Понизить уровень безопасности windows server 2012

Когда включена Конфигурация усиленной безопасности Internet Explorer (IE ESC), пользователь видит всплывающие окна с просьбой добавить каждый новый URL в доверенную область IE. Если вы готовы самостоятельно повысить уровень безопасности сервера, можете отключить эту функцию.

Способ 1: Выкл.через Проводник

1. Запустите Server Manager.

2. Выберите «Локальный сервер» (на котором нужно отключить Конфигурацию усиленной безопасности Internet Explorer):

3. Справа в Server Manager, вы увидите Конфигурацию усиленной безопасности Internet Explorer (по умолчанию «Включено»):

4. Кликните на «Включено», далее выберите какой вариант Конфигурации усиленной безопасности Internet Exporer Вам подходит: отключение конфигурации только для аккаунта Администратора, или отключение конфигурации для всех остальных пользователей. Использование локального аккаунта администратора является источником дополнительной угрозы безопасности, к тому же часто не даёт требуемого результата в тестах, когда администратор имеет разрешения, а обычный пользователь таковых не имеет. Поэтому предпочтительнее при тестировании использовать аккаунт без прав администратора — и в этом случае отключить Конфигурацию только для данного пользователя.

5. Ниже показано полное отключение Конфигурации усиленной безопасности Internet Explorer.
Сделав выбор, нажмите «ОК»:

6. Вернувшись в Server Manager, обновите его с помощью клавиши F5, после этого вы увидите, что настройка поменялась на режим «Отключено»

7. Готово. Откройте окно браузера Internet Explorer и проверьте доступ к любому внутреннему сайту.

Способ 2: PowerShell

Вставьте приведённый ниже код в текстовый документ с расширением ps1: Disable-IEESC.ps1. Это отключит Конфигурацию усиленной безопасности Internet Explorer и для пользователя, и для администратора:

function Disable-IEESC {
	$AdminKey = "HKLM:SOFTWAREMicrosoftActive SetupInstalled Components{A509B1A7-37EF-4b3f-8CFC-4F3A74704073}"
	$UserKey = "HKLM:SOFTWAREMicrosoftActive SetupInstalled Components{A509B1A8-37EF-4b3f-8CFC-4F3A74704073}"
	Set-ItemProperty -Path $AdminKey -Name "IsInstalled" -Value 0
	Set-ItemProperty -Path $UserKey -Name "IsInstalled" -Value 0
	Stop-Process -Name Explorer
	Write-Host "IE Enhanced Security Configuration (ESC) has been disabled." -ForegroundColor Green
}
Disable-IEESC

Если вы вставляете скрипт непосредственно в окно PowerShell, нажмите Enter дважды после вставки. Запуск PowerShell от имени Администратора:

Готово!

Отключаем конфигурацию усиленной безопасности Internet Explorer

Конфигурация усиленной безопасности Internet Explorer (IE ESC) активирована в Windows Server 2012 R2 по умолчанию. Пользователь постоянно видит всплывающие окна с просьбой добавить каждый новый URL в доверенную область IE.

Данная статья поможет вам отключить эту функцию на рабочем сервере под управлением Windows Server 2012 R2. Рассмотрим два простых способа отключения:

Отключение Конфигурации усиленной безопасности Internet Explorer через интерфейс Windows Server

Для наглядной демонстрации наши инженеры записали gif, как отключить конфигурацию усиленной безопасности Internet Explorer

1. Запустите «Диспетчер серверов»
2. Перейдите во вкладку «Локальный Сервер»
3. Найдите строчку «Конфигурация усиленной безопасности Internet Explorer» и нажмите на статус, по умолчанию статус «Включено»
4. У вас есть два варианта отключения Конфигурации усиленной безопасности Internet Exporer:
   1. отключение конфигурации только для аккаунта Администратора
   2. для всех пользователей

Рекомендуем использовать аккаунт без прав администратора — и отключить Конфигурацию только для данного пользователя. Использование локального аккаунта администратора может стать источником дополнительных угроз безопасности при отключённом режиме конфигурации усиленной безопасности.

Отключение Конфигурации усиленной безопасности Internet Explorer через PowerShell

Откройте PowerShell и вставьте следующий скрипт, после исполнения данного скрипта конфигурация усиленной безопасности IE отключится.

function Disable-IEESC { $AdminKey = “HKLM:SOFTWAREMicrosoftActive SetupInstalled Components{A509B1A7-37EF-4b3f-8CFC-4F3A74704073}” $UserKey = “HKLM:SOFTWAREMicrosoftActive SetupInstalled Components{A509B1A8-37EF-4b3f-8CFC-4F3A74704073}” Set-ItemProperty -Path $AdminKey -Name “IsInstalled” -Value 0 Set-ItemProperty -Path $UserKey -Name “IsInstalled” -Value 0 Stop-Process -Name Explorer Write-Host “IE Enhanced Security Configuration (ESC) has been disabled.” -ForegroundColor Green } Disable-IEESC

function Disable-IEESC { $AdminKey = “HKLM:SOFTWAREMicrosoftActive SetupInstalled Components{A509B1A7-37EF-4b3f-8CFC-4F3A74704073}” $UserKey = “HKLM:SOFTWAREMicrosoftActive SetupInstalled Components{A509B1A8-37EF-4b3f-8CFC-4F3A74704073}” Set-ItemProperty -Path $AdminKey -Name “IsInstalled” -Value 0 Set-ItemProperty -Path $UserKey -Name “IsInstalled” -Value 0 Stop-Process -Name Explorer Write-Host “IE Enhanced Security Configuration (ESC) has been disabled.” -ForegroundColor Green } Disable-IEESC

Последнее обновление: 19.10.2018

This article explains how to disable the Internet Explorer Enhanced Security Configuration (IE ESC) in Windows Server 8 Beta/Windows Server 2012 and what options you have to improve security if you have to use a web browser on a server.

Internet Explorer Enhanced Security Configuration is enabled

One of the downsides of dealing with a new version of Windows Server is figuring out where things have moved in the new release. In Windows Server 2008 R2, disabling IE ESC was fairly straightforward in the Server Manager. Disabling it in the latest Microsoft Server OS is still performed in the Server Manager. However, the redesign of the Server Manager in Windows Server 2012 has made it a little trickier to find.

Turn off  Internet Explorer Enhanced Security Configuration

1. Start by running the Server Manager from either the Start Screen or the Desktop.

   

   Server Manager in Windows Server 2012

2. In the Server Manager Dashboard, click on Local Server on the left side.

   

   Server Manager Dashboard

3. In the Server Properties for the Local Server, you’ll see the option for IE Enhanced Security Configuration. Click ‘On’ to change the option.

   

   Windows Server 2012 IE Enhanced Security Configuration

4. At this point, you’ll be prompted with the options to turn off Internet Explorer Enhanced Security Configuration for Administrators and/or Users. After selecting your option, click OK.

   

   Disable Internet Explorer Enhanced Security Configuration for Administrators or Users

5. Click the Refresh button at the top of the Server Manager and the IE Enhanced Security Configuration should now show as ‘Off.’

   

   Disable Internet Explorer Enhanced Security Configuration is off

Should you turn off IE Enhanced Security Configuration?

Now that you know how to disable Internet Explorer Enhanced Security Configuration in Windows Server 8 Beta/Windows Server 2012, should you? Let’s start off by discussing the purpose of the IE ESC. Microsoft’s reasoning behind locking down IE with this feature is to reduce your server’s exposure to malicious web sites. Ok… security… I can get behind that. We all want our servers to be secure, right?

But have you ever tried to visit a web site from IE on a Windows Server with IE ESC enabled? It’s an effort in futility. As Michael mentioned in his article on disabling IE ESC in Windows Server 2008 R2, you potentially have to click dozens of times just to get one or two pages to come up. Honestly, this is malware-like behavior because it essentially prevents software from working properly.

So, what we need to do is balance security and usability so that we’re keeping the attack surface as small as possible while keeping the server from being completely unusable. Starting with Test and Development boxes, I don’t see any reason why you couldn’t disable IE ESC if it is necessary in your environment.

For Production servers, the story is going to be a little different depending on how you’re using your server, your organization’s security needs, an your organization’s security policies. As a best practice, you really shouldn’t be using a web browser on a server. Ideally, Microsoft would give us a way to uninstall IE completely without completely losing the GUI by running Server Core.

So what are your options? For non-Administrators, disabling IE ESC is probably fairly safe if the users will need access to a web browser. The most common scenario for this is if you’re running Remote Desktop Services (RDS), formerly Terminal Services. As a second option, you could always run an alternate web browser for the standard users, but you’re still not reducing the attack surface of your server since that web browser will still need to be patched and will have its own set of security vulnerabilities. As a third option, you can consider implementing AppLocker in your RDS environment to stop malicious software from running.

Subscribe to 4sysops newsletter!

What about Administrators? A systems administrator that knows what he/she is doing won’t knowingly go to a malicious site, right? While that sounds plausible, consider that there are zero-day exploits out there for IE (and other browsers) that could allow an attacker to run malicious code through the web browser without you ever knowing it. You can check out details on recent vulnerabilities by checking out Zero Day Initiative’s Pwn2Own site.