Zmiany w ustawieniach ochrony nie są zapisywane

Zmiany w ustawieniach ochrony niezapisywane wskazują na politykę GPO nadpisującą lokalną konfigurację zabezpieczeń.

Dlaczego ustawienie wraca do poprzedniej wartości

Komunikat lub objaw polegający na tym, że zmiana ustawień ochrony nie zostaje zapisana, często wynika z działania zasad grupy, czyli mechanizmu Group Policy w systemie Windows. Zasada może określać wartość wymaganą przez administratora i ponownie zastosować ją po zamknięciu okna konfiguracji, ponownym uruchomieniu komputera albo odświeżeniu konfiguracji. W takiej sytuacji lokalna zmiana nie musi być błędem interfejsu. Może zostać prawidłowo przyjęta przez system, a następnie nadpisana przez nadrzędną konfigurację.

Źródłem ustawienia może być lokalny edytor zasad grupy, lokalna polityka zabezpieczeń albo zasada pobrana z domeny Active Directory. W komputerach używanych w firmie konfiguracja domenowa ma zwykle pierwszeństwo przed ustawieniami lokalnymi. Podobny efekt może wystąpić, gdy ochroną systemu zarządza inne narzędzie administracyjne, ale sam fakt powracania wartości wskazuje przede wszystkim na potrzebę ustalenia, która polityka ustawia daną opcję i z jakiego zakresu komputera lub użytkownika pochodzi.

Ustalenie, która polityka narzuca konfigurację

Pierwszym krokiem jest dokładne określenie ustawienia, którego nie można zachować. Inaczej analizuje się zasady zapory Microsoft Defender, ochronę antywirusową, kontrolę kont użytkowników, audyt zdarzeń, zasady haseł lub ograniczenia uruchamiania programów. Sama nazwa widoczna w panelu może być skrócona, dlatego warto zapisać pełną ścieżkę ustawienia oraz wartość przed i po odświeżeniu zasad.

W systemie Windows można użyć polecenia gpresult /h raport.html, uruchomionego w wierszu polecenia z odpowiednimi uprawnieniami. Polecenie tworzy raport zastosowanych zasad dla komputera i zalogowanego użytkownika. W raporcie należy sprawdzić sekcje dotyczące ustawień zabezpieczeń oraz listę obiektów zasad grupy, które zostały zastosowane. Przydatne jest również polecenie gpupdate /force, ponieważ wymusza ponowne przetworzenie zasad i pozwala sprawdzić, czy właśnie wtedy zmiana zostaje cofnięta. Jeżeli problem dotyczy lokalnej konfiguracji zabezpieczeń, jej stan można dodatkowo wyeksportować poleceniem secedit /export /cfg C:\Temp\secpol.cfg, o ile wskazany katalog istnieje i użytkownik ma prawo zapisu.

Różnica między brakiem uprawnień a nadpisaniem przez GPO

Nie każda niezapisana zmiana oznacza konflikt zasad grupy. Częstą przyczyną jest brak uprawnień administratora, uruchomienie narzędzia w kontekście zwykłego użytkownika albo próba zmiany opcji, którą system celowo chroni. W takim przypadku ustawienie może być niedostępne, przycisk zatwierdzenia może nie działać albo system może wyświetlić komunikat o odmowie dostępu. Warto sprawdzić, czy problem występuje na koncie administracyjnym oraz czy dotyczy ustawień użytkownika, komputera, czy obu zakresów.

Charakterystycznym objawem nadpisania przez GPO jest chwilowa możliwość zapisania wartości, po której następuje jej powrót do poprzedniego stanu. Pomocne jest porównanie konfiguracji przed i po wykonaniu gpupdate /force oraz po ponownym uruchomieniu systemu. Jeżeli raport gpresult wskazuje konkretny obiekt zasad, zmiany należy wprowadzać w źródle tej polityki, a nie w lokalnym oknie ustawień. W środowisku domenowym modyfikowanie lokalnej konfiguracji może być bezcelowe, ponieważ centralna zasada będzie nadal przywracała ustaloną wartość.

Bezpieczne postępowanie przy problemie z zapisem ochrony

Nie należy wyłączać całej ochrony systemu tylko po to, aby sprawdzić, czy pojedyncza opcja zacznie się zapisywać. Takie działanie może zmienić więcej parametrów, niż wymaga diagnoza, i utrudnić późniejsze ustalenie przyczyny. Najpierw powinno się odnotować nazwę ustawienia, aktualną wartość, czas wystąpienia problemu oraz ewentualny komunikat systemowy. Następnie można przeanalizować raport zastosowanych zasad, dzienniki zdarzeń i zależności między konfiguracją użytkownika a konfiguracją komputera.

Jeżeli komputer jest częścią organizacji, korekta powinna zostać wykonana przez osobę zarządzającą zasadami domenowymi. W komputerze domowym lub biurowym należy zweryfikować lokalne zasady grupy, lokalną politykę zabezpieczeń, stan konta administracyjnego oraz programy, które mogą zarządzać ochroną systemu. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z konfiguracją systemu Windows oraz ustawieniami zabezpieczeń.