Zasady zabezpieczeń lokalnych

Zasady zabezpieczeń lokalnych to ustawienia systemu Windows kontrolujące hasła i uprawnienia kont lokalnych.

Zakres zasad zabezpieczeń lokalnych w systemie Windows

Zasady zabezpieczeń lokalnych to zestaw ustawień systemu Windows, które określają sposób uwierzytelniania użytkowników lokalnych, wymagania dotyczące haseł, reakcję na wielokrotne nieudane logowania oraz uprawnienia przyznawane kontom i procesom. Są przechowywane w lokalnej bazie zasad zabezpieczeń i dotyczą danego komputera. Nie są tym samym co uprawnienia NTFS nadawane do konkretnych plików i folderów, chociaż oba mechanizmy wpływają na dostęp do zasobów.

Panel konfiguracyjny można uruchomić poleceniem secpol.msc, wpisanym w oknie Uruchamianie, wyszukiwarce systemowej albo w terminalu. Edytor zasad zabezpieczeń lokalnych jest dostępny przede wszystkim w edycjach Windows Pro, Enterprise i Education. W typowej edycji Windows Home przystawka ta nie jest standardowo dostępna. Zasady lokalne mogą być także ustawiane lub odczytywane za pomocą narzędzi administracyjnych, między innymi secedit.exe, ale zmiany wymagają uprawnień administratora.

Hasła, blokada konta i uwierzytelnianie lokalne

W sekcji Zasady konta znajdują się między innymi ustawienia zasad haseł: wymuszanie historii haseł, maksymalny i minimalny okres ważności, minimalna długość oraz wymaganie złożoności. Wymaganie złożoności wbudowane w Windows sprawdza między innymi, czy hasło nie zawiera nazwy konta ani pełnej nazwy użytkownika oraz czy wykorzystuje znaki z kilku kategorii, takich jak wielkie litery, małe litery, cyfry i znaki inne niż alfanumeryczne. Sama zmiana tych parametrów nie zmienia automatycznie istniejącego hasła, chyba że ustawienie wymusza jego wygaśnięcie albo administrator zainicjuje zmianę.

Zasady blokady konta określają liczbę nieudanych prób logowania, czas trwania blokady oraz okres, po którym licznik błędnych prób jest zerowany. Blokada może ograniczyć skuteczność zgadywania hasła, ale przy zbyt niskim progu może również powodować częste blokowanie użytkownika po pomyłkach lub po próbach logowania wykonywanych przez zapisane poświadczenia. Przy diagnozowaniu problemu trzeba sprawdzić, czy blokowane jest konto lokalne, czy konto domenowe, ponieważ zasady dla tych typów kont mogą pochodzić z różnych źródeł.

Uprawnienia użytkowników, opcje zabezpieczeń i audyt

W gałęzi Przypisywanie praw użytkownika definiuje się prawa takie jak logowanie lokalne, logowanie przez usługi pulpitu zdalnego, wyłączanie systemu, wykonywanie kopii zapasowych oraz dostęp do komputera z sieci. Prawo użytkownika nie oznacza jeszcze dostępu do każdego pliku lub programu. Ostateczna decyzja zależy również od członkostwa w grupach, uprawnień systemu plików, kontroli konta użytkownika oraz ustawień konkretnej usługi. Odebranie prawa „Zezwalaj na logowanie lokalne” może uniemożliwić zalogowanie nawet wtedy, gdy konto ma poprawne hasło.

Opcje zabezpieczeń obejmują między innymi zachowanie systemu przy używaniu pustych haseł, sposób wyświetlania informacji o ostatnim logowaniu, wymaganie kombinacji klawiszy Ctrl+Alt+Delete oraz zasady dotyczące podpisywania komunikacji sieciowej. Z kolei zasady inspekcji określają, jakie zdarzenia są zapisywane w dzienniku Zabezpieczenia, na przykład udane i nieudane logowania, zmiany zasad lub użycie uprzywilejowanych praw. Do sprawdzania wynikowych zasad można wykorzystać polecenie secedit /export, a do odczytu zdarzeń służy Podgląd zdarzeń w gałęzi Dzienniki systemu Windows, Zabezpieczenia.

Sprawdzanie konfliktów zasad na komputerze użytkownika

Podczas analizy problemu z logowaniem należy najpierw ustalić, czy użytkownik korzysta z konta lokalnego, konta Microsoft, czy konta domenowego. Zasady lokalne nie zawsze są końcowym źródłem konfiguracji. Na komputerze połączonym z domeną ustawienia dostarczane przez zasady grupy mogą nadpisać konfigurację lokalną. Do przeglądania zestawu zasad zastosowanych do użytkownika i komputera służy polecenie gpresult /h raport.html. Raport pokazuje między innymi, które obiekty zasad grupy zostały zastosowane oraz z jakiego miejsca pochodzi dane ustawienie.

Jeżeli hasło jest odrzucane mimo pozornie prawidłowej konfiguracji, warto sprawdzić minimalną długość, historię haseł, wygaśnięcie hasła, blokadę konta oraz stan samego konta w narzędziu „Użytkownicy i grupy lokalne”. Przy komunikacie o odmowie logowania trzeba dodatkowo zweryfikować przypisane prawa użytkownika i członkostwo w grupach. Po zmianie zasad należy wykonać kontrolne logowanie, sprawdzić dziennik Zabezpieczenia i upewnić się, że modyfikacja nie odebrała uprawnień wymaganych przez konto administracyjne, usługę albo zaplanowane zadanie.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z kontami lokalnymi, logowaniem, uprawnieniami systemu Windows oraz konfiguracją ustawień zabezpieczeń na komputerach użytkowników.