Для настройки параметров удаленного помощника используйте групповую политику или Configuration Manager, но не оба способа одновременно    Чтобы изменять параметры удаленного помощника, можно использовать как Configuration Manager 2007, так и групповую политику. При обновлении групповой политики на клиенте она по умолчанию оптимизирует процесс путем изменения только тех политик, которые были изменены на сервере. Configuration Manager 2007 изменяет параметры локальной политики безопасности, которые могут не перезаписываться до принудительного обновления групповой политики. Настройка политики сразу в двух местах может привести к рассогласованности результатов. Выберите один из этих способов настройки параметров удаленного помощника.

Не рассматривайте параметр "Запрашивать разрешение" в качестве адекватной меры безопасности для удаленных средств для клиентов Windows 2000    Даже если в свойствах агента клиента удаленных средств включен режим Запрашивать разрешение при попытке администратора обратиться к клиентам, в случае удаленного администрирования клиентских компьютеров под управлением Windows 2000 отключение и повторное подключение через 10 секунд позволяют восстановить сеанс удаленного администрирования, избежав при этом запроса на разрешение. Кроме того, на компьютерах под управлением Windows 2000 любой пользователь с правами локального администратора может временно изменить реестр, чтобы отменить требование о разрешениях и заново включить это требование.

Используйте параметр "Запрашивать разрешение"    Хотя существуют способы обойти действие параметра Запрашивать разрешение при попытке администратора обратиться к клиентам, его все равно необходимо устанавливать, чтобы снизить вероятность контроля со стороны администраторов за пользователями, работающими с конфиденциальными данными.

Включите уведомления    Чтобы снизить вероятность контроля со стороны администраторов за пользователями, работающими с конфиденциальными данными, установите параметры Отображать индикатор и Воспроизводить звуковой сигнал.

Не допускайте изменения параметров политик и уведомлений пользователями    Чтобы предотвратить внесение пользователями изменений, которые могут упростить контроль за пользователями, установите параметр "Пользователи не могут изменить политику или параметры уведомления на панели управления удаленного управления". .

Ограничьте список разрешенных средств просмотра    Для использования удаленных средств не требуются права локального администратора. Пользователи удаленных средств могут работать с ними на клиенте, если выполняются условия обеспечения безопасности на уровне коллекции и списка разрешенных наблюдателей.

Задайте необходимые глобальные группы    Члены глобальных групп, которые являются членами локальных групп, включенных в список разрешенных наблюдателей, не участвуют в перечислении, поэтому членам глобальных групп не предоставляются права доступа, если они также являются членами локальных групп. Чтобы избежать этого, явно укажите все глобальные группы в списке разрешенных наблюдателей.

Укажите контекст домена для учетных записей пользователей    Список разрешенных наблюдателей намеренно является неоднозначным, поскольку проверка подлинности пользователя по этому списку выполняется на клиенте, а сервер сайта может не иметь доступа к тем же доменам, что и клиент. Следовательно в список разрешенных наблюдателей можно ввести имя учетной записи, не указывая для нее домен. Однако список должен быть понятным для клиента. Поэтому рекомендуется вводить в список разрешенных наблюдателей имя учетной записи в формате "домен\учетная_запись", чтобы избежать возможных неоднозначностей на стороне клиента.

При управлении доступом к удаленным средствам не полагайтесь на безопасность коллекций    Для знающих и упорных злоумышленников преодоление механизма обеспечения безопасности коллекций для удаленных средств не представляет трудности. Они могут настроить сайт Configuration Manager 2007, который не входит в используемую иерархию, и создать записи ресурсов для клиентов, которыми они хотят управлять. Они могут предоставить себе любые права на этих ресурсах. Кроме того, любой пользователь, обладающий разрешением Использовать удаленные средства, может использовать версию командной строки удаленных средств Windows 2000 с параметром /SMS:NOSQL, чтобы обойти проверку баз данных. Средства обеспечения безопасности коллекций для удаленных средств следует рассматривать в качестве организационной меры, эффективной для сотрудников, соблюдающих установленные политики и процедуры.

Не вводите пароли учетных записей с расширенными правами при удаленном администрировании компьютеров под управлением Windows 2000    Пароль безопасен для клиентского компьютера, но он вводится с помощью виртуальной клавиатуры. Пароль может быть перехвачен программным обеспечением, контролирующим ввод с клавиатуры. Либо, если на клиентском компьютере запущена не та программа, которую ожидает пользователь, эта программа также может перехватить пароль. Если требуется указать учетную запись и пароль, их должен вводить пользователь.

Удаленное управление позволяет просматривать активные сеансы на клиентских компьютерах Configuration Manager 2007 и, возможно, просматривать хранящуюся на этих компьютерах информацию. По умолчанию удаленное управление отключено. Можно настроить параметры удаленного управления таким образом, чтобы перед началом сеанса удаленного управления пользователь получал явное уведомление и давал свое согласие. Либо можно следить за работой пользователей без их ведома и разрешения. Перед настройкой удаленного управления следует проанализировать собственные требования к безопасности.

Во время сеансов удаленного управления никакая информация не собирается, однако при начале сеанса создается сообщение о состоянии аудита. Информация о состоянии аудита сохраняется в базе данных сайта и по умолчанию удаляется каждые 180 дней. Для управления параметрами удаления используются свойства правила фильтрации состояний и задача обслуживания сайта. Сведения о состоянии аудита в корпорацию Майкрософт не отправляются.

Основные понятия

Другие ресурсы