Блокирование портов в домене

babki · Отправлено: **19:15, 30-08-2008** | #11

Цитата ss777:

Неправильный у Вас подход к администрированию, чем Вас не устраивает Брандмауэр Windows? С помощью него и групповых политик можно разом выставить те или иные блокировки портов на машинах пользователей. »

Не силен я пока в этом. вот и мучась..Брандмауэр отключен на рабочих станциях. Вот бы где достать пошаговую инструкцию по его включению и настройке чеез ГПО. И по моему у него нет блокирования портов, а блокируется только некая определенная программа..

ss777 · Отправлено: **21:05, 30-08-2008** | #12

Идешь в ГП там (по памяти) Конфигурация компьютера -> Административные шаблоны - > Сеть - > Сетевые подключения - > Брандмауэр Windows включаешь "Защита всех подключений" чтоб пользователи его не могли рубануть (не забудь и службу через политики настроить соответствующим образом) далее в комментариях к параметрам все написано.

P.S. Вобще нужно начинать с того, что права администратора должны быть только у администратора чтоб, юзеры твои не могли устанавливать те же чаты, игры или ещё чего там. К стати порты в сетевых чатах можно менять, будешь за каждым портом бегать?

babki · Отправлено: **22:05, 30-08-2008** | #13

Цитата ss777:

P.S. Вобще нужно начинать с того, что права администратора должны быть только у администратора чтоб, юзеры твои не могли устанавливать те же чаты, игры или ещё чего там. К стати порты в сетевых чатах можно менять, будешь за каждым портом бегать? »

В том то и дело что чат работает без установки... права админа для него не нужны...

Delirium · Отправлено: **02:05, 01-09-2008** | #14

Цитата babki:

В том то и дело что чат работает без установки... права админа для него не нужны... »

Для этого есть групповая политика домена - запрет запуска определенных указанных программ(как по имени, так и по сигнатуре файла). На форуме есть ветка про это.

babki · Отправлено: **12:59, 01-09-2008** | #15

Цитата Delirium:

запрет запуска определенных указанных программ(как по имени, »

Запуск по имени - я пробовал сделать, хитрый пользователь обошел этот запрет за 1 день.. а про сигнатуру можно по подробнее...

Delirium · Отправлено: **01:38, 02-09-2008** | #16

http://forum.oszone.net/post-878846.html
Пост №6

babki · Отправлено: **07:55, 02-09-2008** | #17

Цитата Delirium:

http://forum.oszone.net/post-878846.html
Пост №6 »

почитал, спасибо! но особенно понравилось изменение файла "руками изменить надпись "This program cannot be run in DOS mode.", главное, не изменить ее длину. Можно изменить сигнатуру EXE 'MZ' на 'ZM', можно изменить указатели на минимальный и максимальный объем памяти и т.п. Можно и в PE-заголовке покопаться, там много зарезервированных полей". Интересно через какой период местные юзеры - хакеры обойдут это хеширование. Но все равно спасибо!
ЗЫ. Юбилейное 300 сообщение! с Юбилеем меня!

Delirium · Отправлено: **08:27, 02-09-2008** | #18

Цитата babki:

Интересно через какой период местные юзеры - хакеры обойдут это хеширование »

Таких пользователей надо отключать и на ковер к начальству. имхо лучший способ защиты.