Trong bài viết này, chúng tôi sẽ chỉ cách cấu hình khóa màn hình (phiên làm việc) tự động trên máy tính hoặc server trong domain bằng Group Policy. Khóa màn hình khi người dùng không hoạt động (idle) là yếu tố quan trọng của bảo mật thông tin. Người dùng có thể quên khóa màn hình (phím tắt Win + L) khi cần rời khỏi bàn làm việc một chút. Lúc này, bất kỳ nhân viên hoặc khách hàng nào ở gần có thể truy cập dữ liệu của họ. Chính sách khóa màn hình tự động sẽ khắc phục lỗ hổng này. Sau một khoảng thời gian không hoạt động, màn hình desktop của người dùng sẽ tự động bị khóa, và người dùng phải nhập lại mật khẩu domain để quay lại phiên làm việc.
Hãy tạo và cấu hình Group Policy domain để quản lý tùy chọn khóa màn hình:
- Mở console Group Policy Management (
gpmc.msc), tạo GPO mới (LockScreenPolicy) và liên kết nó với root domain (hoặc OU Users); - Chỉnh sửa policy và đi đến User Configuration -> Policies -> Administrative Templates -> Control Panel -> Personalization;
- Có một số tùy chọn quản lý màn hình chụp và khóa màn hình trong phần GPO:
- Enable screen saver (Bật màn hình chụp)
- Password protect the screen saver — yêu cầu nhập mật khẩu để mở khóa máy tính
- Screen saver timeout – thiết lập thời gian tính bằng giây khi màn hình chụp sẽ được bật và máy tính sẽ bị khóa nếu người dùng không hoạt động
- Force specific screen saver – bạn có thể chỉ định file màn hình chụp để sử dụng. Thường dùng là
scrnsave.scr(có thể làm màn hình chụp slideshow qua GPO) - Prevent changing screen saver – ngăn người dùng thay đổi cài đặt màn hình chụp
- Bật tất cả các policy và đặt thời gian idle máy tính trong policy Screen saver timeout. Tôi nhập 300. Nghĩa là phiên người dùng sẽ tự động khóa sau 5 phút;
- Chờ cho đến khi cài đặt Group Policy được cập nhật trên client hoặc làm mới thủ công bằng lệnh:
gpupdate /force. Sau khi GPO được áp dụng, cài đặt màn hình chụp và khóa màn hình sẽ được bảo vệ khỏi chỉnh sửa trong giao diện Windows, và phiên người dùng sẽ bị khóa sau 5 phút không hoạt động (để chẩn đoán cách GPO được áp dụng, bạn có thể dùng công cụ gpresult).
Trên Windows Server 2012/Windows 8 trở lên, có một policy bảo mật máy tính riêng biệt thiết lập thời gian không hoạt động của máy tính trước khi nó bị khóa. Policy tên là Interactive logon: Machine inactivity limit và bạn tìm thấy nó ở Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options.
Trong một số trường hợp, bạn có thể cần cấu hình chính sách khóa khác nhau cho các nhóm người dùng khác nhau. Ví dụ, màn hình nhân viên văn phòng nên khóa sau 10 phút, và màn hình của người điều hành sản xuất hoặc SCADA không bao giờ được khóa. Để triển khai chiến lược như vậy, bạn có thể dùng GPO Security Filtering (xem ví dụ hạn chế truy cập USB bằng GPO) hoặc Item Level Targeting trong GPP. Hãy tìm hiểu kỹ hơn về phương pháp sau.
Bạn có thể cấu hình cài đặt khóa máy tính bằng registry thay vì GPO, và triển khai các cài đặt registry tương ứng đến máy tính của người dùng qua GPO. Các tham số registry sau khớp với các policy thảo luận ở trên. Chúng nằm trong HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop:
- Password protect the screen saver là tham số REG_SZ tên ScreenSaverIsSecure = 1
- Screen saver timeout là tham số REG_SZ tên ScreenSaveTimeout = 300
- Force specific screen saver là tham số REG_SZ tên ScreenSaveActive = 1 và SCRNSAVE.EXE = scrnsave.scr
Tạo nhóm bảo mật domain (grp_not-lock-prod) mà bạn muốn tắt policy khóa màn hình và thêm người dùng vào nhóm. Tạo các tham số registry đã mô tả ở phần GPO tương ứng (User Configuration -> Preferences -> Windows Settings -> Registry). Sử dụng Item Level Targeting, đặt cho mỗi tham số rằng policy không được áp dụng cho nhóm bảo mật cụ thể (người dùng không phải là thành viên của nhóm bảo mật grp_not-lock-prod).
Bạn cũng phải tạo 4 tham số registry bổ sung với giá trị REG_SZ 0, để buộc tắt khóa màn hình cho nhóm grp_not-lock-prod (ngược lại, GPO của bạn sẽ không ghi đè giá trị registry đã đặt trước đó).