Запретить вход в систему через службу удаленных рабочих столов Deny log on through Remote Desktop Services

Область применения Applies to

В этой статье описываются лучшие методики, расположение, значения, **** управление политиками и вопросы безопасности для запрета входа в систему с помощью параметра политики безопасности служб удаленных рабочих мест. Describes the best practices, location, values, policy management, and security considerations for the Deny log on through Remote Desktop Services security policy setting.

Справочные материалы Reference

Этот параметр политики определяет, какие пользователи не могут войти на устройство через подключение к удаленному рабочему столу через службы удаленных рабочих стола. This policy setting determines which users are prevented from logging on to the device through a Remote Desktop connection through Remote Desktop Services. Пользователь может установить подключение к удаленному рабочему столу на определенном сервере, но не сможет войти в консоль этого сервера. It is possible for a user to establish a Remote Desktop connection to a particular server, but not be able to log on to the console of that server.

Константа: SeDenyRemoteInteractiveLogonRight Constant: SeDenyRemoteInteractiveLogonRight

Возможные значения Possible values

• Определяемый пользователей список учетных записей User-defined list of accounts
• Не определено Not defined

Рекомендации Best practices

• Чтобы управлять тем, кто может открывать подключение к удаленному рабочему столу и входить на устройство, добавьте учетную запись пользователя в группу пользователей удаленного рабочего стола или удалите ее из нее. To control who can open a Remote Desktop connection and log on to the device, add the user account to or remove user accounts from the Remote Desktop Users group.

Location Location

Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment

Значения по умолчанию Default values

В следующей таблице перечислены фактические и эффективные значения политики по умолчанию для последних поддерживаемых версий Windows. The following table lists the actual and effective default policy values for the most recent supported versions of Windows. Значения по умолчанию также можно найти на странице свойств политики. Default values are also listed on the policy’s property page.

Тип сервера или объект групповой политики Server type or GPO	Значение по умолчанию Default value
Default Domain Policy Default Domain Policy	Не определено Not defined
Политика контроллера домена по умолчанию Default Domain Controller Policy	Не определено Not defined
Параметры по умолчанию для автономного сервера Stand-Alone Server Default Settings	Не определено Not defined
Действующие параметры по умолчанию для контроллера домена Domain Controller Effective Default Settings	Не определено Not defined
Действующие параметры по умолчанию для рядового сервера Member Server Effective Default Settings	Не определено Not defined
Действующие параметры по умолчанию для клиентского компьютера Client Computer Effective Default Settings	Не определено Not defined

Управление политикой Policy management

В этом разделе описаны компоненты, средства и рекомендации, которые помогут в управлении этой политикой. This section describes features, tools, and guidance to help you manage this policy.

Для активации этого параметра политики не требуется перезагрузка компьютера. A restart of the computer is not required for this policy setting to be effective.

Изменения прав пользователя вступают в силу при его следующем входе в учетную запись. Any change to the user rights assignment for an account becomes effective the next time the owner of the account logs on.

Свойство удаленной системы управляет настройками для служб удаленных рабочих стола (разрешитьили запретить удаленные подключения к компьютеру) и для удаленной помощи (разрешить подключения удаленной помощи кэтому компьютеру). The Remote System property controls settings for Remote Desktop Services (Allow or prevent remote connections to the computer) and for Remote Assistance (Allow Remote Assistance connections to this computer).

Групповая политика Group Policy

Этот параметр политики перемежает параметр политики «Разрешить вход в систему» с помощью параметра политики «Службы удаленных рабочих стола», если к учетной записи пользователя налагаются обе политики. This policy setting supersedes the Allow log on through Remote Desktop Services policy setting if a user account is subject to both policies.

Параметры групповой политики применяются в следующем порядке. Group Policy settings are applied in the following order. Они переоценяют параметры на локальном устройстве при следующем обновлении групповой политики. They overwrite settings on the local device at the next Group Policy update.

1. Параметры локальной политики Local policy settings
2. Параметры политики сайта Site policy settings
3. Параметры политики домена Domain policy settings
4. Параметры политики подразделений Organizational unit policy settings

Если локальный параметр затеняется, это означает, что в настоящее время этот параметр контролируется GPO. When a local setting is greyed out, it indicates that a GPO currently controls that setting.

Вопросы безопасности Security considerations

В этом разделе описывается, каким образом злоумышленник может использовать компонент или его конфигурацию, как реализовать меры противодействия, а также рассматриваются возможные отрицательные последствия их реализации. This section describes how an attacker might exploit a feature or its configuration, how to implement the countermeasure, and the possible negative consequences of countermeasure implementation.

Уязвимость Vulnerability

Для входа в удаленную консоль устройства можно использовать любую учетную запись с правом на вход в службы удаленных рабочих стола. Any account with the right to log on through Remote Desktop Services could be used to log on to the remote console of the device. Если это право пользователя не ограничено только законными пользователями, которым необходимо войти в консоль компьютера, злоумышленники могут скачать и запустить программное обеспечение, которое повышает их права. If this user right is not restricted to legitimate users who need to log on to the console of the computer, malicious users might download and run software that elevates their user rights.

Противодействие Countermeasure

Назначьте пользователю служб удаленных рабочих стола право запретить вход в систему встроенной локальной гостевой учетной записи и всем учетным записям служб. Assign the Deny log on through Remote Desktop Services user right to the built-in local guest account and all service accounts. Если установлены необязательные компоненты, например ASP.NET, может потребоваться назначить это право пользователю дополнительным учетным записям, которые необходимы этим компонентам. If you have installed optional components, such as ASP.NET, you may want to assign this user right to additional accounts that are required by those components.

Возможное влияние Potential impact

Если запретить **** вход в систему через службы удаленных рабочих столов пользователю прав других групп, можно ограничить возможности пользователей, которым назначены определенные административные роли в вашей среде. If you assign the Deny log on through Remote Desktop Services user right to other groups, you could limit the abilities of users who are assigned to specific administrative roles in your environment. Учетные записи, которые имеют это право пользователя, не могут подключаться к устройству с помощью служб удаленных рабочих стола или удаленной помощи. Accounts that have this user right cannot connect to the device through Remote Desktop Services or Remote Assistance. Необходимо подтвердить, что делегирование задач не затрагивается отрицательно. You should confirm that delegated tasks are not negatively affected.

Как отключить удаленный доступ к компьютеру

Первым делом давайте зайдем в настройку доступа. Откройте меню «Пуск», далее правой клавишей мыши щелкните по пункту «Мой компьютер» и из выпадающего списка выберите «Свойства».

Также, попасть в свойства системы можно через окно «Компьютер». Просто зайдите в него и на верхней панели перейдите в «Свойства системы».

В открывшемся окне перейдите по ссылке «Настройка удаленного доступа».

Перед вами откроется окно с свойствами системы. Для того, чтобы отключить доступ к компьютеру в блоке «Удаленный рабочий стол» выбираем опцию «Не разрешать подключение к этому компьютеру». Удаленный рабочий стол — функция, благодаря которой можно получить доступ к компьютеру с другого компьютера. Отключая эту опцию мы блокируем доступ.

Теперь давайте рассмотрим как отключить помощника. В верхней части окна нажимаем на кнопку «Дополнительно. «. В открывшемся окне убираем галку с настройки «Разрешить удаленное управление этим компьютером» и нажимаем «Ок».

Теперь осталось убрать галку с опции «Разрешить подключения удаленного помощника к этому компьютеру», нажать «Применить» и «Ок».

Опция «Удаленный помощник» позволяет пригласить кого-либо подключиться к вашему компьютеру. Отключив ее мы также лишаем возможности подключиться к вашему компьютеру.

Не забудьте поделиться ссылкой на статью ⇒

В данном уроке я расскажу вам как можно добавить команду «Выполнить» в меню «Пуск», если она у вас там отсутствует.

В этом новом уроке по работе с компьютером я расскажу вам как можно быстро отключить обновление Windows 7.

В этом уроке я расскажу как уменьшить или увеличить значки на рабочем столе. Изменение размера значков рабочего стола довольна простая процедура. Сделать это можно несколькими способами, но перед этим нужно понять, что вызвало их увеличение или уменьшение. Я бы рекомендовал для начала проверить установленное разрешение экрана, так как не соблюдение этой рекомендации ведет к искажению отображения элементов и соответственно изменению иконок рабочего стола.

Очень часто, после смены пароля доступа на роутере, типа шифрования или типа безопасности, может наблюдаться проблема с подключением к Wi-Fi. Обычно это проявляется в очень долгой попытке подключиться к точке доступа, которая заканчивается всплывающей ошибка о невозможности Windows подключиться к сети. Решение в этом случае очень простое — удаление сохраненного соединение и подключение к Вай-Фай по новой.

Или его еще называют Problem Steps Recorder. Данный инструмент предназначен для записи ваших действий, которые вызывают ту или иную неполадку или ошибку в работе.

Отключаем удаленное управление компьютером

Запрещаем удаленный доступ

Как уже было сказано выше, мы будем менять исключительно системные настройки, позволяющие сторонним пользователям просматривать содержимое дисков, менять параметры и совершать иные действия на нашем ПК. Имейте в виду, если вы пользуетесь удаленными рабочими столами или машина является частью локальной сети с общим доступом к устройствам и программному обеспечению, то приведенные ниже действия могут нарушить работу всей системы. Это же касается и тех ситуаций, когда требуется подключаться к удаленным компьютерам или серверам.

Отключение удаленного доступа выполняется в несколько этапов или шагов.

• Общий запрет удаленного управления.
• Выключение помощника.
• Отключение соответствующих системных служб.

Шаг 1: Общий запрет

Данным действием мы отключаем возможность подключения к вашему рабочему столу с помощью встроенной функции Windows.

1. Жмем правой кнопкой мыши по значку «Этот компьютер» (или просто «Компьютер» в Windows 7) и переходим к свойствам системы.

Далее идем в настройки удаленного доступа.

В открывшемся окне ставим переключатель в положение, запрещающее подключение и нажимаем «Применить».

Доступ отключен, теперь сторонние пользователи не смогут выполнять действия на вашем компьютере, но смогут просматривать события, используя помощник.

Шаг 2: Отключение помощника

Удаленный помощник позволяет пассивно просматривать рабочий стол, а точнее, все действия, которые вы выполняете – открытие файлов и папок, запуск программ и настройка параметров. В том же окне, где мы отключали общий доступ, снимаем галку возле пункта, разрешающего подключение удаленного помощника и жмем «Применить».

Шаг 3: Отключение служб

На предыдущих этапах мы запретили совершать операции и вообще просматривать наш рабочий стол, но не спешите расслабляться. Злоумышленники, получив доступ к ПК вполне могут изменить эти настройки. Еще немного повысить уровень безопасности можно с помощью отключения некоторых системных служб.

Доступ к соответствующей оснастке осуществляется путем нажатия ПКМ по ярлыку «Этот компьютер» и переходом к пункту «Управление».

Далее открываем ветку, указанную на скриншоте, и кликаем по «Службам».

Первым делом отключаем «Службы удаленных рабочих столов». Для этого кликаем по названию ПКМ и переходим к свойствам.

Если служба запущена, то останавливаем ее, а также выбираем тип запуска «Отключена», после чего жмем «Применить».

Теперь те же действия необходимо выполнить для следующих сервисов (некоторых служб может не оказаться в вашей оснастке – это значит, что просто не установлены соответствующие компоненты Windows):

• «Служба Telnet», которая позволяет управлять компьютером с помощью консольных команд. Название может быть другим, ключевое слово «Telnet».
• «Служба удаленного управления Windows (WS-Management)» – дает почти такие же возможности, что и предыдущая.
• «NetBIOS» – протокол для обнаружения устройств в локальной сети. Здесь также могут быть разные названия, как и в случае с первой службой.
• «Удаленный реестр», который позволяет менять настройки системного реестра пользователям сети.
• «Служба удаленного помощника», о котором мы говорили ранее.

Все действия, приведенные выше, можно выполнить только под учетной записью администратора или введя соответствующий пароль. Именно поэтому для предотвращения внесения изменений в параметры системы извне необходимо работать только под «учеткой», имеющей обычные права (не «админские»).

Заключение

Теперь вы знаете, как отключить удаленное управление компьютером через сеть. Действия, описанные в данной статье, помогут повысить безопасность системы и избежать многих проблем, связанных с сетевыми атаками и вторжениями. Правда, почивать на лаврах не стоит, поскольку никто не отменял зараженные вирусами файлы, которые попадают на ПК через интернет. Будьте бдительны, и неприятности обойдут вас стороной.