ตัวแก้ไขนโยบายกลุ่มคืออะไร? คุณจะเข้าถึงและใช้งานได้อย่างไร?

ตัวแก้ไขนโยบายกลุ่มคืออะไร

ตัวแก้ไขนโยบายกลุ่มเป็นเครื่องมือ Windows ที่นำเสนอวิธีการจัดการแบบรวมศูนย์และการกำหนดค่าการตั้งค่าเครือข่ายและคอมพิวเตอร์ที่หลากหลายภายในโดเมนเดียวกัน

นโยบายกลุ่มมีประโยชน์มากที่สุดสำหรับผู้ดูแลระบบเครือข่าย เพื่อให้สามารถกำหนดค่าข้อกำหนดรหัสผ่าน โปรแกรมเริ่มต้นระบบ และกำหนดแอปพลิเคชันหรือการตั้งค่าที่ผู้ใช้สามารถเปลี่ยนแปลงได้

คอลเลกชันของการตั้งค่านโยบายกลุ่มเหล่านี้เรียกว่าวัตถุนโยบายกลุ่ม (GPO) Microsoft มีโปรแกรมสแน็ปอินที่ให้คอนโซลการจัดการนโยบายกลุ่ม (GPMC) และการเลือกที่เลือกภายในผลลัพธ์นี้ในวัตถุนโยบายกลุ่ม GPO เกี่ยวข้องกับคอนเทนเนอร์ Active Directory ที่เลือก รวมถึงไซต์ โดเมน หรือหน่วยองค์กร (OU)

คุณสามารถทำอะไรกับตัวแก้ไขนโยบายกลุ่มได้

นโยบายกลุ่มควบคุมเวอร์ชันของโปรโตคอลเครือข่ายที่พร้อมใช้งานและใช้กฎรหัสผ่าน ความปลอดภัยด้านไอทีขององค์กรจะได้รับประโยชน์อย่างมากจากการตั้งค่าและการรักษานโยบายกลุ่มที่เข้มงวด ต่อไปนี้คือตัวอย่างบางส่วนของนโยบายกลุ่มความปลอดภัยด้านไอทีที่ดี:

• จำกัดว่าผู้ใช้จะติดตั้งหรือเข้าถึงแอปพลิเคชันใดบนอุปกรณ์ขององค์กรที่ได้รับการจัดการได้
• ปิดใช้งานอุปกรณ์แบบถอดได้ เช่น ไดรฟ์ USB
• ปิดใช้งานโปรโตคอลเครือข่ายที่ไม่ปลอดภัย เช่น TLS 1.0 เพื่อบังคับใช้โปรโตคอลที่ปลอดภัยยิ่งขึ้น
• จำกัดการตั้งค่าที่ผู้ใช้สามารถเปลี่ยนแปลงได้ด้วยแผงควบคุม เช่น อนุญาตให้เปลี่ยนความละเอียดหน้าจอแต่แก้ไขการตั้งค่า VPN ไม่ได้
• หยุดผู้ใช้ไม่ให้เข้าถึง gpedit เพื่อไม่ให้เปลี่ยนการตั้งค่าใดๆ ข้างต้น

วิธีการเข้าถึงตัวแก้ไขนโยบายกลุ่ม

มีหลายวิธีในการเปิด Group Policy Editor แต่อาจเป็นวิธีที่ง่ายที่สุดในการเปิด Local Group Policy Editor ใน Run:

• คลิก ค้นหา ในแถบเครื่องมือแล้วพิมพ์ เรียกใช้
• พิมพ์ 'gpedit.msc' ในคำสั่ง Run และคลิก ตกลง

ส่วนประกอบของตัวแก้ไขนโยบายกลุ่ม

หน้าต่างตัวแก้ไขนโยบายกลุ่มคือมุมมองรายการทางด้านซ้ายและมุมมองตามบริบททางด้านขวา เมื่อคุณคลิกรายการทางด้านซ้าย รายการดังกล่าวจะเปลี่ยนการแสดงผลทางด้านขวาเพื่อแสดงรายละเอียดเกี่ยวกับสิ่งใดก็ตามที่เลือกไว้ทางด้านซ้าย

โหนดระดับบนสุดทางด้านซ้ายคือ การกำหนดค่าคอมพิวเตอร์ และ การกำหนดค่าผู้ใช้ หากคุณเปิดแผนผังสำหรับการกำหนดค่าคอมพิวเตอร์ คุณสามารถสำรวจตัวเลือกที่พร้อมใช้งานเพื่อจัดการคุณลักษณะลักษณะการทำงานของระบบต่างๆ

ตัวอย่างเช่น ภายใต้การกำหนดค่าคอมพิวเตอร์ เทมเพลตการดูแลระบบ แผงควบคุม การกำหนดค่าส่วนบุคคล คุณจะเห็นสิ่งต่างๆ เช่น อย่าแสดงหน้าจอเมื่อล็อก ทางด้านขวามือ:

คุณสามารถแก้ไขการตั้งค่าเหล่านี้ได้โดยดับเบิลคลิก:

มีการตั้งค่าที่แตกต่างกันหลายร้อยรายการในตัวแก้ไขนโยบายกลุ่ม โปรดดูเอกสารประกอบของ Microsoft สำหรับรายการการตั้งค่าทั้งหมดที่มีอยู่

ส่วนประกอบตัวแก้ไขนโยบายกลุ่มภายใน>

ตัวแก้ไขนโยบายกลุ่มประกอบด้วยสององค์ประกอบหลัก ได้แก่ การกำหนดค่าคอมพิวเตอร์และการกำหนดค่าผู้ใช้:

การกำหนดค่าคอมพิวเตอร์: นโยบายเหล่านี้ใช้กับคอมพิวเตอร์ในระบบ และไม่มีการเปลี่ยนแปลงต่อผู้ใช้

การกำหนดค่าผู้ใช้: นโยบายเหล่านี้ใช้กับผู้ใช้ในเครื่องท้องถิ่นและจะนำไปใช้กับผู้ใช้ใหม่ในอนาคตบนคอมพิวเตอร์ท้องถิ่นนี้

ส่วนประกอบเหล่านี้ประกอบด้วยหมวดหมู่ย่อยที่ผู้ดูแลระบบสามารถปรับแต่งให้เหมาะกับความต้องการเฉพาะของพวกเขาได้ ตัวอย่างเช่น ภายใน Computer Configuration ผู้ดูแลระบบสามารถควบคุมการตั้งค่าเครือข่าย ส่วนประกอบของ Windows และบริการของระบบได้ ส่วนประกอบการกำหนดค่าผู้ใช้ช่วยให้ผู้ดูแลระบบสามารถจัดการตัวเลือกเฉพาะของผู้ใช้ เช่น การกำหนดค่าเดสก์ท็อปและข้อจำกัดของแอปพลิเคชัน

กำหนดค่านโยบายความปลอดภัยโดยใช้คอนโซลตัวแก้ไขนโยบายกลุ่มภายใน

เมื่อคุณทราบแล้วว่าต้องการตั้งค่า GPO ใด การใช้ตัวแก้ไขนโยบายกลุ่มเพื่อทำการเปลี่ยนแปลงนั้นเป็นกระบวนการที่ไม่ซับซ้อน

ตัวอย่างเช่น หากต้องการเปลี่ยนการตั้งค่ารหัสผ่าน:

• ใน gpedit คลิก การตั้งค่า Windows, การตั้งค่าบัญชี, นโยบายรหัสผ่าน



• เลือกตัวเลือกสำหรับ รหัสผ่านต้องเป็นไปตามข้อกำหนดด้านความซับซ้อน
• คลิก เปิดใช้งาน จากนั้น ใช้ และการเปลี่ยนแปลงของคุณจะเกิดขึ้นบนคอมพิวเตอร์เครื่องนี้ การใช้การเปลี่ยนแปลงกับ GPO ในระดับองค์กรอยู่นอกเหนือขอบเขตของบทความนี้

วิธีใช้ PowerShell เพื่อจัดการนโยบายกลุ่ม

ผู้ดูแลระบบจำนวนมากเปลี่ยนไปใช้ PowerShell แทนอินเทอร์เฟซผู้ใช้เพื่อจัดการนโยบายกลุ่ม นี่คือตัวอย่างบางส่วนของ PowerShell GroupPolicy cmdlets:

GPO ใหม่: cmdlet นี้สร้าง GPO ที่ยังไม่ได้กำหนดใหม่ คุณสามารถใส่ชื่อ เจ้าของ โดเมน และพารามิเตอร์อื่นๆ ให้กับ GPO ใหม่ได้

Get-GPOReport: cmdlet นี้ส่งคืน GPO ทั้งหมดหรือที่ระบุที่มีอยู่ในโดเมนในไฟล์ XML หรือ HTML

Get-GPResultantSetOfPolicy: cmdlet นี้ส่งคืนชุดนโยบายผลลัพธ์ (RsoP) ทั้งหมดสำหรับผู้ใช้หรือคอมพิวเตอร์หรือทั้งสองอย่าง และสร้างไฟล์ XML พร้อมผลลัพธ์

นี่เป็นวิธีที่มีประโยชน์ในการวิจัยปัญหาเกี่ยวกับ GPO นโยบายที่ตั้งค่าเป็นค่าหนึ่งอาจถูกเขียนทับโดย GPO อื่นได้ และวิธีเดียวที่จะค้นหาสิ่งนี้ได้คือการทราบค่าจริงที่ใช้กับผู้ใช้หรือคอมพิวเตอร์

เรียกใช้-GPUpdate: cmdlet นี้ช่วยให้คุณสามารถรีเฟรช GPO บนคอมพิวเตอร์ได้

ข้อจำกัดของตัวแก้ไขนโยบายกลุ่ม

แอปพลิเคชัน gpedit เป็นแอปพลิเคชันพื้นฐานสำหรับเครื่องมือที่จะช่วยรักษาความปลอดภัยให้กับทั้งองค์กรของคุณ การอัปเดต GPO เกิดขึ้นในช่วงเวลาที่แตกต่างกันบนคอมพิวเตอร์ทั่วทั้งเครือข่ายหรือในการรีบูต ดังนั้น ไม่ทราบเวลาระหว่างการเปลี่ยนแปลงของคุณกับคอมพิวเตอร์ทุกเครื่องบนเครือข่ายที่ได้รับการเปลี่ยนแปลงนี้

สิ่งสำคัญคือต้องตรวจสอบ Active Directory สำหรับการเปลี่ยนแปลงใดๆ ที่เกิดขึ้นกับนโยบายกลุ่มบ่อยครั้ง การเปลี่ยนแปลงเหล่านี้เป็นสัญญาณแรกของการโจมตีทางไซเบอร์ ซึ่งแฮกเกอร์ต้องการอยู่ในเครือข่ายของคุณชั่วระยะเวลาหนึ่งและยังคงถูกซ่อนอยู่

ผู้โจมตีสามารถเปลี่ยนนโยบายกลุ่มภายในเครื่องโดยใช้เครื่องมือ gpedit เดียวกันหรือ PowerShell ซึ่งสามารถยกเลิกการป้องกันใดๆ ที่คุณเปิดใช้งานบนระบบนั้นได้ เป็นที่น่าสังเกตว่า gpedit ไม่มีการตรวจสอบดั้งเดิมในตัว ดังนั้นคุณต้องตรวจสอบการเปลี่ยนแปลง GPO ทั้งหมดอย่างอิสระเพื่อให้แน่ใจว่าองค์กรของคุณยังคงปลอดภัย คำตอบประการหนึ่งคือการใช้แพลตฟอร์มความปลอดภัยข้อมูล Lepide

เลพิเด้ช่วยได้อย่างไร

เมื่อคำนึงถึงความเสี่ยงที่เกี่ยวข้องกับการเปลี่ยนแปลงนโยบายกลุ่ม จึงจำเป็นอย่างยิ่งที่องค์กรจะต้องมีแนวทางเชิงรุกที่มีโครงสร้างและเชิงรุกในการตรวจสอบนโยบายกลุ่ม ผู้ตรวจสอบ Lepide สำหรับนโยบายกลุ่มทำให้ง่ายต่อการดูทันทีว่าใคร ทำอะไร ที่ไหน และเมื่อใดที่มีการเปลี่ยนแปลง และยังช่วยให้คุณสามารถย้อนกลับ Group Policy Object ทั้งหมดกลับสู่สถานะก่อนหน้าได้ โซลูชัน Lepide มาพร้อมกับรายงานการตรวจสอบนโยบายกลุ่มที่กำหนดไว้ล่วงหน้ามากกว่า 40 รายการและการแจ้งเตือนแบบเรียลไทม์ ซึ่งช่วยให้การดำเนินการที่ไม่ซับซ้อนของสิ่งที่อาจเป็นกระบวนการที่ต้องทำด้วยตนเองอย่างมาก

ด้านล่างนี้คือตัวอย่างรายงานจากผู้ตรวจสอบ Lepide สำหรับนโยบายกลุ่มที่แสดงการแก้ไขออบเจ็กต์นโยบายกลุ่มทั้งหมด:

หากต้องการเรียกใช้รายงานนี้:

• จากหน้าต่างสถานะและพฤติกรรม ให้เลือก รายงานนโยบายกลุ่ม แก้ไขวัตถุนโยบายกลุ่ม
• เลือกช่วงเวลา
• คลิกสร้างรายงาน
• รายงานจะทำงานและแสดงออบเจ็กต์นโยบายกลุ่มที่แก้ไขทั้งหมด สามารถจัดกลุ่ม กรอง บันทึก และส่งออกได้

นอกจากนี้ยังสามารถสร้างการแจ้งเตือนเพื่อให้คุณได้รับแจ้งทันทีที่มีการแก้ไขออบเจ็กต์นโยบายกลุ่ม และดำเนินการแก้ไขทันทีหากจำเป็น