Самый лучший способ сделать так, чтобы никто из домочадцев не испытывал интерес к вашему личному компьютеру – купить каждому из них по своему компьютеру. Но, увы, не каждая семья может себе позволить такую роскошь. Ведь если покупать не ноутбук, а десктоп, нужно ещё и позаботиться об обустройстве компьютерного места в доме. Если своё виртуальное пространство всё же приходится делить с близкими, чтобы не накалять обстановку, тогда как хотя бы защитить его? Как минимум от ненамеренных действий детей или взрослых людей, но полных новичков. Ниже рассмотрим 5 способов такой защиты, реализуемых в среде Windows 10. Итак…
При установке любой версии Windows всегда создаётся учётная запись администратора, а внутри неё уже можно формировать сколь угодно учётных записей типа «Стандартный пользователь». Именно посредством таких и нужно делить компьютер с неопытными домочадцами. В Windows 10 создать другим пользователям отдельную среду для работы с компьютером можно в приложении «Параметры», в разделе «Учётные записи».
Тогда как с учётной записи администратора с Windows можно делать практически всё – устанавливать и запускать какой угодно софт, вносить в систему свои настройки, удалять любые, даже некоторые системные файлы, с учётной записи стандартного пользователя эти действия будут блокироваться. Стандартный пользователь сможет работать с Интернетом и программами, запуск которых неограничен получением разрешения на запрос UAC.
Подробнее о создании учётных записей в среде Windows 10 читайте здесь.
Такой подход не решит всех проблем, которые порождает совместное использование технологий в доме, но как минимум снизит риск заражения компьютера вирусами. И в части случаев предотвратит сбой работы Windows. По всем вопросам запуска программ, требующих прав администратора, стандартному пользователю придётся обращаться к вам. И вы сможете контролировать действия того, кому доверили своё устройство.
Права стандартного пользователя в актуальной версии Windows 10 (обновлённой до Creators Update) можно ещё больше ограничить, запретив установку в систему десктопного ПО. В учётной записи администратора открываем приложение «Параметры» и проходим в раздел «Приложения». В первой вкладке раздела нам нужна функция «Установка приложений». В её выпадающем перечне выбираем опцию, разрешающую установку на компьютер только универсальных приложений из магазина Windows Store.
Для администратора это ограничение действовать не будет. А вот стандартный пользователь теперь не сможет установить в Windows ни одну десктопную программу. Как только он запустит инсталлятор, увидит такое вот сообщение.
В плане исследования новинок ему придётся довольствоваться только выбором контента из Windows Store. Ну или искать портативные программы, не требующие разрешения UAC.
Свести совсем уж к минимуму возможности стандартного пользователя можно, ограничив его работу только с одним универсальным приложением. Редакция Windows 10 Pro предусматривает доступ к одному из приложений только из числа универсальных. А вот в редакциях системы Enterprise и Education в качестве единственного окна доступа учётной записи можно назначать браузер или десктопную программу. Такое ограничение настраивается в разделе управления учётными записями внутри приложения «Параметры».
В настройках ограниченного доступа необходимо указать учётную запись стандартного пользователя и единственное доступное ему приложение.
Выход из учётной записи, работающей в режиме ограничения, осуществляется клавишами Ctrl+Alt+Del.
Примечание: друзья, в предыдущих версиях Windows существовал ещё один тип учётной записи — «Гость». Microsoft её специально предусмотрела для случаев временной работы встречных-поперечных пользователей, которым владелец компьютера вынужден давать его на время попользоваться, чтобы не прослыть скупердяем. В версии системы 10 этот тип учётной записи упразднён, но при желании её всё же можно организовать. Как это делается, читайте в этой статье.
Более гибкие настройки ограничения использования Интернета может предложить ПО типа «Родительский контроль», в том числе и штатный функционал Windows 10, который будет рассмотрен ниже. Пока же такое ПО в системе не настроено, от случая к случаю ограничивать стандартных пользователей в работе с Интернетом можно за счёт отключения сетевой карты или Wi-Fi адаптера и правки файла hosts. Включение/отключение сетевых устройств и замена редакции файла hosts требуют наличия прав администратора. Следовательно, стандартному пользователю без пароля администраторской учётной записи эти ограничения никак не удастся обойти.
Чтобы полностью отключить Интернет на компьютере, на значке сети в системном трее вызываем контекстное меню и отправляемся раздел сетевых настроек системы.
Переключаемся на раздел «Изменение параметров адаптера» и с помощью контекстного меню отключаем активность сетевой карты или Wi-Fi.
Включаем, соответственно, обратным способом.
Чтобы ограничить доступ только к отдельным интернет-сайтам, жмём клавиши Win+R, вводим:
%systemroot%system32driversetc
После нажатия «Ок» в системном проводнике обнаружим путь хранения файла hosts. Открываем его с помощью любого редактора TXT-файлов, например, штатного блокнота.
В самом низу файла вносим записи блокировки сайтов по типу:
127.0.0.1 домен_сайта
Домен указывается через пробел после цифровых значений, как показано на скриншоте. После чего сохраняем файл как текстовый в любом месте компьютера.
Включаем в проводнике отображение расширений файлов и переименовываем (клавиша F2) — убираем из имени «hosts.txt» расширение, то есть часть имени «.txt». Жмём Enter.
Теперь отправляемся по пути нахождения исходного файла hosts, удаляем его (или перемещаем куда-нибудь для хранения в качестве резервной копии), а на его место переносим только что отредактированный файл hosts с заблокированными сайтами. Для возврата настроек системы в исходное состояние либо возвращаем на место первую редакцию файла hosts, либо таким же образом правим текст существующей редакции и удаляем значения блокировки сайтов.
Каждое ПО, реализуемое в среде Windows функцию родительского контроля, имеет свои особенности. Возможности такой функции в составе Windows 10 позволяют гибко устанавливать и снимать ограничения для детских учётных записей, причём ещё и удалённо по Интернету — из веб-интерфейса учётной записи Microsoft. Правда, без Интернета управлять этой функцией нельзя. Применение к учётной записи родительского контроля позволит гибко ограничивать пользователя в действиях:
- Разрешать или запрещать доступ к определённому перечню сайтов;
- Запрещать покупку приложений из Windows Store;
- Разрешать доступ к компьютеру по графику;
- Блокировать запуск отдельного ПО (причём как универсальных приложений, так и десктопных программ);
- Отслеживать действия пользователя и т.п.
Для использования штатной функции родительского контроля и у родителя, и у ребёнка должны быть зарегистрированы учётные записи Microsoft. И, соответственно, с помощью последней должен быть выполнен вход в систему. В разделе управления семейными учётными записями добавляем нового члена семьи.
Указываем, что это ребёнок, вводим адрес электронной почты, к которой подвязана его учётная запись Microsoft.
Затем заходим в почтовый ящик ребёнка и по ссылке в письме от Microsoft подтверждаем его присоединение к семье. После этого в разделе «Семья» веб-интерфейса учётной записи Microsoft взрослого откроется доступ к настройкам родительского контроля ребёнка.
В категорию Access Control (Контроль доступа) входят программы, предназначенные для управления правами пользователей в сети и на одном компьютере, для контроля доступа к файлам, папкам, дискам.
Софт этой категории позволяет запретить доступ на чтение или запись дисков (CD, USB, DVD, жестких дисков) или защищать данные паролем.
Программа для контроля доступа к USB-устройствам
Trial (триал версия)
Программа для отслеживания действий пользователей за компьютером
Условно-бесплатное
Программа для родительского контроля учетных записей Windows
Freeware (бесплатное)
Программа для контроля доступа к файлам, папкам, дискам и программам
Trial (триал версия)
Программа для родительского контроля учетных записей Windows
Платное ПО
Программа для управления группой компьютеров в интернет-кафе
Демо-версия
Программа для фотографирования с веб-камеры в автоматическом режиме
Freeware (бесплатное)
JonDoFox — анонимный интернет в Firefox.
Freeware (бесплатное)
Anti-Porn — ограничение доступа к сайтам.
Условно-бесплатное
Process Blocker — блокировка процессов.
Freeware (бесплатное)
Программа для установки пароля на папку.
Freeware (бесплатное)
URL Blocker 2.0.0.7
Бесплатная легковесная утилита, которая предназначена для того, чтобы сделать определенные URL-адреса полностью недоступными с вашего ПК. В состав программы входит планировщик, который может работать в фоновом режиме. Можно защитить настройки паролем…
get_app32 | Бесплатная | 
DNS Angel 1.7
DNS Angel — небольшая бесплатная программка для защиты ПК от вредоносных загрузок и веб-сайтов, а также контроля посещаемых веб-ресурсов вашими детьми и блокировки нежелательного контента…
get_app1 744 | Бесплатная | 
Rohos Logon Key 4.9
Rohos Logon Key — Программа позволяет вам использовать свой USB флэш драйв как ключ для входа в windows. Теперь вам не надо помнить и постоянно набирать свой пароль. При изьятии USB флеш драйва система автоматически заблокируется. Вставили USB ключ — сист…
get_app5 532 | Условно-бесплатная | 
USB Lockit 3.0.0.0
Бесплатная портативная утилита, которая защищает USB-накопитель с вашими фотографиями, аудиозаписями, видео и другими файлами от посторонних глаз на Android и Windows. После блокировки накопителя абсолютно никто не сможет получить доступ к вашим файлам…
get_app97 | Бесплатная |
Desktop Secret Lock 2.10.2022.0905
Мощная защита от взлома удаленного рабочего стола и несанкционированного доступа, которая использует нестандартный метод блокировки для повышения безопасности и свой уникальный пароль. Присутствуют уведомления при обнаружении посторонней активности на ПК…
get_app798 | Условно-бесплатная |
simplewall 3.6.6
Небольшая утилита, с помощью которой можно быстро и легко настроить службы фильтрации Windows (WFP). Можно просматривать логи, пользоваться встроенным списком блокировок вредоносного ПО и телеметрии, имеется поддержка IPv4/IPv6 и работа через прокси…
get_app3 968 | Бесплатная |
Abelssoft AntiLogger 2022.6.01
Простая в использовании программа, которая позволяет обнаружить и обезвредить кейлоггеры прежде, чем они получат конфиденциальные данные пользователя. Подозрительные процессы будут немедленно и навсегда заблокированы. Имеется «белый» список процессов…
get_app105 | Условно-бесплатная |
URL Disabler 1.1
Бесплатная и портативная утилита, которая предназначена для упрощения процесса блокировки заданных URL-адресов в браузерах Google Chrome, Firefox и Edge. Можно легко добавлять, изменять, экспортировать и импортировать список URL, подлежащих блокировке…
get_app156 | Бесплатная |
DNS Proxywall 5.49
Простое в использовании приложение, которое обеспечивает контроль за интернет-соединением на уровне DNS, позволяя фильтровать и блокировать нежелательные доменные имена, в режиме реального времени отслеживать онлайн-активность программ и многое другое…
get_app197 | Бесплатная |
VoodooShield 7.25
Проактивная защита, работающая по принципу «белого списка». Для проверки неизвестных файлов используется антивирусная технология VoodooAi. Есть локальная и облачная песочница, автоматическая загрузка файлов для анализа с помощью 57 антивирусных движков…
get_app214 | Бесплатная |
File Lock 12.0.0
Простой в использовании блокировщик папок и файлов, который защищает конфиденциальность пользователя и важные данные от кражи, потери или утечки. Чтобы заблокировать папку или файл, просто щелкните правой кнопкой мыши или перетащите их в окно программы…
get_app149 | Условно-бесплатная |
Gilisoft USB Lock 10.3
GiliSoft USB Lock — инструмент для предотвращения утечки важных и конфиденциальных данных с компьютера различными носителями через USB-порты, оптические приводы и даже floppy-дисковод…
get_app2 700 | Условно-бесплатная |
WinLock 9.1.0
WinLock — программа для ограничения времени работы с Windows. Автоматически загружается при включении компьютера и проверяет время работы. После истечения установленного периода времени WinLock выключает систему…
get_app70 467 | Условно-бесплатная |
USB Secure 2.2.2
USB Secure — небольшая и простая программа для установки пароля доступа к Вашей USB-флешке, SSD-диску, внешнему накопителю да и вообще любой карте памяти…
get_app2 144 | Условно-бесплатная |
Несмотря на то, что в составе Windows есть инструменты для ограничения доступа, на практике оказывается, что они не слишком удобны, причем в самых заурядных ситуациях. Достаточно упомянуть такие простые примеры, как установка пароля на директорию или запрет на открытие Панели управления.
Можно отметить, что в Windows 8, по сравнению с предшествующей ей Windows 7, был усовершенствован родительский контроль. Сейчас с ним можно ознакомиться в разделе «Семейная безопасность» Панели управления. Фильтр имеет следующие возможности:
- Фильтрация посещения веб-сайтов
- Ограничения по времени
- Ограничения на Магазин Windows и игры
- Ограничения на приложения
- Просмотр статистики активности пользователей
Из перечисленного ясно, что даже эти функции помогут администратору компьютера решить многие частные моменты. Поэтому далее пойдет речь о небольших программах, которые позволяют ограничить доступ к информации и системным разделам в дополнение к стандартным инструментам управления ОС Windows.
Security Administrator
Домашняя страница: http://www.softheap.com/secagent.html
Лицензия: Shareware ($69)
Security Administrator
Программа Security Administrator напоминает типичный системный твикер, но только с акцентом на системную безопасность. Каждая из опций отвечает за определенное ограничение, поэтому общее древо настроек так и называется — «Restrictions». Оно делится на 2 раздела: общие (Common Restrictions) и пользовательские ограничения (User Restrictions).
В первой секции — параметры и подразделы, которые касаются всех пользователей системы. К ним относятся загрузка и вход в систему, сеть, Проводник, собственно Интернет, система, Панель управления и другие. Условно их можно разделить на ограничения онлайн- и офлайн-доступа, но разработчики особо сложной разбивки по вкладкам не рассмотрели. По сути, достаточно и того, что каждый «твик» имеет описание: какое влияние на безопасность оказывает та или иная опция.
Во втором разделе, User Restrictions, можно настроить доступ для каждого пользователя Windows индивидуально. В список ограничений входят разделы Панели управления, элементы интерфейса, кнопки, горячие клавиши, съемные носители и др.
Предусмотрен экспорт настроек в отдельный файл, чтобы его можно было применить, например, на других системных конфигурациях. В программу встроен агент для слежения за активностью пользователей. Файлы журнала помогут администратору проследить потенциально опасные действия пользователя и принять соответствующие решения. Доступ к Security Administrator можно защитить паролем — в далее рассматриваемых программах это опция также имеется де факто.
Из недостатков — небольшой список программ, для которых можно применить ограничения: Media Player, MS Office и т. п. Популярных и потенциально опасных приложений намного больше. Усложняет работу отсутствие актуальной для Windows 8 версии и локализации — это как раз тот вариант, когда сложно обходиться без начальных знаний английского.
Таким образом, программа предназначена как для ограничения доступа, так и для гибкой настройки параметров безопасности ОС.
WinLock
Домашняя страница: http://www.crystaloffice.com/winlock/
Лицензия: trialware ($23,95)
WinLock
В WinLock нет распределения настроек на общие и пользовательские, вместо этого имеются разделы «Общие», «Система», «Интернет». В сумме, возможностей меньше, чем предлагает Security Administrator, но такая логика делает работу с программой более удобной.
К системным настройкам относятся ограничения элементов Рабочего стола, Проводника, меню «Пуск» и им подобных. Также можно установить запрет на определеные горячие клавиши и всевозможные меню. Если интересуют только эти аспекты ограничений — ниже см. программу Deskman.
Ограничения функций Интернета представлены весьма поверхностно. Они заменяют один из компонентов Семейной безопасности: блокировка доступа к сайтам. Безусловно, любой файрволл по этой части будет оптимальным решением. Отсутствие же возможности хотя бы задать маску для веб-узлов делает данный раздел WinLock маловажным для опытного пользователя.
Кроме названных разделов, следует упомянуть «Доступ», где доступно управление приложенями. Любую программу легко занести в черный список по названию либо ручным добавлением.
В разделы «Файлы» и «Папки» можно поместить данные, которые необходимо скрыть от других пользователей. Пожалуй, не хватает парольной защиты доступа (для этого нужно обратиться к помощи других программ, см. ниже).
WinGuard
Домашняя страница: http://www.winguardpro.com
Лицензия: freeware
WinGuard
WinGuard можно использовать для блокировки приложений и разделов Windows, а также для шифрования данных. Программа распространяется в двух редакциях — бесплатной и Advanced. Функциональные отличия между ними невелики — несколько опций в одноименной вкладке «Advanced». Среди них отключение Internet Explorer, Проводника, процесса установки, записи файлов на USB.
Контроль над запуском приложений осуществляется во вкладке «Task Lock». Если нужной программы нет в списке, ее можно добавить самостоятельно, указав название в заголовке либо выбрав из списка открытых в данный момент приложений (аналогично WinLock). Если же сравнивать функцию блокировки с Security Administrator, в случае с WinGuard можно отключить ограничения для администраторского аккаунта. Однако настроить черный список приложений для каждого пользователя нельзя.
Шифрование доступно посредством раздела Encryption. Реализован пользовательский интерфейс неудобно: нельзя составить список для обработки, нет контекстного меню. Все, что нужно сделать — это указать директорию, которая будет являться и исходной, и конечной. Все содержащиеся файлы будут зашифрованы в 128-битный AES (Advanced Encryption Standard). Аналогичным образом производится расшифровка.
Таким образом, функциональность достаточно бедная, даже если взять во внимание платную версию.
Advanced Folder Encryption
Домашняя страница: http://www.kakasoft.com/advanced-folder-lock/
Лицензия: shareware ($34,95)
Advanced Folder Encryption
Еще одна программа для AES-шифрования данных, и все же отличие от WinGuard весьма заметно.
Во-первых, выбор файлов для шифрования происходит быстрее. Не нужно выбирать каждую папку по-отдельности, достаточно составить список директорий и файлов. При добавлении Advanced Folder Encryption требует выставить пароль для шифрования.
Вы, в программе нет возможности указать метод защиты, вместо этого позволяется выбрать метод Norman, High или Highest.
Второй удобный момент — шифрование через контекстное меню и расшифровка файлов одним кликом. Нужно понимать, что без установленной Advanced Folder Encryption данные не удастся просмотреть даже зная пароль. В этом отличие от архиваторов, которыми можно запаковать файлы в зашифрованный и всюду доступный exe-архив.
При выборе большого количества файлов для шифрования, как было замечено, не срабатывает кнопка отмены. Поэтому нужно быть осторожным, чтобы не получить результат в виде битого файла.
Deskman
Домашняя страница: http://www.anfibia-soft.com
Лицензия: trialware (€39)
Deskman
Программа для ограничения доступа к элементам интерфейса и системным разделам. Пожалуй, тут ее уместно сравнить с Security Administrator за той разницей, что Deskman более сконцентрирован на Рабочем столе. Системные опции также присутствуют, но это, скорее, то, что не подошло в другие разделы: отключение кнопок перезагрузки, Панели управления и другие смешанные опции.
В разделе Input — отключение горячих клавиш, функциональных кнопок и функций мыши. Помимо имеющегося списка, можно определить сочетания клавиш самостоятельно.
Любопытна опция Freeze, которая доступна на панели инструментов. По ее нажатию формируется «белый список» из приложений, запущенных в данный момент. Соответственно, не входящие во whitelist программы недоступны до того момента, пока функция Freeze не будет отключена.
Еще одна возможность, связанная с уже онлайн, — защищенный веб-серфинг. Суть «защищенного» метода заключается в том, что доступны будут только те страницы, которые содержат в заголовке определенные ключевые слова. Эту функцию можно назвать разве что экспериментальной. Вдобавок, акцент делается на Internet Explorer, который, безусловно, является стандартным браузером, но явно не единственным.
Следует отметить удобное управление программой. Для применения всех установленных ограничений достаточно нажать кнопку «Secure» на панели, либо босс-клавишу для снятия ограничений. Второй момент — поддерживается удаленный доступ к программе посредством веб-интерфейса. После предварительной настройки он доступен по адресу http://localhost:2288/deskman в виде панели управления. Это позволяет следить за пользовательской активностью (просмотр журналов), запускать программы, перезагружать компьютер/выходить из системы — как на одной, так и на нескольких машинах.
Password for Drive (Secure NTFS)
Домашняя страница: http://www.securentfs.com/
Лицензия: shareware ($21)
Password for Drive
Программа работает только с файловой системой NTFS и использует ее возможности для хранения информации в скрытой области.
Для создания хранилища необходимо запустить Password for Drive с администраторскими правами и выбрать диск для создания хранилища. После этого файлы можно копировать в защищенную область с помощью виртуального диска. Для доступа к данным с другого компьютера не требуются администраторские права.
В качестве хранилища можно использовать также съемный носитель. Для этого предварительно нужно отформатировать диск, например, штатными инструментами Windows, в NTFS и установить Password for Drive в редакции portable.
Программа не отличается интуитивным и удобным интерфейсом, фактически управление осуществляется минимальным набором кнопок — «Открыть»/»Удалить хранилище» и «Активировать диск». В демонстрационном режиме возможно лишь протестировать функциональность программы, так как количество открытий хранилища ограничено сотней.
USB Security
Домашняя страница: http://www.kakasoft.com/usb-security/
Лицензия: shareware ($19,95)
USB Security
Программа предназначена для установки парольной данных на съемные носители.
В отличие от Secure NTFS, диалог настройки значительно более интуитивен, благодаря мастеру настройки. Так, для применения защиты необходимо подсоединить к компьютеру устройство, выбрать его в списке и следовать мастеру установки. После данной процедуры пользователь получает в свое распоряжение диск, защищенный паролем. Для разблокировки достаточно запустить exe-файл в корне диска и ввести пароль.
Зашифрованный диск при открытии доступен как виртуальный диск, с которым можно производить те же операции, что и с исходным. Не стоит забывать, что на компьютерах, где запрещен запуск сторонних программ (не находящихся в «белом» списке), доступ к содержимому будет закрыт.
Также на сайте разработчиков можно скачать другие программы для защиты данных, в том числе:
- Shared Folder Protector — защита файлов внутри сети;
- Folder Protector — защита файлов на съемных носителях.
AccessEnum
Домашняя страница: http://technet.microsoft.com/en-us/sysinternals/bb897332.aspx
Лицензия: freeware
AccessEnum
Небольшая утилита, которая позволяет контролировать доступ пользователей к Реестру и файлам, находить уязвимости в выданных правах. Другими словами, программа будет полезна в том случае, если права доступа выставляются средствами Windows.
Удобство утилиты состоит в том, что ОС попросту не предоставляет средств для просмотра прав доступа к директориям в виде детального списка. Кроме файлов, также можно проверить доступ к веткам реестра.
Для проверки прав доступа необходимо указать директорию или раздел Реестра для сканирования и начать процесс сканирования. Результаты отображаются в виде колонок «Read»/»Write»/»Deny», соответствующих адресам. В свойства каждого из элементов списка можно зайти через контекстное меню.
Программа работает под всеми ОС семейства Windows NT.
Резюме
Утилиты, рассмотренные в обзоре, можно использовать в дополнение к базовому инструментарию Windows, комплексно и в довесок друг к другу. Их нельзя отнести в категорию «родительский контроль»: некоторые функции в чем-то схожи, но по большей части не совпадают.
Security Administrator и WinLock — утилиты-твикеры настроек безопасности, которые также можно использовать для отключения элементов Рабочего стола, системных разделов и др. В WinLock, кроме того, встроен интернет-фильтр и есть возможность блокировки файлов и папок.
В функции Deskman входит ограничение доступа к интерфейсу (превосходящее по гибкости Security Administrator и WinLock), управление запуском приложений, интернет-фильтр.
WinGuard сочетает в себе функции шифровальщика и ограничителя доступа к программам и устройствам. Advanced Folder Encryption имеет смысл рассматривать как замену WinGuard по части шифрования.
Password for Drive и USB Security ограничивают доступ к данным на съемных носителях.
AccessEnum — бесплатная удобная оболочка для проверки прав доступа пользователей к файлам и Реестру.
Делить с кем-то из близких или сотрудников по работе один компьютер – не самая приятная задача. Чтобы упредить споры, каждый из имеющих право пользования компьютером в среде Windows может создать свою, с парольной защитой учётную запись. И таким образом хоть как-то оградить своё личное виртуальное пространство. Полноправные владельцы компьютеров вправе ограничивать тех, кто время от времени использует их Windows-устройства.
Причём не только методами создания учётных записей со статусом стандартного пользователя, лишённого прав администратора. Обладая правами последнего, возможности по использованию компьютера для отдельных людей, чьи неопытные или намеренные действия могут приводить к проблемам, можно урезать в большей степени.
Как в среде Windows 10 задействовать ограниченные учётные записи?
1. Запуск только одного UWP-приложения
Учётные записи со статусом стандартного пользователя можно максимально ограничить, позволив с них запуск только одного UWP-приложения. Делается это в приложении «Параметры» из учётки администратора.
Единственным доступным приложением при таком раскладе может быть любое UWP-приложение – хоть штатное, хоть установленное в Microsoft Store, но только не браузер Edge. Тем не менее если пользователю нужно дать ограниченную среду для веб-сёрфинга, в Microsoft Store можно установить сторонний UWP-браузер.
Такая ограниченная учётная запись будет работать по принципу терминала. Выйти из неё можно нажатием Ctrl+Alt+Del.
Более гибко настроить ограничения для отдельных пользователей можно с помощью функционала редакций Windows 10, начиная с Pro.
2. Режим гостя
Для встречных-поперченных людей, которым вроде как и неудобно отказать в просьбе дать на пару минут зайти в соцсеть, но и не очень хочется подпускать к своим личным данным, в панели управления Windows 7 можно было включить специальную учётную запись гостя. В «Десятке» она никуда не делась, вот только включается чуть сложнее. В режиме гостя используется в большей степени ограниченная учётная запись, чем таковая со статусом стандартного пользователя. Гостю нельзя делать всё то, что требует прав администратора – устанавливать, удалять, запускать программы, удалять системные данные, смотреть содержимое каталогов профиля других пользователей. Нельзя использовать OneDrive. Доступ к настройкам в UWP-формате ограждён невозможностью запуска приложения «Параметры».
Чтобы включить учётку гостя в Windows 10, запускаем штатную утилиту:
lusrmgr.msc
Раскрываем каталог «Пользователи», в нём двойным кликом кликаем по «Гостю». В отрывшихся свойствах убираем все установленные галочки. Применяем.
Теперь нужно кое-что подправить в локальных групповых политиках. Открываем редактор:
gpedit.msc
Раскрываем путь, указанный на скриншоте. Открываем параметр, запрещающий локальный вход.
Удаляем гостя.
И тем самым активируем его учётную запись.
3. Особенный гость
Обезличенная учётка «Гость» — универсальное решение, удобное, если часто приходится принимать у себя гостей, которым всегда нужно срочно войти на пару минут в свою соцсеть. Если круг гостей узкий, можно сделать приятно, например, любимой бабушке, создав её личную учётку гостя. В той же утилите lusrmgr.msc нужно в меню «Действие» выбрать нового пользователя, дать ему имя и убрать галочку необходимости смены пароля (чтобы учётка была незапароленной). Затем нажать «Создать».
Затем делаем двойной клик на бабушкиной учётке и в окне свойств переключаемся на вкладку «Членство в группах». Удаляем группу «Пользователи».
И добавляем группу «Гости».
Если бабушка станет реже приходить, её учётку, чтобы она не болталась на экране блокировки, можно временно отключать. Делается это в том же окошке свойств учётной записи.
***
Ещё больше урезать возможности гостя или стандартного пользователя можно с помощью локальных групповых политик. Ограничения, введённые ими в окне редактора gpedit.msc, будут работать для всех учётных записей компьютера. А чтобы ограничения не касались администратора и применялись только для отдельных пользователей, с политиками нужно работать через консоль MMC.
Запускаем её:
mmc.exe
Необходимо добавить новую оснастку.
Кликаем «Редактор объектов групповой политики». Нажимаем «Добавить», затем — «Обзор».
Выбираем нужного пользователя.
Готово.
Закрываем форму добавления оснасток. Оснастку gpedit.msc, созданную для выбранного пользователя только что, сохраняем в удобном месте.
С этого места и будем впредь запускать эту оснастку. И ограничивать в ней права юзеров. Например, тройкой предложенных ниже способов.
4. Запрет панели управления
Режим гостя, как упоминалось, защищён от вмешательства в настройки, находящиеся в приложении «Параметры». А вот панель управления в части настроек, не требующих прав администратора, гостю доступна. Это легко можно исправить и запретить её запуск.
В созданной оснастке раскрываем путь, показанный на скриншоте. Открываем параметр, запрещающий работу с панелью управления.
Включаем его.
В учётке со статусом стандартного пользователя этот параметр ещё и отключит приложение «Параметры».
5. Запуск только UWP-приложений
Чтобы дать человеку возможность работать только с UWP-приложениями и закрыть ему доступ к десктопным EXE-программам, можно воспользоваться параметром выполнения только указанных приложений.
Будучи включённым, этот параметр позволит поимённо указать только разрешённые для запуска EXE-программы. Нужно указать хотя бы одну такую программу, например, штатный блокнот.
6. Запуск только отдельных программ
Используя параметр выполнения только указанных приложений, можно расширить перечень разрешённых пользователю EXE-программ.
А можно сделать иначе и разрешить использовать все EXE-программы, кроме некоторых.
При попытке запуска запрещённых программ гость увидит такое вот сообщение.
Загрузка…
Ограниченный режим доступа позволяет ограничить локальную учетную запись пользователя так, чтобы она имела доступ только к одному приложению UWP. Вот как выбрать приложение для корректной работы в режиме ограниченного доступа для Windows 10.
Ограниченный доступ — это способ запретить запуск любых универсальных приложений (Universal Platform App) для стандартной учетной записи пользователя, кроме указанного вами. Это означает, пользователь будет иметь доступ, только к одному приложению. Эта функция весьма полезна для общедоступных систем, таких как кафе, торговые площадки и т. Д.
Настройка режима ограниченного доступа довольно проста в Windows 10. Ниже мы рассмотрим два способа, которыми вы можете воспользоваться для этого.
Как настроить назначенный доступ в Windows 10 с помощью приложения «Параметры».
Способ 1.
1. Кликните правой кнопкой мыши кнопку «Пуск» или нажмите клавиши Win + X и выберите «Параметры».
2. В приложении «Параметры» перейдите в раздел «Учетные записи» → «Семья и другие пользователи».
3. В разделе «Семья и другие пользователи» в разделе «Блокировка устройства» нажмите ссылку «Настройка ограниченного доступа».
4. Затем нажмите «Выберите учетную запись» и укажите учетную запись пользователя, для которого вы хотите настроить доступ только к одному приложению.
5. Теперь, нажмите «Выберите приложение», а затем укажите приложение, к которому будет разрешён доступ.
Все, вы только что настроили ограниченный доступ.
Если вы все выполнили правильно, после входа под данной учетной записью, будет выполнен автоматический запуск указанного вами приложения, к другим приложениям и к самой системе доступа не будет.
Чтобы выйти из ограниченного доступа, вы можете просто нажать комбинацию клавиш Ctrl+Alt+Del. Кроме того, вы можете нажать ссылку «Отключение ограниченного доступа» на самой странице настройки.
Как настроить ограниченный доступ с помощью PowerShell в Windows 10.
Способ 2.
1. Откройте Windows PowerShell от имени администратора (см. как).
2. Затем введите следующий командлет и нажмите клавишу Enter :
Get-AppxPackage
3. Теперь скопируйте строку PackageFullName для приложения, которое вы хотите использовать для ограниченного доступа.
4. Введите следующий командлет и нажмите клавишу Enter:
Set-AssignedAccess -AppUserModelId <PackageFullName>!app -UserName <USERNAME>
* Замените <PackageFullName> полным именем пакета приложения и <USERNAME> учетной записью пользователя, которую вы хотите ограничить.
Это должно настроить ограниченный режим доступа. Чтобы выйти из режима, просто нажмите Ctrl+Alt+Del, как было упомянуто ранее.
Таким образом, вы можете управлять пользователями которые получают доступ к вашему устройству с Windows 10.
Все!
Вам может быть интересно: Как ограничить или установить время доступа пользователя в Windows 10.
Постановка вопроса
Для пользователя компьютера в целом будет лучше, если он не будет использовать права администратора в своей повседневной работе. Особенно это актуально, когда речь заходит о взаимодействии пользователя с сетью Интернет. Не секрет, что большая часть появляющейся на компьютере малвари попадает туда посредством использования уязвимостей в сетевых приложениях или посредством неаккуратной работы пользователя в сети.
Если пользователи *nix систем привыкли использовать sudo или su для решения некаждодневной задачи, то пользователи ОС Windows не спешат приучать себя к хорошим манерам, продолжая работать с правами администратора.
Немного теории
Учетная запись пользователя Windows представляет собой набор данных, определяющих, к каким папкам и файлам пользователь имеет доступ, какие изменения могут вноситься пользователем в работу компьютера, а также персональные настройки пользователя, такие как фон рабочего стола и экранная заставка
Типы учетных записей Windows
Различаются по предоставляемым возможностям управления компьютером:
- обычные учетные записи пользователей предназначены для повседневной работы;
- учетная запись администратора предоставляет полный контроль над компьютером, этот тип учетной записи не рекомендуется для ежедневного применения, им следует пользоваться только при необходимости;
- учетная запись гостя предназначена для временного доступа к компьютеру.
При этом учетная запись «Администратор» позволяет:
- устанавливать программы и оборудование
- вносить изменения на уровне системы
- иметь доступ на чтение всех общих файлов
- создавать и удалять учетные записи пользователей
- изменять учетные записи других пользователей
- изменять имена и типы своей учетной записи
- изменять рисунок своей учетной записи
- создавать, изменять и удалять свой пароль
В то время как «обычная» учетная запись, позволяет лишь:
- изменять рисунок своей учетной записи
- создавать, изменять и удалять свой пароль
Проанализировав, можно прийти к выводу, что недостаток привилегий обычной учетной записи не столь критичен, однако пользователей таких учетных записей в ходе работы ждут следующие проблемы:
- невозможность прохождения системой проверки подлинности;
- невозможность обновления стороннего софта;
- невозможность выборочной установки обновлений Windows.
Для решения возникающих проблем пользователю каждый раз необходимо будет использовать либо «Run as administrator», либо утилиту runas.exe, раз за разом вводя пароль администратора или же каждый раз изменять пользователя на «администратор», выполнить необходимый набор действий и возвращаться в свою учетную запись. Все эти телодвижения непонятны рядовому пользователю, и он продолжает свою работу с правами администратора.
Предлагается
У системных администраторов есть правило «Наименьших прав». Оно гласит, что пользователь должен выполнять свою работу только с минимальным набором привилегий, необходимых для решения поставленных задач.
Дабы не сталкивать пользователя с дополнительными задачами, решение которых будет отвлекать его от выполнения основной работы, но при этом не оставлять у пользовательских приложений прав администратора, предлагается понизить в правах не пользователя, а сами приложения.
Для этой цели существует ряд утилит, рассмотрим наиболее распространенные:
- Drop My Rights;
- PsExec.
Для примера, понизим привилегии браузера Internet Explorer.
Утилита Drop My Rights
После выполнения установки, создаём ярлык браузера, заходим в свойства ярлыка и в поле «объект» прописываем строку:
PathToDropmyrightsDropMyRights.exe «C:Program FilesInternet ExplorerIEXPLORE.EXE» С
«С» в конце строки означает уровень привилегий «Constrained user», всего определенно три уровня привилегий:
- N – normal user (обыкновенный пользователь);
- C – constrained user (ограниченный пользователь);
- U – untrusted user (ненадежный пользователь).
Приведенную строку можно ввести в консольном режиме.
Утилита PsExec
PsExec — это облегченный вариант программы Telnet. Она позволяет выполнять процессы в удаленных системах, используя для этого все возможности интерактивного интерфейса консольных приложений, и при этом нет необходимости вручную устанавливать клиентское программное обеспечение. В нашем случае из всего мужества ключей утилиты, используются только два:
psexec -l -d «C:Program FilesInternet ExplorerIEXPLORE.EXE»
-d – указывает, что не нужно ждать завершения приложения.
-l – при запуске процесса пользователю предоставляются ограниченные права (права группы администраторов отменяются, и пользователю предоставляются только права, назначенные группе «пользователи»).
Для проверки корректности проведенной настройки применяется специальная панель инструментов для IE – PrivBar. С помощью неё можно легко отследить права пользователя, работающего с браузером.
Вывод
Стоит всегда помнить, что работая с правами администратора, угрозе подвергается не только компьютер, но и данные, привилегии администратора должны применяться только для решения нестандартной задачи, а по выполнению таковой сразу же оставляться. В случае, если по каким-либо причинам временное получение прав «Администратора» некомфортно, предлагается понизить в правах само приложение.
Обзор решений для ограничения доступа к компьютеру и хранящимся на нем данным
О необходимости ограничения доступа
Программы для ограничения доступа
Блокирование доступа к настройкам операционной системы и системным данным
Ограничение доступа к устройствам
Защита персональной информации
Как показывает практика, чем меньше пользователей имеют доступ к конкретному компьютеру, тем дольше система остается на нем работоспособной и тем больше вероятность, что папки и файлы окажутся в целости и сохранности. Лучше всего, если у компьютера только один пользователь. Увы, в действительности так бывает далеко не всегда: на работе приходится пускать за свой компьютер других сотрудников, дома довольно часто один и тот же компьютер используется всеми членами семьи, а в публичных местах (в частности, в учебных заведениях и компьютерных клубах) число пользователей компьютера вообще может оказаться очень большим.
О необходимости ограничения доступа
Вполне понятно, что обычно ни коллеги, ни домочадцы не желают нанести вреда вашему компьютеру, но если они относятся к категории начинающих пользователей, то проблем не избежать. Да и подрастающее поколение в учебных заведениях обычно не ставит перед собой цели вывести компьютер из строя и уничтожить хранящуюся на нем информацию — просто активно экспериментирует, не задумываясь о том, к каким последствиям могут привести те или иные действия.
В итоге на компьютерах неизбежно возникают те или иные проблемы в работе отдельных приложений либо операционной системы. Это неудивительно, ведь достаточно случайно (просто по неосторожности или в ходе эксперимента) удалить, например, драйвер монитора — и изображение на экране станет не столь привлекательным, удалить принтер — и печать документов окажется невозможной, изменить сетевые настройки — и компьютер перестанет работать в локальной сети и т.д. И это еще не самый худший вариант — случайное удаление ряда системных папок и файлов может привести к полной неработоспособности операционной системы, так что ее придется переустанавливать. А уничтожение важных рабочих документов может иметь еще более печальные последствия — не исключено, что восстановить их в полном объеме не удастся и часть работы (а то и всю ее целиком) придется выполнять заново. Кроме того, нельзя сбрасывать со счетов и то, что если ваши личные либо корпоративные материалы представляют какую-либо коммерческую ценность, ими могут захотеть воспользоваться злоумышленники.
Таким образом, вопрос ограничения доступа к компьютеру, его отдельным устройствам, а также хранящимся на нем данным в той или иной мере актуален для всех компьютерных пользователей без исключения. Просто для одних (администраторов, преподавателей в компьютерных классах, имеющих детей домашних пользователей) на первый план выходят задачи блокирования доступа к настройкам операционной системы и защиты файлов и папок операционной системы и установленных приложений, а для других (сюда можно отнести администраторов, специалистов отделов компьютерной безопасности и преподавателей, которые в нашей стране наряду с преподавательской деятельностью часто также вынуждены обеспечивать работоспособность находящихся в их ведении компьютеров) важнее блокирование доступа к различным устройствам (USB, CD/DVD, FireWire и др.). Причин необходимости блокирования доступа к устройствам три: во-первых, именно на таких устройствах инсайдеры нередко выносят из компаний конфиденциальную информацию; во-вторых, посредством этих устройств в компьютер часто попадают вирусы и троянские программы; в-третьих, со сменных носителей устанавливаются разнообразные программы, что желательно предотвратить — в противном случае на компьютер, например в учебном заведении, уже через неделю будет установлено такое количество игрушек, что для других приложений просто не останется места.
Многих офисных сотрудников интересует полное блокирование доступа к включенному компьютеру в отсутствие законного пользователя. Необходимость подобной защиты в офисе весьма актуальна, ведь даже при наличии собственного компьютера пользователь не может находиться рядом с ним постоянно и нередки ситуации, когда включенный компьютер оказывается без присмотра, чем могут воспользоваться заинтересованные в ваших материалах другие сотрудники.
Еще одну группу пользователей (к ней относятся все офисные служащие и домашние пользователи) волнует защита персональных данных для предотвращения их порчи, удаления либо утечки. Проблема защиты персональных папок и файлов неизбежно возникает, когда за компьютером работает несколько человек. Это может быть и дома, когда нужно оградить других членов семьи (например, ребенка) от непредназначенной для них информации, и на работе, где даже при наличии у каждого пользователя своего компьютера возможны ситуации, когда другому сотруднику потребуется выполнить за вашим компьютером какие-то операции. В обоих случаях незачем демонстрировать посторонним свои рабочие материалы, и вовсе не потому, что они имеют гриф «совершенно секретно». Все гораздо проще: никто не любит вмешательства посторонних в свои дела. Кроме того, заблокировав доступ к своим папкам и файлам, можно не переживать, что с ними что-то случится по вине другого (недостаточно подготовленного) пользователя либо ими незаконно воспользуются, что, к сожалению, вполне возможно, если материалы представляют коммерческую ценность.
В общем вопрос разумного ограничения доступа весьма сложен и многогранен, и без подходящих приложений решить его невозможно. Таким приложениям и посвящена данная статья.
Программы для ограничения доступа
Ассортимент предлагаемых на рынке приложений для ограничения доступа достаточно широк и охватывает разноплановые программные продукты. Одни из них блокируют доступ к настройкам операционной системы, другие — позволяют контролировать доступ к разнообразным устройствам, третьи — полностью блокируют компьютер в отсутствии пользователя, четвертые — обеспечивают скрытие персональных данных. Нередко указанные возможности сочетаются в той или иной комбинации, что вполне понятно, ведь многим пользователям для решения стоящих перед ними задач требуется ограничить доступ сразу по нескольким направлениям.
Блокирование доступа к настройкам операционной системы и системным данным
Встроенные средства Windows позволяют вводить некоторые ограничения на доступ пользователей к настройкам операционной системы и системным данным путем управления локальной политикой безопасности (Панель управления=>Администрирование=>Локальная политика безопасности). В частности, можно запретить изменение пароля учетной записи и установку драйверов принтера, ограничить список допустимых для использования приложений и т.п., однако перечень ограничиваемых параметров невелик.
В то же время на практике для обеспечения стабильной работы системы довольно часто требуется больше ограничивать возможности пользователей, что можно сделать уже только с помощью узкоспециализированных утилит, предназначенных для управления доступом к компьютеру. В качестве примера мы рассмотрим программы Security Administrator, WinLock, Deskman и My Simple Desktop. Наибольший интерес из них представляет утилита Security Administrator, позволяющая ограничивать доступ ко всем важным настройкам системы и ориентированная на системных администраторов. Наименьшая функциональность у программы My Simple Desktop, зато она бесплатна для персонального применения и имеет вполне достаточные для части домашних пользователей возможности, да и освоить ее можно в считаные секунды.
Security Administrator 12.0
Разработчик: Getfreefile
Сайт программы: http://www.softheap.com/secagent.html
Размер дистрибутива: 1,85 Мбайт
Работа под управлением: Windows 9x/Me/NT 4/2000/XP/2003/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.softheap.com/download/secagent.zip)
Цена: 69 долл.
Security Administrator — профессиональное решение для управления доступом к компьютеру, позволяющее ограничить доступ к компьютеру и всем его важным настройкам (рис. 1) как в целом, так и для отдельных пользователей. Возможно также полное блокирование включенного ПК при отсутствии пользователя. Помимо установки ограничений утилита может применяться для контроля работы пользователей на компьютере, поскольку ведет статистику использования локальной сети, Интернета и т.д.
Рис. 1. Ограничение доступа к системным настройкам и скрытие дисков
в Security Administrator
Данное решение пригодится для установки широкого спектра ограничений доступа. С его помощью несложно ограничить доступ к настройкам рабочего стола (запретить изменение свойств дисплея, скрыть определенные иконки и др.) и отключить некоторые пункты меню «Пуск», скрыть панель задач (всю либо только отдельные элементы). А также запретить установку/удаление приложений и ограничить возможности пользователей при работе в Интернете: запретить изменение параметров Internet Explorer, скачивание файлов, доступ к Интернету из приложений и т.д. Предусмотрены и широкие возможности для защиты критических настроек системы от изменений — например можно запретить редактирование системного реестра, активирование режима DOS, инсталляцию новых драйверов, добавление/удаление принтеров, копирование/перемещение файлов в системных папках и удаление файлов и папок из папки «Мой компьютер». А также скрыть в меню «Пуск» панель управления, принтеры, сетевые подключения и команду «Выполнить». При необходимости панель управления можно скрывать не полностью, а частично, спрятав наиболее критичные с точки зрения несанкционированного изменения элементы, такие как «Система», «Свойства экрана», «Сеть», «Пароли» и «Принтеры». Столь же несложно скрыть локальные, сетевые и USB-диски, запретить прожиг и автопроигрывание компакт-дисков, блокировать использование горячих клавиш Windows и запуск конкретных приложений, а также скрыть указанные папки — данные папки станут невидимыми в папке «Мой компьютер», проводнике и диалоговых окнах Open/Save Windows-приложений.
WinLock 5.0
Разработчик: Crystal Office Systems
Сайт программы: http://www.crystaloffice.com/winlock/
Размер дистрибутива: 2,65 Мбайт
Работа под управлением: Windows 95/98/Me/NT 4.0/2000/XP/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.crystaloffice.com/winlock.exe)
Цена: WinLock — 21,95 долл.; WinLock Professional — 31,95 долл.
WinLock — удобное решение для ограничения доступа к важным системным ресурсам (рис. 2) и пользовательским данным, в том числе в удаленном режиме. Программа представлена в двух версиях: базовой WinLock и расширенной WinLock Professional (возможности базовой версии не позволяют ограничивать доступ к веб-ресурсам и использовать шифрование).
Рис. 2. Ограничение доступа к системным настройкам и скрытие дисков
в WinLock
С помощью данного решения можно запретить доступ к системному реестру, скрыть в меню «Пуск» команды доступа к панели управления, принтерам и сетевым подключениям и полностью заблокировать доступ к соответствующим системным папкам и к некоторым другим папкам («Мой компьютер», «Мои документы», корзине и др.). А также установить запрет на блокирование компьютера и сделать невозможным изменение настроек панели задач, параметров дисплея, сетевых настроек, добавление/удаление программ из меню «Пуск» и переименование иконок на рабочем столе. Столь же просто установить запреты на активирование режима DOS и загрузку Windows в безопасном режиме и заблокировать горячие клавиши Windows (Alt+Ctrl+Del, Alt+Tab, Ctrl+Esc и т.д.). При желании можно даже ограничить возможности управления окнами (например, запретить изменение их размеров и перемещение). Имеется в программе и инструментарий для блокирования доступа к сменным носителям (CD/DVD-приводам, USB-устройствам и др.) и скрытия отображения определенных дисков в папке «Мой компьютер» и проводнике. Можно блокировать запуск конкретных приложений (download-менеджеров, игр и т.д.) и запретить доступ к определенным файлам и папкам (первые нельзя будет открыть для просмотра или редактирования, а вторые — открыть, переименовать или удалить). А также предотвратить доступ к сомнительным веб-ресурсам (на базе белого списка разрешенных сайтов и черного списка запрещенных ключевых слов) и установить ограничения на время использования компьютера конкретными пользователями.
Deskman 8.1
Разработчик: Anfibia Software
Сайт программы: http://www.anfibia-soft.com/products/deskman/index.html
Размер дистрибутива: 1,03 Мбайт
Работа под управлением: Windows 2000/2003/XP/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.anfibia-soft.com/download/deskmansetup.exe)
Цена: персональная лицензия — 25 евро; бизнес-лицензия — 35 евро
Deskman — простой инструмент для регулирования доступа к компьютеру и его настройкам (рис. 3), позволяющий полностью блокировать ПК (включая клавиатуру, мышь и рабочий стол) либо ограничивать доступ к тем или иным его функциям (для разных пользователей возможны индивидуальные ограничения).
Рис. 3. Настройка ограничений в Deskman
Воспользовавшись данным решением, можно ограничить доступ к настройкам рабочего стола (например, запретить изменение свойств дисплея, удаление иконок, вызов контекстного меню и др.), проводника Windows, панели задач, настройкам Internet Explorer и запретить изменение различных элементов меню «Пуск». А также ограничить доступ к панели управления и другим критическим параметрам настройки системы — например запретить удаление сетевых дисков, заблокировать перезагрузку и выключение компьютера и т.п. При необходимости несложно заблокировать все либо только определенные горячие клавиши Windows (Alt+Ctrl+Del, Alt+Tab, Ctrl+Esc и др.) и настроить утилиту на автоматическое удаление новых записей из автозапуска для предотвращения действия вирусов, adware- и spyware-модулей. Возможна установка запрета на использование другими пользователями конкретных жестких дисков и сменных носителей (CD/DVD-приводов, USB-устройств, дисководов и др.), блокирование автопроигрывания компакт-дисков и их прожиг. Настраивать ограничения можно через предустановленные профили (это удобнее для новичков и гораздо быстрее) либо вручную.
My Simple Desktop 2.0
Разработчик: Anfibia Software
Сайт программы: http://www.mysimpledesktop.com/home.htm
Размер дистрибутива: 1, 76 Мбайт
Работа под управлением: Windows XP/Vista
Способ распространения: My Simple Desktop Office Edition и My Simple Desktop School Edition — shareware (30-дневная демо-версия — http://www.mysimpledesktop.com/downloads.sm.htm); My Simple Desktop Home Edition — freeware (http://www.mysimpledesktop.com/download/msdsetup_home.exe)
Цена: My Simple Desktop Office Edition — 32 евро; My Simple Desktop School Edition — 20 евро; My Simple Desktop Home Edition — бесплатно (только для персонального применения)
My Simple Desktop — очень простая программа для ограничения доступа к компьютеру и его настройкам (рис. 4). Она представлена в трех редакциях: платных My Simple Desktop Office Edition и My Simple Desktop School Edition и бесплатной My Simple Desktop Home Edition (возможности редакций полностью идентичны).
Рис. 4. Установка ограничений доступа в My Simple Desktop
С помощью данной утилиты можно защитить от изменений рабочий стол, панель задач и меню «Пуск», сделать невозможным внесение изменений в настройки дисплея и контекстного меню проводника. А также запретить доступ к панели управления, свойствам папок и системному реестру и заблокировать использование горячих клавиш Windows и правой кнопки мыши. В плане ограничения доступа к устройствам предусмотрен запрет на использование стационарных дисков и внешних USB-устройств, а также скрытие сетевых дисков и блокирование автопроигрывания компакт-дисков. При необходимости можно установить ограничение на время использования компьютера — одинаковое для всех пользователей, за исключением администратора. Настройка ограничений производится путем назначения одного из предустановленных профилей либо вручную.
Ограничение доступа к устройствам
Встроенные механизмы распределения прав доступа и задания политик безопасности в операционных системах семейства Windows (кроме Windows Vista) не позволяют контролировать доступ других пользователей к потенциально опасным устройствам (USB-устройствам, CD/DVD-накопителям, FireWire и инфракрасным портам и др.). Конечно, можно отключить подобные устройства в BIOS, но это не выход, так как для работы с отключенным устройством (если это потребуется) придется каждый раз обращаться к BIOS и вновь его включать, что довольно долго и очень неудобно.
Гораздо разумнее осуществлять контроль доступа к устройствам с помощью дополнительных приложений, которые могут быть самыми разными. Нередко возможность скрытия или блокирования устройств предусмотрена в утилитах, предназначенных для управления доступом к настройкам операционной системы, включая рассмотренные нами. Правда, возможности ограничения доступа к устройствам в них невелики: контролировать доступ можно далеко не ко всем опасным устройствам, а уж о контроле носителей речь и не идет. Гораздо большей функциональностью в этом плане обладают утилиты — блокировщики доступа к устройствам и специализированные решения для защиты системы от утечек корпоративной информации. В качестве примера мы рассмотрим программы DeviceLock, USB Lock Standard и ID Devices Lock. Самой функциональной из них является программа DeviceLock, с помощью которой можно контролировать (а не только блокировать) доступ отдельных пользователей и групп пользователей практически к любым потенциально опасным устройствам (и даже носителям), но она ориентирована преимущественно на системных администраторов. Возможности двух других утилит гораздо скромнее, но их вполне достаточно для большинства пользователей.
DeviceLock 6.3
Разработчик: ЗАО «Смарт Лайн Инк»
Сайт программы: http://www.devicelock.com/ru/dl/index.htm
Размер дистрибутива: 39,7 Мбайт
Работа под управлением: Windows NT/2000/XP/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.devicelock.com/ru/dl/download.html)
Цена: 1300 руб.
DeviceLock — специализированное решение для организации системы защиты от утечек корпоративной информации, позволяющее контролировать доступ ко всему спектру потенциально опасных устройств: USB-портам, дисководам, CD/DVD-приводам, а также FireWire, инфракрасным, параллельным и последовательным портам, Wi-Fi- и Bluetooth-адаптерам, ленточным накопителям, КПК и смартфонам, сетевым и локальным принтерам, внутренним и внешним сменным накопителям и жестким дискам. Программа имеет централизованную систему удаленного управления, обеспечивающую доступ ко всем функциям с рабочего места администратора системы. Реализуется подобное управление с помощью дополнительной консоли DeviceLock Enterprise Manager либо через групповые политики Actvie Directory, что позволяет автоматически устанавливать DeviceLock на новые компьютеры, подключаемые к корпоративной сети, и осуществлять настройку для новых компьютеров в автоматическом режиме.
Возможно либо полное блокирование определенного типа устройств, либо частичное, то есть в соответствии с белым списком носителей (рис. 5), при котором доступ к некоторым носителям будет разрешен несмотря на блокирование соответствующего типа устройства. Допускаются также задание режима «только чтение» и защита дисков от случайного или преднамеренного форматирования. Предусмотрено назначение различных прав доступа к устройствам и портам ввода-вывода для отдельных пользователей и групп пользователей с возможностью установки контроля в зависимости от времени и дня недели. При необходимости можно протоколировать все действия пользователей с устройствами и файлами (копирование, чтение, удаление и т.п.) путем выполнения теневого копирования.
Рис. 5. Настройка ограничений доступа к устройствам в соответствии
с белым списком носителей в DeviceLock
USB Lock Standard 3.4.1
Разработчик: Advanced Systems International SAC
Сайт программы: http://www.advansysperu.com/usb-lock-standard.html
Размер дистрибутива: 2,02 Мбайт
Работа под управлением: Windows XP/Vista
Способ распространения: shareware (10-дневная демо-версия — http://www.advansysperu.com/down_st.php)
Цена: 44 долл.
USB Lock Standard — удобный инструмент для блокирования доступа (рис. 6) ко всем типам сменных носителей: USB-портам (USB-дискам, iPods, MP3-плеерам и др.), Zip-устройствам, дисководам, CD/DVD-накопителям, Bluetooth-адаптерам и устройствам чтения смарт-карт (CF, SD, MMC, XD и др.). Он позволяет полностью блокировать доступ к указанным устройствам либо сделать это частично, открыв доступ для авторизованных устройств. Для отмены блокирования требуется знание пароля либо USB-ключ. Операции с незаблокированными устройствами фиксируются в логах.
Рис. 6. Блокирование доступа
к CD/DVD-накопителям в USB Lock Standard
ID Devices Lock 1.2
Разработчик: ID Security Suite
Сайт программы: http://www.idsecuritysuite.com/products/id-devices-lock.htm
Размер дистрибутива: 1,47 Мбайт
Работа под управлением: Windows 98/NT/2000/XP/Vista
Способ распространения: shareware (15-дневная демо-версия — http://www.idsecuritysuite.com/files/iddeviceslocksetup.exe)
Цена: 37 долл.
ID Devices Lock — простая утилита для ограничения доступа (рис. 7) к USB-устройствам, CD-накопителям и дисководам путем запрета копирования на них данных, что позволяет предотвратить утечку информации на мобильных носителях. Для отмены блокирования требуется знание пароля.
Рис. 7. Ограничение доступа к дисководу в ID Devices Lock
Полное блокирование компьютера в отсутствие пользователя
Самый простой способ блокировать доступ к включенному компьютеру — установить пароль на заставку, но это не лучший вариант, поскольку при перезагрузке пароль с заставки без проблем можно снять. Гораздо надежнее полностью заблокировать компьютер при помощи специальных программных средств, которые сделают невозможным доступ к любым элементам компьютера, включая клавиатуру, мышь и рабочий стол. После этого просмотреть на нем какую-либо информацию, запустить приложения, получить доступ к файлам и папкам (включая открытые на данный момент) и даже перезагрузить компьютер путем нажатия клавиатурной комбинации Ctrl+Alt+Del будет уже невозможно. Разблокировать компьютер можно, только зная пароль пользователя, а обычная перезагрузка (даже в безопасном режиме) или сбой в питании не приведут к снятию защиты.
Подобное блокирование компьютера обычно обеспечивается с помощью узкоспециализированных утилит: Desktop Lock, Lock My PC и аналогичных, однако такие возможности могут предоставляться и в программах, предназначенных для установки разного рода ограничений доступа, — в частности в Security Administrator и Deskman.
Desktop Lock 7.2.1
Разработчик: TopLang software
Сайт программы: http://www.toplang.com/desktoplock.htm
Размер дистрибутива: 792 Кбайт
Работа под управлением: Windows NT/2000/XP/2003/Vista
Способ распространения: shareware (15-дневная демо-версия — http://www.toplang.com/dlsetup.exe)
Цена: 24,95 долл.
Desktop Lock — утилита для блокирования компьютера (рис. 
на время отсутствия пользователя. Установка блокирования производится из самой утилиты путем нажатия определенной комбинации клавиш автоматически в указанное пользователем время или, в случае неактивности пользователя, по истечении заданного срока. Введение компьютера в заблокированный режим может сопровождаться запуском скринсейвера, проигрыванием аудио- или видеофайла, что разумно, например, на выставках при демонстрации корпоративных презентаций. При блокировке отключается мышь и становится невозможным использование основных клавиатурных комбинаций. Для выхода из заблокированного режима требуется нажатие секретной клавиатурной комбинации или клавиши мыши с введением пароля. При желании можно настроить утилиту на фиксирование кратких сообщений от других пользователей, которые подходили к компьютеру во время отсутствия его владельца и пожелали что-либо ему написать.
Рис. 8. Настройка параметров блокирования компьютера в Desktop Lock
Lock My PC 4.7
Разработчик: FSPro Labs
Сайт программы: http://www.fspro.net/lock-pc/
Размер дистрибутива: 1,4 Мбайт
Работа под управлением: Windows 2000/XP/2003/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.fsprolabs.com/download/distr/lmpc.zip)
Цена: персональная лицензия — 19,95 долл.; бизнес-лицензия — 29,95 долл.
Lock My PC — инструмент для блокирования компьютера (рис. 9) на время отсутствия пользователя. Заблокировать компьютер несложно — достаточно дважды щелкнуть мышью по соответствующему значку в системном трее или нажать особую клавиатурную комбинацию. Возможно автоматическое блокирование по истечении заданного времени неактивности пользователя. При блокировке отключаются мышь и CD/DVD-приводы (это не позволит вынуть из них компакт-диски) и становится невозможным использование основных клавиатурных комбинаций: Ctrl+Alt+Del, Alt+Tab и др. На заблокированном компьютере в качестве скринсейверов могут демонстрироваться любые, в том числе созданные самостоятельно, изображения в форматах GIF, JPEG, BMP и animated GIF. Разблокировать компьютер можно, только зная пароль пользователя либо администратора.
Рис. 9. Настройка параметров блокирования компьютера в Lock My PC
Защита персональной информации
Существует несколько способов защиты персональных данных от несанкционированного доступа: можно сжать папки и файлы в архиве, защищенном паролем; скрыть их; поместить в секретную папку, доступ к которой для других пользователей будет закрыт паролем; зашифровать либо создать виртуальный зашифрованный диск, на который и записывать свои секретные материалы. Выбор наиболее предпочтительного способа зависит от ситуации, однако в большинстве случаев наилучшим является вариант сокрытия и шифрования папок и файлов, поэтому в данной статье мы только им и ограничимся.
Теоретически скрывать папки и файлы можно, используя встроенные возможности Windows — для этого достаточно в свойствах соответствующих объектов включить атрибут «Скрытый». Скрытые таким образом папки и файлы не будут видны в проводнике другим пользователям системы, но лишь при условии, что в свойствах содержащих их родительских папок включен флажок «Не показывать скрытые файлы и папки». В принципе, этого может оказаться достаточно для защиты данных от неподготовленных пользователей. Однако скрытые подобным образом объекты будут видны в приложениях, которые не используют стандартный диалог для отображения файлов и папок (FAR, Total Commander и т.п.), поэтому подобная защита не слишком хороша.
Более надежным вариантом защиты данных встроенными средствами Windows является использование шифрованной файловой системы EFS (Encrypting File System, EFS), позволяющей шифровать файлы путем включения для них в проводнике опции «Шифровать содержимое для защиты данных» (Свойства=>Общие=>Дополнительно). Прочитать зашифрованные таким способом файлы без знания пароля невозможно, однако система EFS позволяет защищать папки и файлы только в файловой системе NTFS.
По этим причинам для защиты персональных папок и файлов лучше пользоваться специализированными утилитами. Данные решения позволят более надежно скрывать папки и файлы (они не будут видны при отключении флажка «Не показывать скрытые файлы и папки»), а также блокировать доступ к ним. Более того, некоторые из таких утилит также дают возможность шифровать данные, что обеспечит их защиту от других пользователей даже при загрузке Windows в безопасном режиме, загрузке в другой операционной системе либо на другом компьютере (если на него предварительно будет установлен жесткий диск с защищенной информацией). В качестве примеров мы рассмотрим программы Folder Lock, Folder Guard и Hide Folders XP. Первая обеспечивает самый высокий уровень защиты шифруемых данных, вторая дополнительно предоставляет инструментарий для защиты базовых настроек ОС от изменений. Пакет Hide Folders XP заметно уступает названным решениям по своим возможностям, но зато имеет русскоязычный интерфейс и предлагается русскоязычным пользователям по весьма привлекательной цене.
Folder Lock 6.0.1
Разработчик: NewSoftware Professionals, Inc.
Сайт программы: http://www.newsoftwares.net/folderlock/
Размер дистрибутива: 2,78 Мбайт
Работа под управлением: Windows 2000/XP/2003/Vista
Способ распространения: shareware (20-дневная демо-версия — http://dl.filekicker.com/nc/file/130083-0M78/folder-lock.exe)
Цена: 35,95 долл.
Folder Lock — эффективное и надежное решение для зашиты персональных файлов, папок (рис. 10) и дисков путем установки на них пароля, сокрытия и шифрования (алгоритм AES с 256-битным ключом). Для большей безопасности в данном решении допускается применение блокирования и шифрования одновременно — защищенные таким способом файлы не отображаются в проводнике и в приложениях и полностью недоступны, так как получить доступ к ним без знания пароля нельзя даже в случае загрузки в DOS, в безопасном режиме Windows, с другой ОС или на другом компьютере. На случай, если пароль забыт, предусмотрена возможность получения доступа к данным по регистрационному ключу. Исходные данные, которые требуется защитить, могут находиться не только на жестком диске, но и на USB-носителях, картах памяти, дисках CD-RW, дискетах и ноутбуках. А процесс установки предусмотренной защиты может производиться автоматически в случае неактивности компьютера. В специальном режиме Stealth Mode программа умеет скрывать все следы, свидетельствующие об установке на компьютере защиты данных: препятствует отображению собственных ярлыков на рабочем столе и в меню «Пуск», скрывает данные об инсталляции/деинсталляции в соответствующем разделе панели управления, очищает историю и данные буфера обмена и т.д. Кроме того, в целях большей безопасности программа ведет учет всех неудачно введенных для снятия защиты паролей, что позволяет пользователю вовремя зафиксировать проявление нездорового интереса к собственному компьютеру со стороны других пользователей.
Рис. 10. Работа с защищенными папками в пакете Folder Lock
Folder Guard 7.6
Разработчик: WinAbility Software Corporation
Сайт программы: http://www.winability.com/folderguard/
Размер дистрибутива: Folder Guard Editions и Folder Guard x64 Edition — 1,8 Мбайт; Folder Guard Professional Edition — 2,5 Мбайт
Работа под управлением: Windows 2K/XP/2003/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.winability.com/folderguard/editions.htm)
Цена: Folder Guard Editions и Folder Guard x64 Edition — 39,95 долл.; Folder Guard Professional Edition — 59,95 долл.
Folder Guard — простое и удобное решение для ограничения доступа к папкам и файлам, а также предотвращения доступа к ряду настроек Windows. Оно представлено в трех версиях: Folder Guard Editions, Folder Guard x64 Edition и Folder Guard Professional Edition. Первая версия работает в 32-разрядных версиях Windows, вторая — в 64-разрядных, а третья — и в тех, и в других.
Ограничение доступа к персональным данным осуществляется путем их сокрытия (рис. 11), установки режима «только для чтения» либо блокирования. При этом сокрытие реализовано в двух вариантах: можно сделать папки и файлы скрытыми либо назначить их пустыми (Empty). Во втором случае папки будут видимыми, но при открытии окажутся пустыми, хотя в реальности содержат информацию — данный вариант защиты подходит для стандартных папок Windows, полное сокрытие которых будет свидетельствовать о том, что информация на компьютере заблокирована, что нежелательно. Защищенные папки без пароля не будут доступны другим пользователям системы даже при загрузке Windows в безопасном режиме, правда для этого потребуется произвести в программе некоторые настройки. На случай, если пароль забыт, предусмотрена функция его восстановления с помощью бесплатной утилиты Emergency Recovery (http://www.winability.com/folderguard/eru.htm). Реализована также возможность работы программы в скрытом режиме (Stealth Mode), при котором ее собственные ярлыки и файлы окажутся скрытыми.
Рис. 11. Сокрытие папки в Folder Guard
С помощью Folder Guard также можно защитить базовые настройки ОС от корректировки (рис. 12) — в частности закрыть доступ к свойствам панели задач, меню «Пуск» и ряда других окон, запретить сохранение свойств дисплея (если они были изменены), заблокировать изменение свойств папок и настроек Internet Explorer, не показывать на рабочем столе иконки. А также предотвратить изменение критических для работы системы параметров путем закрытия доступа к панели управления и установки серии запретов: на доступ в системный реестр, добавление/удаление принтеров, использование команды «Выполнить» и т.д. Можно также скрыть в окне «Мой компьютер», проводнике и стандартных диалоговых окнах Open/Save определенные диски и блокировать запись CD/DVD-дисков. Для разных пользователей возможен различный набор подобных ограничений.
Рис. 12. Установка ограничений на доступ к Windows-настройкам
в Folder Guard
Hide Folders XP 2.9.8
Разработчик: FSPro Labs
Сайт программы: http://www.fspro.net/hide-folders-xp/
Размер дистрибутива: 1,23 Мбайт
Работа под управлением: Windows 2000/XP/2003/Vista
Способ распространения: shareware (30-дневная демо-версия — http://www.fsprolabs.com/download/distr/hfxp.zip)
Цена: 29,95 долл. (в магазине Softkey.ru — 400 руб.)
Hide Folders XP — простая программа для защиты папок и файлов (рис. 13) от несанкционированного доступа путем их сокрытия и/или блокирования. Защищенные папки не будут доступны другим пользователям, включая администратора системы, даже при загрузке Windows в безопасном режиме. При этом защищенными от удаления окажутся не только защищенные папки и файлы, но и содержащие их папки. А для того, чтобы другие пользователи не догадались о наличии на компьютере защищенных данных, программа может удалять следы об установленной защите и умеет скрывать саму себя (может не отображаться в списке часто загружаемых программ, не показывать строку о деинсталляции в панели управления, скрывать себя в списке запущенных процессов и др.).
Рис. 13. Работа с защищенными файлами в среде Hide Folders XP
КомпьютерПресс 12’2008