![Windows 安全非管理员用户和命令提示符](https://linux22.com/image/694650/Windows%20%E5%AE%89%E5%85%A8%E9%9D%9E%E7%AE%A1%E7%90%86%E5%91%98%E7%94%A8%E6%88%B7%E5%92%8C%E5%91%BD%E4%BB%A4%E6%8F%90%E7%A4%BA%E7%AC%A6.png)
我们有一个本地网络,其中有多个 Windows 客户端和几个 Windows 服务器。出于安全目的,几乎所有用户帐户都在他们的机器上设置为非管理员帐户。我们的网络安全管理员声称他们必须限制到命令提示符,因为某些用户可能会使用 cmd(而他们不是管理员)并访问他们不被允许的更多资源。
另一方面,我们的一些用户有时需要使用 cmd 来完成工作。现在我们必须决定,我们是否可以为用户保留 cmd,或者它会给我们的系统带来无法忽视的潜在风险。
谢谢
答案1
您确实需要遵循一些指导。在强化操作系统时,数千个配置项可以通过多种不同方式进行定制。CIS(互联网安全中心)指南是一个很好的起点。CIS 发布了大多数常见操作系统和应用程序的安全基准。您可以在此处下载基准:https://learn.cisecurity.org/benchmarks
关于您最初的问题,我快速浏览了 Windows 7 CIS 基准测试文档,其中似乎没有提到锁定命令提示符或 PowerShell。话虽如此,我还查看了 CESG 指南(英国政府 IT 安全指南),他们建议使用 AppLocker 来阻止用户访问 CMD.exe。https://www.gov.uk/government/publications/end-user-devices-security-guidance-windows-7/end-user-devices-security-guidance-windows-7
TLDR:安全很难,你对用户施加的“锁定”级别将与我对我的用户施加的级别不同。如果你的用户不需要访问 cmd 提示符,请不要将其授予他们。但在删除它之前,请考虑是否需要保留 CMD.exe 以解决最终用户问题(在登录用户的上下文中运行)。
答案2
在 99% 的公司中,只向员工提供用户帐户(而不是管理员帐户)就足够了。
不要尝试删除 cmd 之类的系统工具,或锁定控制面板或删除对 C 盘的访问权限或任何有趣的解决方案。
所以不要删除对命令行的访问权限。这是浪费时间。
答案3
问题是 99% 的公司安全保障都很差。
可以通过组策略设置“防止访问命令提示符”删除 Cmd.exe。它位于“用户配置\策略\管理模板\系统”下。
例如,如果您在域级别链接的 GPO 中启用该设置,则可以使用安全过滤器向所需的用户授予对 cmd.exe 的访问权限。