• Главная
  • Карта сайта
Не найдено

Перестали застосовуватися деякі групові політики (GPO) на клієнтських машинах. Помилка доступу до групових політикам (GPO) Inaccessible. Оновлення безпеки групових політик з MS16-072.

Після установки системи Windows 7 Professional (х64) на одну з призначених для користувача машин, з'явилися проблеми із застосуванням групових політик, на даній машині. У ролі домен контролера виступає Windows Server 2008 R2, помилок в його роботі не спостерігається, та й всі інші користувачі мережі, не відчувають подібних труднощів із застосуванням групових політик.

При тестуванні результатів застосування групових політик на проблемній машині, видно що частина групових політик застосовується, а частина немає. Групові політики які не застосовуються позначені як Inaccessible (Недоступні).

Групові політики які не застосовуються позначені як Inaccessible (Недоступні)

В ході пошуку причини по якій, групові політики були недоступними, з'ясувалося що проблема не в користувача (тому що якщо користувач авторизувався на іншій машині, то все призначені йому групові політики успішно застосовувалися), не в домен контролері (тому що ніяких помилок в його роботі не було виявлено), а проблема саме в самій системі користувальницької машині.

Групові політики які не застосовувалися на проблемній машині і мали статус Inaccessible (Недоступні), мають права доступу тільки з певних груп.

А групові політики які успішно були застосовані на проблемній машині, мали права доступу для всіх користувачів пройшли перевірку.

Як з'ясувалося в результаті, коренем усіх цих бід, стало випущене в рамках бюлетеня MS16-072 від 14 червня 2016 року, оновлення безпеки для групових політик, KB для різних ОС: KB3159398 , KB3163017 , KB3163018 , KB3163016 . Це оновлення покликане закрити уразливості в безпеці застосування групових політик.

Оновлення для системи безпеки з бюлетеня MS16-072, усуває вразливість в Microsoft Windows, за допомогою якої зловмисник може здійснити атаку Man in the Middle (MiTM) з метою підміни трафіку, що проходить між контролером домену і цільової машиною. Метою такої атаки може бути отримання прав локального адміністратора, на цільовій машині.

Таким чином якщо видалити з групової політики, права доступу для групи Автентифіковані (Authenticated Users), то на машині з встановленим оновленням з бюлетеня MS16-072, ми заблокуємо доступ до групової політики.

Вирішити дану проблему можна декількома способами:

  1. На машині, видалити встановлене оновлення з бюлетеня MS16-072.
  2. Для всіх групових політик, у яких використовується фільтрація безпеки по призначених для користувача групах, делегувати групу Комп'ютери домену (Domain Computers) з правами Read.

Для всіх групових політик, у яких використовується фільтрація безпеки по призначених для користувача групах, делегувати групу Комп'ютери домену (Domain Computers)    з правами Read

Видаляти встановлені оновлення на клієнтських машинах, не доцільно. Тому дієвим рішенням даної проблеми, є метод додавання в групові політики з фільтрацією безпеки по призначених для користувача групах, групу Комп'ютери домену (Domain Computers) з правами читання. Таким чином, у комп'ютерів домену з'явиться право на читання цієї політики.

Подивитися в яких групових політиках відсутня група доступу Автентифіковані (Authenticated Users), можна за допомогою команди в Powershell:

Get-GPO -All | ForEach-Object {if (-Not (Get-GPPermissions -Guid $ _. Id -TargetType Group -TargetName 'Authenticated Users')) {$ _. DisplayName}}

Щоб автоматично додати в усі групові політики групу доступу Комп'ютери домену (Domain Computers) з правами на читання, можна виконавши скрипт в PowerShell:

# Імпортуємо модуль групової політики Import-Module -Name GroupPolicy # $ ErrorActionPreference = "SilentlyContinue" # Отримуємо дані за всіма наявними груповим політикам $ GPOList = Get-GPO -All # Циклом проходимся по кожною групою політиці ($ GPO in $ GPOList) {# якщо в груповій політиці відсутня група доступу Authenticated Users if (-Not (Get-GPPermissions -Guid $ GPO.Id -TargetType Group -TargetName 'Authenticated Users')) {# Додаємо в групу доступу, групу Domain Computers, з правами на читання Get -GPO -All | Set-GPPermissions -TargetType Group -TargetName 'Domain Computers' -PermissionLevel GpoRead}} За замовчуванням в PowerShell включена максимальна політика безпеки, яка дозволяє виконувати команди PowerShell в командному рядку, але не дозволяє в тій же командному рядку виконати скрипт з командами PowerShell. Дозволити виконання скриптів в Powershell:

powershell -Command Set-ExecutionPolicy RemoteSigned

Сподобалася або виявилася корисною стаття, подякуй автора

Новости
Провайдеры:
  • 08.09.2015

    Batyevka.NET предоставляет услуги доступа к сети Интернет на территории Соломенского района г. Киева.Наша миссия —... 
    Читать полностью

  • 08.09.2015
    IPNET

    Компания IPNET — это крупнейший оператор и технологический лидер на рынке телекоммуникаций Киева. Мы предоставляем... 
    Читать полностью

  • 08.09.2015
    Boryspil.Net

    Интернет-провайдер «Boryspil.net» начал свою работу в 2008 году и на данный момент является одним из крупнейших поставщиков... 
    Читать полностью

  • 08.09.2015
    4OKNET

    Наша компания работает в сфере телекоммуникационных услуг, а именно — предоставлении доступа в сеть интернет.Уже... 
    Читать полностью

  • 08.09.2015
    Телегруп

    ДП «Телегруп-Украина» – IT-компания с 15-летним опытом работы на рынке телекоммуникационных услуг, а также официальный... 
    Читать полностью

  • 08.09.2015
    Софтлинк

    Высокая скоростьМы являемся участником Украинского центра обмена трафиком (UA — IX) с включением 10 Гбит / сек... 
    Читать полностью