7. Narzędzie Security Compliance Manager (SCM) w praktyce

7. Narzędzie Security Cmpliance Manager (SCM) w praktyce Micrsft Security Cmpliance Manager (SCM) 1 jest bezpłatnym narzędziem udstępninym przez zespół Micrsft Slutin Acceleratrs, pzwalającym na szybką knfigurację i zarządzanie ustawieniami kmputerów przez zasady grupwe GPO raz prdukt System Center Cnfiguratin Manager. SCM udstępnia gtwe zasady grupwe d wdrżenia w rganizacji raz paczki knfiguracyjne DCM, w pełni przetestwane i wspierane. Elementy te parte są na rekmendacjach zawartych w dkumencie zawatych w niniejszym przewdniku i najlepszych praktykach w śrdwiskach prdukcyjnych, pzwalają także na ich knfigurację. Krzyści wynikające z zastswania narzędzia SCM Integracja z systemem System Center 2012 Prcess Pack fr IT GRC: Knfiguracje ustawień dla prduktów są zintegrwane w paczkach Prcess Pack fr IT GRC zapewniając mnitrwanie i raprtwanie czynnści zapewniających zgdnść z zaleceniami. Główne źródł wsparcia: Funkcja imprtwania ustawień zapewnia maksymalne krzyści wykrzystania zasad grupy w celu utwrzenia wzrcweg kmputera zapewniająceg maksymalną chrnę. Knfiguracja kmputerów autnmicznych (ang. standalne): Prces wdrżenia dstswanych knfiguracji ustawień dla kmputerów nieprzyłącznych d dmeny krzystając z nwej funkcjnalnści GPO Pack. Aktualne wytyczne z zakresu bezpieczeństwa: Osiągnięcie krzyści pprzez zastswanie dgłębnej znajmści aspektów bezpieczeństwa raz najlepszych praktyk umieszcznych w najnwszych wytycznych przewdnika bezpieczeństwa. Zastswując asystwaną pmc w zmniejszaniu bszaru ataków dla systemów Windws w celu minimalizacji ryzyka związaneg z bezpieczeństwem teleinfrmatycznym. Zcentralizwane zarządzanie ustawieniami bazwych knfiguracji dla pełnej gamy prduktów Micrsft Zcentralizwana knsla prgramu SCM dstarcza ujednlicne i kmplekswe śrdwisk pzwalające na planwanie, dstswywanie raz eksprt ustawień bazwych knfiguracji. Narzędzie t zapewnia pełny dstęp d rekmendwanych ustawień bazwych knfiguracji dla systemów klienckich raz serwerów Windws raz aplikacji. SCM ddatkw pzwala na szybkie uaktualnienie najnwszych wytycznych i rekmendacji w zakresie bazwych ustawień knfiguracji stsując kntrle wydawanych wersji ustawień bazwych (baselines). Dstswanie bazwych ustawień knfiguracji d własnych ptrzeb i wytycznych: Prces dstswywania, prównywania, łączenia i pełny wgląd w bazwe ustawienie knfiguracji zstał uprszczny i ulepszny. Mżliwść dstswanie ustawień bazwych knfiguracji dla własnych ptrzeb krzystając z narzędzia SCM zapewnia szybkie wyknanie duplikatu daneg zbiru ustawień 1 http://scial.technet.micrsft.cm/wiki/cntents/articles/774.micrsft-security-cmpliance-manager-scmen-us.aspx

zawierająceg rekmendwane ustawienia a następnie mdyfikację tych ustawień według wytycznych i standardów bwiązujących w danej rganizacji. Mżliwści eksprtu ustawień d wielu frmatów: Prces eksprtu ustawień bazwych knfiguracji pzwala na wykrzystywanie frmatów, takich jak: XLS, Grup Plicy bjects (GPO), Desired Cnfiguratin Management (DCM) packs, raz Security Cntent Autmatin Prtcl (SCAP) w celu zapewnienia prcesu autmatyzacji wdrżenia tych ustawień a także mnitrwania zgdnści z rekmendwanymi ustawieniami. Dstępne zbiry ustawień bazwych knfiguracji (ang. Baselines) zapewniają wsparcie dla prduktów: Windws Server 2008 R2 SP1, Windws Server 2008 SP2, Windws Server 2003 SP2, Hyper-V, Windws 7 SP1, Windws Vista SP2, Windws XP SP3, BitLcker Drive Encryptin, Windws Internet Explrer 9, Windws Internet Explrer 8, Micrsft Office 2010 SP1, Micrsft Office 2007 SP2, Exchange Server 2010 SP2 raz Exchange Server 2007 SP3 Przyjęte definicje pjęć w prgramie SCM: Baseline. Prgram SCM pracuje na zbirach ustawień bazwych knfiguracji, które stanwią klekcje ustawień dla prgramów zwanych elementami knfiguracji (ang. cnfiguratin items (CIs)). Każdy element knfiguracji zstał stwrzny z myślą zapewnieniu najwyższeg pzimu bezpieczeństwa w rganizacji. CCE-ID (Cmmn Cnfiguratin Enumeratin) - CCE-ID numer identyfikacyjny, unikalny i pwiązany bezpśredni z danym pisem prblemu knfiguracji systemu. Opis ten zawiera szczegółwe infrmacje na temat spsbu zmiany knfiguracji raz wskazuje na preferwane lub wymagane ustawienie systemu dtyczące kluczy rejestru, plików lub ustawień zasad grupy. DCM Cnfiguratin Pack zbiór ustawień (ang. Cnfiguratin Items (CIs)) wykrzystywanych i stswanych w funkcjnalnści Desired Cnfiguratin Management (DCM) w systemie Micrsft System Center Cnfiguratin Manager w celu zapewnienia skanwania raz mnitrwania kmputerów pd katem zapewnienia zgdnści z wytycznymi. Excel wrkbk. Arkusz prgramu Excel stswany d zapznania się i prównania zbiru ustawień bazwych knfiguracji z innymi zbirami ustawień bazwych knfiguracji. GPO backup flder - flder zasad grupy (GPO) zawierający biekty GPO, które mżna w szybki i elastyczny spsób imprtwać bezpśredni d usługi katalgwej (Active Directry) w celu dstarczenia żądnych ustawień knfiguracji dla grup kmputerów i użytkwników. SCAP data file pliki w frmacie Security Cntent Autmatin Prtcl (SCAP) spełniające wymagania dla standardów dstarcznych przez Natinal Institute f Standards and Technlgy (NIST). Setting ustawienie - najniższy pzim kntrli technicznej dpwiedzialny za stan systemu peracyjneg lub aplikacji. Np. Minimalna długść hasła jest ustawieniem zawiera liczbę całkwitą w

celu wymuszenia ustawień specyficznych dla funkcjnalnści lgwania. Ustawienie psiada 2 rdzaje przechwywanej infrmacji: definicja ustawienia raz wartść ustawienia zasady. Setting definitin. Definicja ustawienia zestaw właściwści pwiązany z ustawieniami daneg systemu peracyjneg lub aplikacji zdefiniwane przez właściciela twrząceg dane ustawienie. Np. gałąź z ustawieniem rejestru, ścieżka lub dane kreślne przez definicję. Definicja ustawienia nie zmienia swjej wartści p publikwaniu. Setting plicy ustawienia zasady, jest t zbiór właściwści pwiązanych z kreślnych ustawieniem i zdefiniwanym przez daneg użytkwnika, dla któreg zstał zastswane t ustawienie zasady. Np. minimalna długść hasła musi być większa lub równa 8. Minimalne wymagania systemwe dla instalacji SCM: Windws Vista Service Pack 2 (SP2), Windws Server 2008 R2, Windws 7 lub nwszy Micrsft.NET Framewrk 3.5 SQL Server 2008 Express editin uruchminy na kmputerze zawierającym instalację prgramu SCM* Uprawnienia administracyjne d uruchmienia z linii kmend narzędzia LcalGPO 500 MB pamięci RAM lub więcej. 40 MB wlnej przestrzeni na dysku twardym. Windws Installer w wersji 4.5. Micrsft Visual C++ 2010 (zawarty w instalatrze prgramu SCM). Micrsft Wrd lub Micrsft Wrd Viewer d przeglądania dkumentów. Micrsft Excel 2007 lub nwszy (pcjnalnie d wyknania exprtu ustawień w frmacie arkusza prgramu Excel). Płączenie internetwe d pbrania ze strny Micrsft aktualnych ustawień bazwych knfiguracji (baselines) * Uwaga: D pprawneg działania wymagane jest psiadanie przynajmniej Micrsft SQL Server Express. Jeśli nie mamy zainstalwaneg serwera SQL, t instalatr Micrsft Security Cmpliance Manager autmatycznie g pbierze i zainstaluje. Instalacja prgramu SCM (Security Cmpliance Manager): Prgram SCM należy pbrać z witryny: Micrsft Security Cmpliance Manager 2 a następnie uruchmić plik Security_Cmpliance_Manager_Setup.exe. Instalatr sprawdzi wymagania wstępne dla prduktu SCM i w przypadku braku daneg kmpnentu, zaprpnuje instalację teg kmpnentu lub pinfrmuje jeg braku, w dalszej klejnści 2 http://www.micrsft.cm/en-us/dwnlad/details.aspx?id=16776

instalatr pbierze prgram Micrsft SQL Server Express i zainstaluje ten prdukt na lkalnym kmputerze. P zakńczeniu instalacji trzymamy kmunikat pprawnej instalacji prduktu SCM. Uwaga: Aktualna wersja prgramu w chwili twrzenia dkumentu t wersja 2.5.40. - przed instalacją należy sprawdzić czy dstępna jest nwsza wersja prduktu, w przypadku wystąpienia nwszej wersji, zaleca się dknanie instalacji najnwszej wersji prduktu SCM. 7.1. Wprwadzenie Pdczas pierwszeg uruchmienia SCM, narzędzie przechdzi w tryb pierwszeg użycia i próbuje płączyć się z witryną Centrum Pbierania Micrsft (ang. Micrsft Dwnlad Center), aby pbrać dstępne najnwsze bazwe ustawienia (ang. Baseline). W trybie tym SCM zainstaluje najnwsze gtwe bazwe ustawienia (baseline) przygtwane przez firmę Micrsft d lkalneg flderu kmputera, na którym uruchmine zstał narzędzie SCM. Rys. 7.1.1 - Widk pasku pstępu pdczas prcesu imprtu ustawień bazwych. Uwaga: Należy upewnić się, że prces imprtu zakńczył się pmyślnie. 7.2. Praca z prgramem SCM Widk knsli prgramu SCM zawiera kilka kluczwych elementów: Biblitekę ustawień bazwych (ang. Baseline Library) zlkalizwaną w lewym kienku knsli prgramu. Bibliteka wyświetla zawartść zbiru dstępnych lkalnie ustawień bazwych w pstaci drzewa z dknanym pdziałem na sekcje: Custm Baselines zbiór własnych indywidulanie dstswanych ustawień bazwych Micrsft Baselines zbiór gtwych ustawień bazwych pbranych z witryny Micrsft Dwlad Center Other Baselines zbiór innych ustawień bazwych Infrmacja na temat pszczególnych ustawień bazwych (ang. Baseline Infrmatin) infrmacje umieszczne w śrdkwym kienku knsli. Wyświetlane w tym miejscu infrmacje zależą d kntekstu. Na przykład pdczas uruchmienia prgramu pjawi się ekran pwitalny, ale w mmencie wybrania z leweg kienka kreślneg zbiru ustawień bazwych, w kienku centralnym ukażą się infrmacje szczegółwe na temat wybraneg zbiru ustawień bazwych. Okienk akcji (ang. Actin Pane) umieszczne w prawym kienku knsli wyświetla listę pleceń raz czynnści mżliwych d wyknania.

Rys. 7.2.1 - Widk knsli prgramu SCM ekran startwy Knsla prgramu SCM wyświetla znaczną ilść infrmacji na temat pszczególnych pcji ustawień bazwych knfiguracji p wybraniu kreślneg ustawienia bazweg, z teg pwdu zaleca się wybranie pcji maksymalizacji widku kna na ekranach dużych rzdzielczściach, szerkść kien mżna dstswać d własnych ptrzeb. Widk knsli SCM mżna uprścić pprzez ukrycie leweg raz praweg kna. Za pmcą skrótów klawiaturwych mżna ukrywać lub wyświetlać zawartść kna: Ctrl+L wyświetlenie/ukrycie leweg kna (Baseline Library). Ctrl+R wyświetlenie/ukrycie praweg kna (Actin Pane). Pzstałe przydatne skróty klawiaturwe: Ctrl+O twiera kienk Optins z dstępnymi pcjami, w którym mżna zarządzać ustawieniem autmatyczneg sprawdzenia czy istnieją nwe zbiry ustawień bazwych pdczas uruchmienia prgramu. Ctrl+U twiera kienk Dwnlad Updates, w którym mżna wyknać ręczne sprawdzenie dstępnści nwych zbirów ustawień bazwych. Ctrl+I twiera kienk Imprt Baselines Wizard, które umżliwia ręczne zaimprtwanie własnych ustawień bazwych. Delete usuwa wybrane i zaznaczne przez użytkwnika ustawienie bazwe (baseline). Ctrl+Delete - usuwa wybrane i zaznaczne przez użytkwnika ustawienie bazwe (baseline). Shift+Delete - usuwa wybraną i zaznaczną przez użytkwnika grupę wszystkich ustawień bazwych (baseline) dtyczących daneg prduktu, np. Windws 7 SP1.

7.3. Rzpczęcie pracy z prgramem SCM Rys. 7.3.1 - Widk główneg ekranu prgramu SCM Główny ekran prgramu SCM śrdkwe kn zawiera dwie sekcje: Welcme t SCM: 1. What s new in this release - sekcja infrmacyjna, z której dwiemy się, c nweg w tej wersji narzędzia SCM 2. Hw t perfrm cmmn tasks sekcja mawiająca jak wyknywać typwe zadania w prgramie SCM 3. Wrking with SCM - pmc na temat pracy z prgramem SCM i ddatkwych narzędzi

Getting started with SCM: 1. Get knwledge bsługa i zarządzanie zbirami udstępninych zestawów ustawień bazwych (Baseline). 2. Custmize knwledge sekcja, która pzwli na dstswanie ustawień bazwych d własnych ptrzeb raz prównanie własnych ustawień d rekmendwanych ustawień zawartych w zestawach ustawień bazwych. 3. Exprt knwledge sekcja, w której mżna wyeksprtwać przygtwane ustawienia bazwe knfiguracji d frmatu kpii zapaswej zasady grupwej (Grup Plicy Backup), paczki SCAP raz DCM a także utwrzyć pliki SCM.cab. 7.4. Kluczwe elementy sekcji Welcme t SCM 7.4.1. Zarządzanie ustawieniami (Setting management) Ustawienia bazwe zawierają liczne pcje knfiguracji ustawień. Narzędzie SCM upraszcza w znaczny spsób prces przeglądania i zarządzania tymi ustawieniami pprzez pgrupwanie ich w pszczególne kategrie. W celu zapznania się z ustawieniami bazwymi wraz z ich szczegółwymi ustawieniami raz ddatkwą infrmacją należy: 1. Wybrać z kna Baseline Infrmatin kreślny zestaw ustawień bazwych (prdukt), p wybraniu w centralnym knie zstaną wyświetlne szczegółwe infrmacje na temat ustawień dstępnych w danym zestawie ustawień bazwych. Na górze kna zstanie wyświetlna całkwita liczba dstępnych ustawień w danym zestawie. Uwaga: Aby uzyskać więcej infrmacji na temat zabezpieczeń raz zapewnienia zgdnści na temat wszystkich ustawień, w knie Baseline Infrmatin, pniżej nazwy wybraneg prduktu, należy przejść d sekcji Attachments \ Guides i twrzyć właściwy dkument. 2. W knie wybranej grupy ustawień bazwych, pniżej Advanced View należy wybrać właściwe ustawienie klikając w nazwę kreślneg ustawienia, p wybraniu ustawienia zstaną wyświetlne rekmendwane przez Micrsft dmyślne ustawienia zabezpieczeń.

Rys. 7.4.1.1 widk wybraneg ustawienia Minimum passwrd length wraz z rekmendwanymi wartściami 3. W celu wyświetlenia ddatkwych infrmacji na temat daneg ustawienia należy wybrać i kliknąć w Setting Details, ddatkwe infrmacje na temat wybraneg ustawienia: UI Path: Określa dkładną gałąź zasady, w której znajduje się ustawienie. Additinal Details: Dstarcza ddatkwych infrmacji na temat klucza rejestru lub CCE-ID. Vulnerability: Wyjaśnia, w jaki spsób atakujący mże przeprwadzić atak w przypadku, kiedy ustawienie jest sknfigurwane w mniej bezpieczny spsób. Ptential Impact: Określa ptencjalne negatywny wpływ zastswanych ustawień zapbiegających pdatnści w systemie. Cuntermeasure: Określa, w jaki spsób należy implementwać śrdki zaradcze.

Rys. 7.4.1.2 widk wybraneg ustawienia Minimum passwrd length wraz z ddatkwymi infrmacjami 4. Aby pwrócić na najwyższy pzim, d widku wszystkich ustawień w danym zbirze, należy kliknąć pcję Cllapse. Wskazówka:, Aby przyśpieszyć wyszukiwanie kreślneg ustawienia, wystarczy wprwadzić część nazwy ustawienia w plu Settings search w widku Advanced View w prawym górnym rgu kienka Baseline Infrmatin. Zastswanie widku zaawanswaneg Advanced View Dmyślny widk wyświetla ustawienia pgrupwane według nazwy ustawienia, widk mżna pgrupwać klikając w nazwę klumny nagłówka tabeli. Ddatkw mżna skrzystać z pcji filtrwania ustawień krzystając z widku zaawanswaneg Advanced View. Rys. 7.4.1.3 - Widk zaawanswany Advanced View Krzystając z Advanced mżemy skrzystać następujących mżliwści filtrwania: Setting search - pzwala na filtrwanie ustawień tabeli według wprwadzneg słwa kluczweg będąceg nazwą ustawienia w plu wyszukiwania. Uwaga: Nie mżna stswać równcześnie filtru Setting Search raz Path filter. Grup View - pcja ta pzwala na wybór trybu wyświetlenia ustawień stsując srtwanie ustawień według grupy ustawień (dmyślny widk) lub Simple View w przypadku widku prsteg wyświetlane są wszystkie ustawienia bez grupwania. Path - Klumna wyświetla pełną ścieżkę lkalizacji ustawienia w systemie peracyjnym Windws lub nazwę aplikacji Micrsft ustawienia bazweg (baseline), d któreg się dwłuje w narzędziu SCM. Chse Clumns pcja ta pzwala na mdyfikację widku wyświetlanych klumn pprzez usuwanie lub ddawanie klumn według własneg wybru.

Aby pwrócić d widku dmyślnych klumn w widku zaawanswanych należy nacisnąć czerwny krzyżyk - Zarządzanie plikami załączników (Attachments) ustawień bazwych W narzędziu SCM mżna zarządzać różnrdnymi załącznikami dłącznymi d ustawień bazwych (Baseline), które dstarczają ddatkwych infrmacji, jak uzupełnienie i rzszerzenie wiedzy na temat ustawień bazwych. Krzystając z SCM mżna wyszczególnine dkumenty mżna twierać, edytwać, twrzyć kpię lub wydrukwać. Wspierane frmaty załączników:.cab,.dc,.dcx,.mp,.rtf,.txt,.url,.xls,.xlsx,.xlsm,.zip Rys. 7.4.1.4 Widk sekcji zarządzania załącznikami przypisanymi d grupy prduktu ustawień bazwych SCM zezwala również na umieszczanie również własnych ddatkwych infrmacji na temat stswanych lub niestswanych ustawień wraz z ich bjaśnieniem. Operacje ddawania lub usuwania plików załączników mżna wyknać tylk dla plików umieszcznych we własnej biblitece ustawień - sekcja Baselines Library, pdsekcja Custm Baselines.

Rys. 7.4.1.5 Widk sekcji zarządzania załącznikami przypisanymi d bibliteki własnych ustawień bazwych. 7.4.2. Narzędzie wiersza plecenia LcalGPO P zainstalwaniu narzędzia SCM, dstępne jest narzędzie wiersza plecenia LcalGPO, które pzwala na zarządzanie i stswanie ustawień dla kmputerów nieprzyłącznych d dmeny. LcalGPO pzwala na wyknanie kpii zapaswej ustawień zasad grupwych przeznacznych dla śrdwisk dmenwych a następnie implementację tych ustawień w śrdwiskach kmputerów nieprzyłącznych d dmeny. Uwaga: SCM zawiera narzędzie LcalGPO, ale wymaga n ddatkweg prcesu instalacji. W celu instalacji narzędzia wiersza plecenia LcalGPO należy uruchmić plik LcalGPO.msi zlkalizwany w flderze C:\Prgram Files (x86)\micrsft Security Cmpliance Manager\LGPO. P pprawnej instalacji narzędzia LcalGPO, należy zweryfikwać pjawienie się narzędzia na liście prgramów. Rys. 7.4.2.1 widk narzędzia LcalGPO p pprawnej instalacji w systemie

Rys. 7.4.2.2 Widk ekranu pwitalneg p uruchmieniu narzędzia LcalGPO Narzędzie LcalGPO pzwala na wyknanie kreślnych zadań: Zastswanie bazwych ustawień zabezpieczeń d lkalnych zasad grupy kmputera LcalGPO wyknuje imprt ustawień przygtwanych w pliku kpii zapaswej ustawień zasad grupy (GPO backup) przez SCM. Plik kpii należy przygtwać krzystając z narzędzia SCM. W celu wyeksprtwania kpii zapaswej ustawień zasad grupy (GPO backup) d lkalnych zasad grupy kmputera należy:

Zalgwać się d kmputera, jak Administratr Uruchmić narzędzie LcalGPO stsując pcję Uruchm jak administratr Wyknać plecenie z linii pleceń: cscript LcalGPO.wsf /Path:<ścieżka> - gdzie <ścieżka> t ścieżka d pliku GPO backup Aby przywrócić ustawienia lkalnych zasad grupy należy wyknać plecenie w klejnści jak wyżej: cscript LcalGPO.wsf /Restre Eksprt lkalnych zasad grupy kmputera d pliku kpii zapaswej zasad grupy (Grup Plicy backup) Krzystając z narzędzia LcalGPO mżemy wyknać eksprt ustawień lkalnych zasad kmputera w celu zaimplementwania tych ustawień w innym kmputerze lub w celu wyknania imprtu d usługi katalgwej. W celu wyknania eksprtu lkalnych zasad grupy kmputera, należy wyknać czynnści: Zalgwać się d kmputera, jak Administratr Uruchmić narzędzie LcalGPO stsując pcję Uruchm jak administratr Wyknać plecenie z linii pleceń: cscript LcalGPO.wsf /Path:"c:\GPOBackups" /Exprt Utwrzenie paczki GPOPack d zastswania tych samych ustawień bazwych zabezpieczeń bez instalacji narzędzia LcalGPO W celu utwrzenia paczki GPOPack, należy wyknać czynnści: Zalgwać się d kmputera, jak Administratr Uruchmić narzędzie LcalGPO stsując pcję Uruchm jak administratr Wyknać plecenie z linii pleceń:

cscript LcalGPO.wsf /Path:"c:\GPOBackups" /Exprt /GPOPack Uwaga: W przypadku zastswania przełącznika /GPOPack z pdaną nazwą, np. /GPOPack:GPONazwa, nie będzie mżliwe dknanie imprtu wyniku krzystając z edytra zasad grupy (GPMC). Pdanie nazwy w tym wypadku nie usprawni wyknania plecenia, pnieważ nie jest wymagane wprwadzenie identyfikatra GUID. W wyniku działania utwrzenia GPOPack zstaną utwrzne 3 pliki przedstawine pniżej: Ddatkwe infrmacje na temat wykrzystania i stswania GPOPack uzyskać mżna na strnie blga SCM: LcalGPO Rcks! 3 Wskazówka: Mżliwe jest wykrzystanie nwej funkcjnalnści LcalGPO aby zintegrwać skrypty wynikwe stsując narzędzie Micrsft Deplyment Tlkit (MDT) a by przyśpieszyć i zautmatyzwać prces wdrżenia systemów Windws 7 raz Windws Server 2008 R2. Aby uzyskać więcej infrmacji na ten temat należy dwiedzić witrynę prduktu Micrsft Deplyment Tlkit (MDT) 4 Zastswanie Multiple lcal GPO w celu edycji klekcji ustawień lkalnych zasad kmputera. Funkcjnalnść ta zstała zaprjektwana w celu ulepszenia prcesu zarządzanie kmputerami nieprzyłącznymi d dmeny. Wykrzystanie przełącznika /MLGPO pzwli zastswać ustawienia użytkwnika krzystając z pliku GPOBackup lub paczki GPOPack d kreślneg MLGPO na kmputerze z systemem Windws. Aby skrzystać z tej 3 http://blgs.technet.cm/b/secguide/archive/2011/07/05/scm-v2-beta-lcalgp-rcks.aspx. 4 Micrsft Deplyment Tlkit (MDT) - http://g.micrsft.cm/fwlink/?linkid=105753

funkcjnalnści należy kreślić grupę lkalnych Administratrów lub Użytkwników, ale mżna również kreślić grupę Inni niż administratrzy (Nn-Administratrs) lub dwlną nazwę użytkwnika lkalneg. W celu utwrzenia edycji klekcji ustawień lkalnych zasad kmputera, należy wyknać czynnści: Zalgwać się d kmputera, jak Administratr Uruchmić narzędzie LcalGPO stsując pcję Uruchm jak administratr Wyknać plecenia z linii pleceń: cscript LcalGPO.wsf /Path:"c:\GPO Backups\GPO Backup 1" /MLGPO:<nazwa lkalneg użytkwnika lub lkalnej grupy> cscript GPOPack.wsf /MLGPO:<nazwa lkalneg użytkwnika lub lkalnej grupy> Aktualizacja interfejsu użytkwnika w narzędziu Edytr biektów zasad grupy. Ustawienia psiadające prefiks MSS (Micrsft Slutins fr Security), które zstały dstarczne przez grupę Micrsft Slutins nie są standardw wyświetlanie w narzędziach GPMC raz Security Cnfiguratin Editr (SCE). W celu pprawneg wyświetlenia ustawień MSS należy rzszerzyć funkcjnalnść wspmnianych narzędzi. Pniższa prcedura prezentuje spsób aktualizacji narzędzia SCE na kmputerach, w których planwane jest zarządzanie zasadami grupy utwrznych narzędziem SCM. W celu aktualizacji narzędzia SCE d pprawneg wyświetlania ustawień MSS, należy wyknać czynnści, wcześniej upewniając się, iż kmputer jest przyłączny d dmeny raz narzędzie SCM jest zainstalwane: Zalgwać się d kmputera, jak Administratr Uruchmić narzędzie LcalGPO stsując pcję Uruchm jak administratr Wyknać plecenia z linii pleceń: cscript LcalGPO.wsf /CnfigSCE W celu przywrócenia dmyślnych ustawień należy wyknać: Zalgwać się d kmputera, jak Administratr Uruchmić narzędzie LcalGPO stsując pcję Uruchm jak administratr Wyknać plecenia z linii pleceń: cscript LcalGPO.wsf /ResetSCE

7.5. Kluczwe elementy sekcji Getting started with SCM 7.5.1. Zarządzaj ustawieniami bazwymi knfiguracji - Get knwledge Dwnlad Micrsft baselines autmatically - Autmatyczne pbieranie ustawień bazwych Micrsft P uruchmieniu pcji Dwnlad Micrsft baselines autmatically widcznej w ekranie pwitalnym prgramu SCM, system pbierze nwe ustawienia bazwe knfiguracji lub aktualizacje dla już istniejących ustawień. W celu autmatyczneg pbierania nwych ustawień bazwych lub ich aktualizacji pdczas startu prgramu SCM mżna sknfigurwać t ustawienie wybierając pcję File -> Optins lub psługując się skrótem klawiszwym (Ctrl+O). Dwnlad Micrsft baselines manually - Ręczne pbieranie ustawień bazwych Micrsft P uruchmieniu pcji Dwnlad Micrsft baselines manually widcznej w ekranie pwitalnym prgramu SCM, prgram twrzy dedykwaną strnę dla ustawień bazwych, z której będzie mżna pbrać najnwsze ustawienia bazwe dla prduktów (Micrsft Baselines). Prces ten mżna uruchmić również ręcznie, wybierając pcję File -> Check fr Updates lub psługując się skrótem klawiszwym (Ctrl+U). Imprt a baseline - imprtwanie ustawień bazwych Micrsft Narzędzie SCM pzwala na autmatyczne pbieranie ustawień bazwych ze strny Micrsft Dwnlad Center, ale pzwala również na wyknanie imprtu w spsób ręczny bezpśredni z plików. W celu wyknania imprtu krzystając z kreatra Imprt Baselines Wizard, należy wyknać czynnści:

Należy uruchmić kreatr pcję wybierać Imprt z praweg kna Actin klikając w SCM (.cab) lub psługując się skrótem klawiszwym (Ctrl+I). W kreatrze należy wybrać pcję Select package files a następnie kliknąć w pcję Add w celu wyświetlenia kna pzwalająceg na wskazanie wybraneg pliku przeznaczneg d imprtu.

Ddatkw mżna zaznaczyć pcję Create mdifiable cpies f each baseline t be imprted, która umżliwi jednczesne wyknanej kpii przeznacznej d mdyfikacji ustawień bazwych a następnie dknać imprtu ustawień bazwych d prgramu SCM. Imprt a Grup Plicy Backup imprtwanie pliku kpi zapaswej ustawień zasad grupy W celu wyknania imprtu pliku kpii zapaswej ustawień zasad grupy, należy wyknać czynnści: W prawym knie Actin, należy kliknąć w pcję GPO Backup (flder), następnie w knie Przeglądanie w pszukiwaniu flderu (Brwse fr flder) należy wybrać flder zawierający plik kpii zapaswej ustawień grupy i kliknąć OK.

W knie GPO Name należy wprwadzić nazwę dla kpii ustawień zasad grupy P pprawnym imprcie zstanie wyświetlny kmunikat Imprt GPO cmpleted successfully, należy kliknąć OK. Plik kpii ustawień zasad grupy dstępny będzie w biblitece ustawień bazwych Baselines Library w gałęzi Custm Baselines. 7.5.2. Dstsuj ustawienia bazwe knfigurajci d własnych ptrzeb - Custmize knwledge Prgram SCM pzwala na pracę z gtwymi ustawieniami bazwymi dstarcznymi przez Micrsft bez mżliwści dknywania żadnych zmian, ale przypuszczalnie pjawi się wymóg dstswania rekmendwanych ustawień dla wymgów stawianych własnym rganizacjm. Pracując w prgramie SCM nie ma mżliwści mdyfikacji ustawień bazwych Micrsft zawartych w SCM, ale dla

własnych celów mżna wyknać kpię daneg ustawienia bazweg wraz z mżliwścią edycji i mdyfikacji według własnych wytycznych. Sekcja Custmize knwledge pzwli nam na wyknanie dstswania ustawień bazwych d własnych celów. Find settings pcja t pzwli nam na szybkie przeszukanie kreślnych ustawień, infrmacje na ten temat pisan w rzdziale 7.5.1. Evaluate Micrsft recmmendatins analiza ustawień dmyślnych, rekmendwanych raz własnych każdeg ustawienia. SCM dstarcza rekmendwane ustawienia bazwe knfiguracji dla pszczególnych prduktów, które są prezentwane w każdym ustawieniu bazwym knfiguracji (Baseline), wyświetlane są ne w knie zawierającym szczegółwe ustawienia. Każde z tych ustawień zawiera infrmacje dmyślnej knfiguracji, rekmendwanej przez Micrsft raz ustawienia własne wraz z kreśleniem pzimu ważnści daneg ustawienia. Custmize baselines dstswanie ustawień szczegółwych dla bazwych knfiguracji dla własnych ptrzeb Ustawienia szczegółwe dla bazwych ustawień knfiguracji uprządkwane są według grup zbliżnych d ustawień zasad grupy znane z narzędzia Edytr biektów zasad grupy, ale dla własnych ptrzeb mżna ddawać, przensić, kaswać ustawienia raz twrzyć własne grupy. Wszystkie te peracje dstępne są dla ustawień bazwych knfiguracji utwrznych w sekcji Custm Baselines umieszcznej w biblitece Baselines Library. Ddawanie szczegółwych ustawień W celu wyknania peracji ddawania szczegółwych ustawień dla własnych ustawień bazwych - Add a setting, należy wyknać czynnści: P wybraniu dpwiednieg własneg szablnu ustawień bazwych w sekcji Custm Baselines umieszcznej w biblitece Baselines Library W prawym knie Actin w bszarze Setting należy kliknąć pcję Add.

Dmyślnie kn znajduje się w szablnie ustawień bazwych, d któreg ddajemy nwe ustawienie, w przedstawinym przykładzie jest t Windws 7 SP1, prdukt kreślny jest w plu wybru Chse Surce. W następnej klejnści należy kreślić bszar dcelwy Chse Target w knie Add Settings, p rzwinięciu listy Setting Grup należy wybrać właściwą grupę, w której zstanie ddane ustawienie. Następnie za pmcą strzałek w razie kniecznści mżna rzwinąć grupy w celu identyfikacji właściweg ustawienia, które chcemy ddać. Klejn należy wskazać ustawienie, które chcemy ddać i je wybrać, na zakńczenie należy kliknąć pcję Add.

Przenszenie jedneg lub wielu szczegółwych ustawień W celu wyknania peracji przenszenia jedneg lub wielu szczegółwych ustawień dla własnych ustawień bazwych - Mve a setting, należy wyknać czynnści: P wybraniu dpwiednieg własneg szablnu ustawień bazwych w sekcji Custm Baselines umieszcznej w biblitece Baselines Library W prawym knie Actin w bszarze Setting należy kliknąć pcję Mve. Wyświetli się kn Mve Settings between Setting Grups.

Następnie należy wybrać p prawej strnie grupę dcelwą, d które ma zstać przeniesine jedn lub wiele ustawień i wybrać OK. SCM wykna perację przenszenia i wyświetli ustawienie w nwej grupie, tak jak na przykładzie pniżej. Usunięcia jedneg lub wielu szczegółwych ustawień W celu wyknania peracji usunięcia jedneg lub wielu szczegółwych ustawień dla własnych ustawień bazwych - Delete a setting, należy wyknać czynnści: P wybraniu dpwiednieg własneg szablnu ustawień bazwych w sekcji Custm Baselines umieszcznej w biblitece Baselines Library należy wybrać jedn lub wiele ustawień d usuniecia Następnie w prawym knie Actin w bszarze Setting należy kliknąć pcję Delete.

Ddanie grupy ustawień W celu wyknania peracji ddania grupy ustawień dla własnych ustawień bazwych Add a setting grup, należy wyknać czynnści: P wybraniu dpwiednieg własneg szablnu ustawień bazwych w sekcji Custm Baselines umieszcznej w biblitece Baselines Library, należy w prawym knie Actin w bszarze Setting Grup należy kliknąć pcję Add. Usuwanie grupy ustawień W celu wyknania peracji usunięcia grupy ustawień dla własnych ustawień bazwych Delete a setting grup, należy wyknać czynnści:

P wybraniu dpwiednieg własneg szablnu ustawień bazwych w sekcji Custm Baselines umieszcznej w biblitece Baselines Library, należy w prawym knie Actin w bszarze Setting Grup należy kliknąć pcję Delete w celu wyświetlenia na przedstawineg pniżej. Następnie p rzwinięciu listy grup należy wybrać grupę d usunięcia i zatwierdzić perację klikając w przycisk Delete. Cmpare with Micrsft recmmendatins prównanie ustawień bazwych z rekmendwanymi ustawieniami Micrsft Funkcjnalnść prównania ustawień bazwych pzwala na szybkie uzyskanie wyników prównania, które mgą zstać zapisane w arkuszu prgramu Micrsft Excel. Prównanie / płącznie dwóch ustawień bazwych knfiguracji w celu przejrzenia różnic pmiędzy ustawieniami bazwymi knfiguracji. W celu wyknania peracji prównania ustawień bazwych Delete a setting grup, należy wyknać czynnści: P wybraniu dpwiednieg szablnu ustawień bazwych d prównania należy w prawym knie Actin w bszarze Baseline należy kliknąć pcję Cmpare / Merge.

Raprt Cmpare Baselines Summary wyświetli wynik prównania Baseline A wybraneg, jak pierwszy, z Baseline B wybranym, jak drugim. Raprt będzie zawierał: Całkwitą liczbę prównanych unikalnych ustawień Całkwitą liczbę wspólnych ustawień Całkwitą liczbę ustawień występujących tylk w jednym z prównywalnych ustawień bazwych Usunięcie ustawień bazwych knfiguracji. W celu wyknania peracji usunięcia jedneg lub wielu ustawień bazwych, należy wyknać czynnści: P wybraniu dpwiednieg szablnu/ów ustawień bazwych należy w prawym knie Actin wybrać pcję Delete i ptwierdzić wyknanie peracji usunięcia.

Usunięcie ustawień bazwych knfiguracji. W celu wyknania peracji usunięcia jedneg lub wielu ustawień bazwych, należy wyknać czynnści: P wybraniu dpwiednieg szablnu/ów ustawień bazwych należy w prawym knie Actin wybrać pcję Delete i ptwierdzić wyknanie peracji usunięcia. W dalszej klejnści mżna dknać płączenia ustawień bazwych lub wyeksprtwać wynik d frmatu arkusza Micrsft Excel. (pcja wymaga zainstalwaneg prgramu Micrsft Excel) Duplikacja ustawień bazwych knfiguracji. W celu wyknania peracji duplikacji ustawień bazwych, należy wyknać czynnści:

P wybraniu dpwiednieg szablnu ustawień bazwych należy w prawym knie Actin wybrać pcję Duplicate i ptwierdzić lub wprwadzić nwą nazwę ustawień bazwych. Zablkwanie ustawień bazwych knfiguracji. W celu wyknania peracji zablkwanie zduplikwaneg szablnu ustawień bazwych, należy wyknać czynnści: P wybraniu dpwiednieg szablnu ustawień bazwych należy w prawym knie Actin wybrać pcję Lck i ptwierdzić perację.