостоятельно отключать запросы на подтверждение удаления. Это возможно двумя способами:

Либо путем блокирования флажка «Запрашивать подтверждение на удаление» в диалоговом окне свойств Корзины;
. либо путем блокирования самого диалогового окна «Свойства», чтобы пользователь не имел к нему доступа.

Чтобы воспользоваться одним из этих способов:

1. В окне Редактора локальной групповой политики разверните узел «Конфигурация пользователя» (User Configuration).
2. Разверните элемент «Административные шаблоны» (Administrative Templates).
3. Вызовите окно свойств интересующей вас политики.

Если хотите заблокировать флажок «Запрашивать подтверждение на удаление» в окне свойств, разверните элемент «Компоненты Windows» (Windows Components) и выберите пункт «Проводник Windows» (Windows Explorer). Дважды щелкните на политике «Запрашивать подтверждение при удалении файлов» (Display Confirmation Dialog When Deleting Files).

Если у вас нет доступа к , откройте Редактор реестра и создайте параметр DWORD с именем «ConfirmFileDelete» (без кавычек) и значением «1» (без кавычек) в разделе «HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer».

Чтобы сделать недоступной команду «Свойства» в контекстном меню Корзины, выберите пункт «Рабочий стол» (Desktop) и дважды щелкните на политике «Убрать пункт "Свойства" из контекстного меню Корзины» (Remove Properties From The Recycle Bin Context Menu).
Если у вас нет доступа к Редактору локальной групповой политики, откройте Редактор реестра и создайте параметр DWORD с именем «NoPropertiesRecycleBin» (без кавычек) и значением «1» (без кавычек) в разделе «HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer».

4. Выберите значение «Включен» (Enabled).
5. Нажмите «OK», чтобы применить изменения.

2. Отключение области уведомлений

Если вы не пользуетесь областью уведомлений, ее можно полностью отключить. Для этого:

1. В окне Редактора локальной групповой политики разверните узел «Конфигурация пользователя».
2. Разверните элемент «Административные шаблоны».
3. Разверните элемент «Меню "Пуск" и панель задач» (Start Menu And Taskbar).
4. Дважды щелкните на политике «Скрывать область уведомлений» (Hide The Notification Area), выберите значение «Включено» и нажмите «OK».
5. Дважды щелкните на политике «Убрать часы из области уведомлений» (Remove Clock From The System Notification Area), выберите значение «Включено» и нажмите «OK».
6. Выйдите из системы и снова войдите, чтобы изменения вступили в силу.

Чтобы реализовать эту политику через реестр, нажмите кнопку «Пуск», введите в строке поиска «regedit», нажмите и подтвердите продолжение операции в окне . Откроется Редактор реестра. Найдите в нем раздел «HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer». Если раздел «Explorer» отсутствует, выделите раздел «Policies», выберите пункт меню «Правка | Создать | Раздел» (Edit | New | Key), введите «Explorer» (без кавычек) и нажмите .

Теперь выполните следующие действия:
1. Выберите пункт меню «Правка | Создать | Параметр DWORD (32 бита)» (Edit | New | DWORD (32-bit) Value).
2. Введите «NoTrayItemsDisplay» (без кавычек) и нажмите .
3. Нажмите , чтобы вызвать окно свойств «NoTrayItemsDisplay», введите «1» (без кавычек) и нажмите «OK».
4. Выберите пункт меню «Правка | Создать | Параметр DWORD (32 бита)».
5. Введите «HideClock» (без кавычек) и нажмите .
6. Нажмите , чтобы вызвать окно свойств «HideClock», введите «1» (без кавычек) и нажмите «OK».
7. Выйдите из системы и снова войдите, чтобы изменения вступили в силу.

В предыдущих моих статьях о групповых политиках было рассказано о принципах работы оснастки . Рассматривались некоторые узлы текущей оснастки, а также функционал множественной групповой политики. Начиная с этой статьи, вы сможете узнать об управлении параметрами безопасности на локальном компьютере, а также в доменной среде. В наше время обеспечение безопасности является неотъемлемой частью работы как для системных администраторов в крупных и даже мелких предприятиях, так и для домашних пользователей, перед которыми стоит задача настройки компьютера. Неопытные администраторы и домашние пользователи могут посчитать, что после установки антивируса и брандмауэра их операционные системы надежно защищены, но это не совсем так. Конечно, эти компьютеры будут защищены от множества атак, но что же спасет их от человеческого фактора? Сейчас возможности операционных систем по обеспечению безопасности очень велики. Существуют тысячи параметров безопасности, которые обеспечивают работу служб, сетевую безопасность, ограничение доступа к определенным ключам и параметрам системного реестра, управление агентами восстановления данных шифрования дисков BitLocker, управление доступом к приложениям и многое, многое другое.

В связи с большим числом параметров безопасности операционных систем Windows Server 2008 R2 и Windows 7 , невозможно настроить все компьютеры, используя один и тот же набор параметров. В статье "Настройки групповых политик контроля учетных записей в Windows 7" были рассмотрены методы тонкой настройки контроля учетных записей операционных систем Windows, и это только малая часть того, что вы можете сделать при помощи политик безопасности. В цикле статей по локальным политикам безопасности я постараюсь рассмотреть как можно больше механизмов обеспечения безопасности с примерами, которые могут вам помочь в дальнейшей работе.

Конфигурирование политик безопасности

Политика безопасности - это набор параметров, которые регулируют безопасность компьютера и управляются с помощью локального объекта GPO. Настраивать данные политики можно при помощи оснастки "Редактор локальной групповой политики" или оснастки . Оснастка "Локальная политика безопасности" используется для изменения политики учетных записей и локальной политики на локальном компьютере, а политики учетных записей, привязанных к домену Active Directory можно настраивать при помощи оснастки "Редактор управления групповыми политиками" . Перейти к локальным политикам безопасности, вы можете следующими способами.