Управление Windows через реестр

Потенциальные места расположения троянских программ:
KLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogonUserinit (REG_SZ)
KLMSoftwareMicrosoftWindowsCurrentVersionRun. . . (REG_SZ)
KLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogonSystem (REG_SZ)

В первом и втором случае указанные в ключах приложения запускаются в контексте текущего пользователя, в третьем -- от имени системы (System). Имеет смысл регулярно проверять эти разделы Реестра на наличие троянцев.

Очистка файла подкачки при перезагрузке:
HKLMSYSTEMCurrentControlSetControlSession ManagerMemory ManagementClearPageFileAtShutdown

Файл подкачки, в который потенциально могут попасть незашифрованные аккаунты и пароли, будет очищаться при каждой перезагрузке, если параметру присвоено значение 1 (REG_DWORD).

Устранение ошибки прав доступа в списке системных DLL
HKLMSystemCurrentControlSetControlSession ManagerProtection Mode

Устраняется возможность атаки с применением троянских DLL, и, как следствие, получения прав администратора. Требуется установить параметр в 1 (REG_DWORD).

Запрет перезагрузки и выключения компьютера без локального входа в систему:
KLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonShutdownWithoutLogon

Установка ключа в 0 (REG_SZ) позволяет запретить завершение работы системы (кнопка "Shutdown" в окне Logon становится недоступной и окрашивается серым цветом).

Ограничение доступа на просмотр журналов событий пользователям группы Guest:
HKLMSystemCurrentControlSetServicesEventLogSystemRestrictGuessAccess
HKLMSystemCurrentControlSetServicesEventLogSecurityRestrictGuessAccess
HKLMSystemCurrentControlSetServicesEventLogApplicationRestrictGuessAccess

Создание ключей со значением 1 (REG_DWORD) ограничивает доступ к Журналу событий (EventLog).

Изменение местонахождения файлов Журнала событий на жестком диске:
HKLMSystemCurrentControlSetServicesEventLogSystemFile
HKLMSystemCurrentControlSetServicesEventLogSecurityFile
HKLMSystemCurrentControlSetServicesEventLogApplicationFile

Перевод log-файлов в другой каталог на диске с помощью ключа File (REG_SZ) может затруднить взломщику их умышленную модификацию.

Дополнительная защита локального входа:
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonDontDisplayLastUserName

Когда этот ключ установлен в 1 (REG_SZ), уничтожается информация о последнем зарегистрированном пользователе (очищается строка Login в дилоговом окне Logon process).

"Сокрытие" сервера в списках сетевого окружения (Network Neightborhood):
HKLMSystemCurentControlSetServicesLanman ServerParametersHidden

Присвоение ключу значения 1 (REG_DWORD) скрывает имя сервера. Компьютер перестает отображаться в списках, формируемых основными обозревателями домена, хотя его ресурсы по-прежнему доступны всем, кто знает его непосредственный адрес.

Изменение прав на редактирование Реестра:
HKLMSystemCurentControlSetControlSecurePipeServers

Изменение при помощи программы regedt32. exe прав доступа к этому разделу позволяет настроить политику безопасности для удаленного редактирования Реестра. По умолчанию редактирование разрешено только членам группы Administrators.

Отключение нулевой сессии:
HKLMSystemCurentControlSetControlLsaRestrictAnonymous (REG_DWORD)

Присвоение этому ключу значения 1 запрещает соединение с ресурсами компьютера без обязательной регистрации. В частности, это исключает чтение списка учетных записей и их описаний (descriptions).

Уничтожение разделяемых ресурсов администратора:
HKLMSystemCurentControlSetServicesLanmanServerParametersAutoShareServer (REG_DWORD)
HKLMSystemCurentControlSetServicesLanmanServerParametersAutoShareWks (REG_DWORD)

Установка этих ключей в 0 (первый, соответственно, для NT Server, второй -- для NT Workstation) исключает администратору сетевой доступ к ресурсам вида \ComputerNameC$, D$, . . ., ADMIN$. (Прислал Дмитрий Артюхин).
Часть вторая

В этой заметке речь пойдет о ключах, прямо не влияющих на безопасность компьютера, однако весьма полезных для сетевого администратора.

Разделение процессов 16-разрядной подсистемы Windows NT
HKLMSystemCurentControlSetControlWOWDefaultSeparateVDM

Присвоение ключу значения "yes" (REG_SZ) позволяет запускать 16-разрядные приложения в изолированных виртуальных машинах, что повышает отказоустойчивость ОС, но отнимает много ресурсов.

Запрет автозапуска компакт-дисков:
HKLMSystemCurentControlSetServicesCdromAutorun

Установка параметра в 0 (REG_DWORD) запрещает системе анализ файла autorun. inf на компакт-дисках.

Переменные окружения для всех пользователей:
HKLMSystemCurrentControlSetControlSession ManagerEnvironment

Можно отредактировать устанавливаемые по умолчанию переменные окружения, если изменить необходимые ключи (REG_SZ) в этом разделе.

Выдача сообщения при локальной регистрации в системе:
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonLegalNoticeCaption (REG_SZ)
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonLegalNoticeText (REG_SZ)

В качестве значения первого ключа укажите заголовок, а в качестве второго, соответственно, текст сообщения. Эта информация может быть прочитана пользователем, регистрирующимся локально.

Авторегистрация в системе:
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonAutoAdminLogon (REG_SZ)
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonDefaultUserName (REG_SZ)
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonDefaultPassword (REG_SZ)
HKLMSoftwareMicrosoftWindowsNTCurrentVersionWinLogonDefaultDomainName (REG_SZ)

Требуется присвоить первому ключу значение 1, остальным -- соответственно имя пользователя, пароль и домен. Помните, что использование авторегистрации потенциально опасно, так как эти значения хранятся в Реестре в открытом виде и могут быть похищены локально или через сеть.

Путь к файлам дистрибутива по умолчанию:
HKLMSoftwareMicrosoftWindows NTCurrentVersionSourcePath

Этот путь (REG_SZ) можно изменить, чтобы каждый раз при установке компонентов из дистрибутива Windows NT не требовалось набирать его заново.

Редактирование параметров запуска сервисов:
HKLMSYSTEMCurrentControlSetServices[servicename]Start

Внутри этого раздела Реестра находятся подключи, соответствующие всем установленным сервисам. Можно изменять споvсоб их запуска посредством параметра Start (REG_DWORD):

* 0 (Boot) - загрузчик - ядро операционной системы;
* 1 (System) - загружается при инициализации ядра;
* 2 (Automatic) - автоматически запускается менеджером Service Control Manager;
* 3 (Manual) - запускается пользователем вручную;
* 4 (Disabled) - отключен.

Снятие и установка пароля для экранных заставок:
HKUDefaultControl PanelDesktopScreenSaveIsSecure

Чтобы экранные заставки спрашивали пароль, установите параметр в 1 (REG_SZ). Значение действует на профиль "Default", то есть на всех пользователей.

Отключение коротких имен 8. 3:
HKLMSystemCurrentControlSetControlFileSystemNtfsDisable8dot3NameCreation (REG_DWORD)

Механизм создания коротких имен для файлов используется в целях совместимости со старыми 16-битными приложениями. Если вы не используете такие приложения, присвойте этому ключу значение 1 -- это позволяет поднять производительность NTFS.

Управление включением режима NumLock:
HKCUControl PanelKeyboardInitialKeyboardIndicators

Источник
00:58 25.03.2017



Отзывы и комментарии
Ваше имя (псевдоним):
Проверка на спам:
* 1. Выберите правильный вариант:
* 2. Введите ответ цифрами: семь плюс три равно


Иваново. Как русский Манчестер стал «городом невест»?

Иваново. Как русский Манчестер с...

Манчестер — как известно, мировой центр торговли хлопчатобумажными тканями. Именно в Манчестере исторически устанавливались цены на ткань и пряжу. Поэтому текстильные районы по всему миру ч...
В сказке маленький принц затрагиваются очень душевные и важные темы человечества

В сказке маленький принц затраги...

Сент-Экзюпери считается одним из очень популярных писателей Франции в США. В Америку он иммигрировал в последствии с демобилизацией в сороковых годах. А именно в США наброски маленького принца заметил...
А как у них?

А как у них?

Мы все знаем, как мамы одевают своих детей у нас – мы это видим. А что происходит в Европе? Какой одежде отдают предпочтения мамы в другой географической стране, но с единым гражданством «родитель»? ...
«Intway World Corporation» - путь к финансовой свободе или очередная пирамида?

«Intway World Corporation» - пут...

Поиск работы в условиях финансового кризиса — проблема № 1 для большинства безработных. Поэтому неудивительно, что многие из них цепляются за каждый шанс трудоустроиться или на...
Как выбрать эротическое белье?

Как выбрать эротическое белье?

Если Ваше сердце стучит быстро, глядя на витрины с товаром - следовательно Вы находитесь в магазине женского белья. Несомненно, что любая женщина, себя уважая, не приобретает эротическое белье наспех....
Ты уйдешь от меня, мой сын, или Как отпустить ребенка во взрослую жизнь?

Ты уйдешь от меня, мой сын, или ...

«Как наши дети подросли. Вот верный счетчик нашим общим временам… Уйдут, как в море корабли, И торопливый поцелуй оставят нам…» Ю. Визбор Может быть, самое трудное на свете&...
Промышленноcть, оборудованиеСтроительство и ремонтМода и стильКультура, искусство, историяМедицина и здоровьеЕда, рецептыАвто-мотоЭкономические статьиКомпьютеры и ИнтернетДом и семья
Стоит прочесть:

О информационном портале:

Наш портал является ресурсом, который включает в себя обширный список познавательных и отличных статей. Каждый гость отыщет для себя что-нибудь полезное. Современный дизайн позволяет вам моментально находить нужную информацию. Самые разнообразные тематические статьи дают возможность вам совершенствоваться в той или иной сфере. Быть более начитанным и грамотным. Современный дизайн сайта позволяет просматривать статьи на всех существующих планшетах. Теперь отыскать нужную информацию стало совершенно просто.

Мы собрали для вас информативные и интересные статьи. У нас сайте вы найдете ответы на интересующие вас вопросы. Простая система поиска позволяет вам в кратчайшие сроки отыскать нужную информацию. Адаптированный дизайн позволяет вам просматривать информацию на абсолютно любых гаджетах. Отныне, поиск требуемой информации будет занимать у вас секунды.