Локальные политики (Local Policies) состоят из параметров «Политика аудита» (Audit Policy), «Назначение прав пользователя» (User Rights) и «Параметры безопасности» (Security Options). Параметры аудита по умолчанию не устанавливаются.

Назначение прав пользователя

Параметры «Назначение прав пользователя» (User Rights) применяются к пользовательским учетным записям, а разрешения (permission) – к объектам. Для присвоения группам и отдельным пользователям дополнительных прав можно применять консоль «Локальные параметры безопасности» (Local Security Policy). Проверяя их значения, необходимо помнить, что в любой момент они могут быть изменены (если компьютер будет включен в домен) участниками групп «Администраторы» (Administrators), «Администраторы домена» (Domain Administrators) и «Администраторы предприятия» (Enterprise Administrators) либо через параметры глобальной политики.

Важное отличие прав пользователей системы, работающей под управлением Windows 2000 Professional, от прав пользователей системы с Windows 2000 Server заключается в том, что в первой отсутствуют локальные группы «Операторы учета» (Account Operator), «Операторы сервера» (Server Operator) и «Операторы печати» (Print Operator). Кроме того, группа «Опытные пользователи» (Power Users) не является группой уровня домена. В Windows 2000 Professional права участников группы «Опытные пользователи» (Power Users) представляют собой некий функциональный эквивалент совокупности прав групп «Операторы учета» (Account Operator), «Операторы сервера» (Server Operator) и «Операторы печати» (Print Operator).

Некоторые права пользователей не имеют смысла, когда Windows 2000 Professional работает на изолированном компьютере. К таким правам, в частности, относятся следующие:

· добавление рабочих станций в домен (не имеет отношения к функциональности рабочей станции);

· назначение пользовательских учетных записей и компьютеров доверенными, что позволяет делегировать таким пользователям и компьютерам дополнительные полномочия;

· вход в качестве службы (пользовательская учетная запись может применяться той или иной службой для настройки контекста безопасности этой службы на определенный уровень);

· синхронизация данных службы каталогов.

Пользовательские права нужно назначать группам, а не пользователям. Это позволит предоставить те или иные права пользователю, просто добавив его в соответствующую группу. Такой подход значительно упрощает администрирование.

Параметры безопасности

Параметры группы «Параметры безопасности» (Security Options) позволяют пользователям Windows 2000 изменять параметры системного реестра, влияющие на безопасность, без непосредственного редактирования самого реестра. В Windows 2000 Professional можно настраивать множество различных параметров безопасности, установленные по умолчанию значении которых приведены в табл. 13.2.

Таблица 13.2

Значения параметров безопасности Windows 2000, установленные по умолчанию

Параметр	Локальное значение, установленное по умолчанию
Дополнительные ограничения для анонимных подключений (Addition restrictions for anonymous connections)	Отсутствует, ограничения основываются на установленных по умолчанию разрешениях
Разрешить завершение работы системы без выполнения входа в систему (Allow system to be shut down without having to log on)	Включен
Разрешено извлекать съемные носители NTFS (Allow to eject removable NTFS media)	Администраторы (Administrators)
Длительность простоя перед отключением сеанса (Amount of idle time required before disconnecting sessions)	15 мин
Аудит доступа глобальных системных объектов (Audit the access of global system objects)	Отключено
Проводить аудит права на архивацию и восстановление (Audit the use of Backup and Restore privileges)	Отключено
Автоматически отключать сеансы пользователей по истечении разрешенного времени (локально) Automa­tically log off­ users when logon time expires (local))	Включено
Очистка страничного файла виртуальной памяти при завершении работы (Clear virtual memory pagefile when system shuts down)	Отключено
Использовать цифровую подпись со стороны клиента (всегда) (Digitally sign client communication (always))	Отключено
Использовать цифровую подпись со стороны клиента (по возможности) (Digitally sign client communication (when possible))	Включено
Использовать цифровую подпись со стороны сервера (всегда) (Digitally sign server communication (always))	Отключено
Использовать цифровую подпись со стороны сервера (по возможности) (Digitally sign server communication (when possible))	Отключено
Отключить Ctrl + Alt + Delete запрос на вход в систему (Disable Ctrl + Alt + Delete requirement for logon)	He определено
He отображать последнего имени пользователя в диалоге входа (Do not display last username in logon screen)	Отключено

Уровень проверки подлинности LAN Manager (LAN Manager Authentication Level)	Посылать ответы LM и NTLМ
Текст сообщения для пользователей при входе в систему (Message text for users attempting to log on)
Заголовок сообщения для пользователей при входе в систему (Message title for users attempting to log on)
Количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена) (Number­ of previous ­logons to cache (in case domain controller is not available))	10 входов
Предотвращение обработки пароля учетной записи компьютера (Prevent system maintenance of computer account password)	Отключено
Запретить пользователям установку драйверов принтера (Prevent users from installing printer drivers)	Отключено
Напоминать пользователям об истечении действия пароля (Prompt user to change password before expiration)	14 дней
Консоль восстановления: разрешить автоматический вход администратора (Recovery Console: Allow automatic administrative logon)	Отключено
Консоль восстановления: разрешить копирование дискет и доступ ко всем дискам и папкам (Recovery Console: Allow floppy copy and access to all drivers and all folders)	Отключено
Переименование учетной записи администратора (Rename Administrator account)	He определено
Переименование учетной записи гостя (Rename Guest account)	Не определено
Разрешить доступ к дисководам компакт-дисков только локальным пользователям (Restrict CD-ROM access to locally logged-on user only)	Отключено
Разрешить доступ к НГМД только локальным пользователям (Restrict floppy access to locally logged-on user only)	Отключено
Безопасный канал: всегда требуется цифровая подпись или шифрование потока данных безопасного канала (Secure channel: Digitally encrypt or sign secure channel data (always))	Отключено
Безопасный канал: шифрование данных безопасного канала, где это возможно (Secure channel: Digitally encrypt secure channel data (when possible))	Включено
Безопасный канал: цифровая подпись данных безопасного канала, где это возможно (Secure channel: Digitally sign secure channel data (when possible))	Отключено
Безопасный канал: требует стойкого ключа сеанса (Windows 2000 или новее)  (Secure channel: Require strong (Windows 2000 or later) session key)	Отключено
Посылать незашифрованный пароль при подключении к сторонним SMB-серверам (Send unencrypted password to connect to third-party SMB servers)	Отключено
Немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности (Shut down system immediately if unable to log security audits)	Отключено
Поведение при извлечении смарт-карты (Smart card removal behavior)	Никаких действий

Усилить разрешения по умолчанию для глобальных системных объектов (например, символических ссылок) (Strengthen default permissions of global system objects (for example, symbolic links))	Включено
Поведение при установке неподписанного драйвера («Успешно без сообщений», «Предупредить, но разрешить установку», «Не разрешать установку») (Unsigned driver installation behavior (Silently succeed, Warn but allow installation, Do not allow installation))	He определено
Поведение при установке неподписанной программы («Успешно без сообщений», «Предупредить, но разрешить установку», «Не разрешать установку») (Unsigned nondriver installation behavior (Silently succeed, Warn but allow installation, Do not allow installation))	He определено

Значение многих из перечисленных параметров нетрудно понять даже из их названий. Однако есть и такие параметры, роль которых далеко не очевидна. Рассмотрим параметры, роль которых чаше всего неправильно понимается или недооценивается администраторами, а также советы по их использованию в среде Windows 2000 Professional.

Дополнительные ограничения для анонимных подключений

Анонимные подключения (нуль-сеансы) могут использоваться для получения перечня учетных записей и групп. Такой режим может понадобиться администратору домена для того, чтобы добавить пользователей доверенного домена и предоставить им доступ к ресурсам своего домена. Однако этот же режим может использоваться злоумышленником, не имеющим доступа к домену, для сбора информации о домене.

Разрешить завершение работы системы без выполнения входа в систему

Если этот параметр установлен, в диалоговом окне входа появляется кнопка «Завершение работы» (Shut Down), с помощью которой можно выключить компьютер, не входя в систему в качестве пользователя. Это повышает удобство применения Windows 2000 Professional, так как обеспечивает гибкость настройки параметров политики безопасности. Таким образом можно, например, лишить обычного пользователя не обладающего соответствующими полномочиями, возможности отключения WEB-сервера, файлового сервера или сервера приложений во время их работы.

Для того чтобы определить, имеет ли пользователь право отключать сервер, можно потребовать, чтобы он сначала вошел в систему. Конечно, злоумышленник или просто неосторожный пользователь и так может отключить сервер, например, выключив питание системного блока, чего обычный пользователь, скорее всего, делать не станет. Однако данный параметр позволяет избежать ситуаций, когда пользователь случайно выключает сервер, нечаянно щелкнув на кнопке диалогового окна входа в систему.

Разрешено извлекать съемные носители NTFS

Благодаря этому режиму случайный пользователь, находящийся рядом со съемным накопителем информации, воспользовавшись штатными средствами соответствующего устройства, не сможет извлечь и похитить носитель.

Аудит доступа глобальных системных объектов

Для отслеживания работы обычных пользователей и служб, получающих доступ к системе, аудит глобальных системных объектов не нужен. Режим аудита таких объек­тов может быть полезен для разработчиков программного обеспечения и драйверов устройств. Примерами глобальных системных объектов являются потоки, символические ссылки и процессы. Обычно этот режим отключается, чтобы не повышать уровень накладных расходов на процессор и не генерировать большое количество записей в Журнале безопасности.

Проводить аудит права на архивацию и восстановление

Включение аудита привилегий «Архивирование файлов и каталогов» (Backup) и «Восстановление файлов и каталогов» (Restore) приводит к генерации многочисленных записей в Журнале безопасности – для каждого файла и каждой папки, над которыми выполняются операции архивирования или восстановления из архива, создается отдельная запись. Таким образом, подобный доступ к объектам обычно не контролируется. Однако при желании его можно включить.

Автоматически отключать сеансы пользователей по истечении разрешенного времени (локально)

Если пользователю выделены определенные часы работы, этот параметр позволит автоматически его отключить по истечении установленного времени. Данный режим чаще всего применяется по отношению к пользователям двух следующих типов:

· временным работникам, лицам, работающим по совместительству, и другим служащим, для которых можно выделить определенные часы и дни работы. Это позволяет обеспечить невозможность входа в систему таких категорий работников в часы, не предусмотренные трудовым соглашением;

· обычным пользователям, работа которых может регулироваться политикой безо­пасности, не допускающей возможности их работы по завершении установлен­ного рабочего дня.

В любом случае при включении данного режима будет происходить автоматическое завершение сеанса.

Очистка страничного файла виртуальной памяти при завершении работы

По завершении работы Windows 2000 в файле подкачки «pagefile.sys» могут оставаться различные данные. Этот файл используется для временного хранения данных в случаях, когда объема оперативной памяти недостаточно. Таким образом, всегда существует вероятность, что данные, оставшиеся в этом файле, могут быть извлечены лицами, для которых они не предназначаются, а затем использованы для нарушения безопасности системы. Когда система включается, доступ к файлу подкачки запрещается, однако, когда она отключается, файл становится уязвимым. Для того чтобы предотвратить угрозу утечки данных из файла подкачки, необходимо включить режим его очистки перед завершением работы системы.

Использовать цифровую подпись со стороны клиента и (или) сервера

Под цифровой подписью в данном случае подразумевается подпись пакетов SMB. Этот режим обычно не включается, так как он снижает производительность. Однако  он позволяет повысить безопасность коммуникаций. Если включить безусловное использование этого режима, компьютер не сможет подключиться к другому компьютеру, который не использует цифровую подпись пакетов SMB. Если же включить режим использования «По возможности», цифровая подпись будет выполняться при коммуникациях с компьютерами, которые также поддерживают этот режим, но при установлении связи с компьютерами, не использующими цифровой подписи пакетов SMB, все коммуникации с ними будут осуществляться без этого режима.

Отключить «Ctrl + Alt + Delete»-запрос на вход в систему

Прежде чем войти в систему, пользователь обычно должен нажать комбинацию «Ctrl + Alt + Delete», чтобы открыть окно входа в систему. Применение данной комбинации клавиш – это предупредительная мера против программ, называемых «троянскими конями», которые могут, имитируя окно входа, перехватывать пароль. Нажатие комбинации «Ctrl + Alt + Delete» приводит к остановке таких процессов, если они, конечно, присутствуют. Этим предотвращаются попытки нарушения безопасности с использованием подобного рода программ. Если данный режим отключен, диалоговое окно ввода пользовательского имени и пароля остается доступным и система, таким образом, лишается столь ценного средства защиты.

He отображать последнего имени пользователя в диалоге входа

В появившемся диалоговом окне входа в систему может отображаться пользовательский идентификатор, под которым осуществлялся последний вход. Хотя это удобно для пользователя, который изо дня в день работает на одном и том же компьютере (так как при запуске компьютера ему понадобится меньше времени на вход в систему), иногда данный идентификатор может оказаться в руках нарушителя. Если, например, нарушителю известно, что пользователь с таким идентификатором имеет права администратора, то, получив этот идентификатор, он в какой-то степени упростит свое проникновение в сеть с правами, позволяющими выполнить какую угодно операцию.

Многие не считают данную угрозу серьезной, так как пользовательский идентификатор можно подобрать или узнать с помощью других средств. Однако существует мнение, что отключение данного режима приведет к снижению уровня безопасности, поскольку любой барьер на пути злоумышленника влечет за собой повышение этого уровня.

Уровень проверки подлинности LAN Manager

LAN Manager – это название сетевого протокола аутентификации, использовавшегося сначала в устаревшей сетевой операционной системе LAN Manager, а затем и в Windows NT. Средства аутентификации всех версий LAN Manager значительно уступают по безопасности аналогичным средствам протокола Kerberos. Если все компьютеры сети поддерживают Kerberos, можно установить этот параметр таким образом, чтобы полностью запретить аутентификацию, основанную на средствах протокола LAN Manager. С другой стороны, изменяя значение этого параметра, можно разрешить подключение с выполнением аутентификации LAN Manager только определенным компьютерам. В любом случае конечная цель заключается в том, чтобы обеспечить максимальную безопасность коммуникаций, используя все имеющиеся в распоряжении средства.

Текст сообщения для пользователей при входе в систему

Объявление на доме о том, чтобы грабители не пытались в него проникнуть, поможет защититься от ограбления далеко не всегда. Точно так же и сообщение, которое можно вывести на экран, задав соответствующее значение для параметра, далеко не всегда удержит злоумышленника от попытки несанкционированного входа в систему. Единственная реальная польза от этого заключается в том, что будет обеспечено юридическое обоснование для рассмотрения действий злоумышленника как преднамеренных (достаточно установить с помощью данного параметра сообщение, извещающее его о том, что последующие действия будут считаться незаконными). Система будет отображать такое сообщение на экране при каждой попытке входа в систему.

Уже имеется довольно много судебных прецедентов, в которых дела против хакеров были проиграны только по одной причине: адвокаты обвиняемых отмечали, что в окне входа Windows выводится сообщение «Welcome». С точки зрения юридической казуистики такое сообщение можно рассматривать и как санкцию на выполнение каких угодно действий (т.е. «чувствуйте себя, как дома»). Поэтому, задавая текст сообщения, вы можете защитить себя в подобных ситуациях. Кроме того, в качестве дополнительной меры это предупреждение необходимо повторить на всех языках, владение которыми потенциальным злоумышленником можно считать весьма вероятным.

Заголовок сообщения для пользователей при входе в систему

Данный параметр позволяет определить заголовок диалогового окна вывода сообщения, содержание которого определяется параметром «Текст сообщения для пользователей при входе в систему».

Количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)

Когда пользователь входит в домен, информация, предоставленная им для аутентификации, проверяется контроллером домена. Если она правильна, пользователь подключается к домену и получает доступ к компьютеру, с которого входит в домен. Если же контроллер домена по каким-то причинам недоступен, пользователь все рав­но сможет войти в систему. Как же это возможно? Дело в том, что информация, представляемая пользователями при входе, кэшируется и при необходимости может применяться для входа даже при отсутствии в сети контроллера домена.

Хотя кэшируемая информация хорошо защищается, по каким-то причинам вы, возможно, захотите отключить кэширование или, по крайней мере, ограничить объем такой информации, хранящейся на локальном диске компьютера. С другой стороны, если с одним и тем же компьютером работают много пользователей, может понадобиться расширить локальный кэш аутентификации, чтобы упростить процедуру входа в систему.

Конечно, при размере кэша, равном нулю, пользователь не сможет войти в систему, если компьютер не сможет связаться с контроллером домена для проведения аутентификации. Иногда данный режим – это именно то, что нужно, поскольку строгое соблюдение политики безопасности в таких ситуациях, как правило, гораздо важнее возникающих время от времени задержек при входе в сеть.

Предотвращение обработки пароля учетной записи компьютера

В Windows NT 4.0 доверительные отношения между доменами формируются путем установки некоего пароля. После установки доверительных отношений этот пароль периодически переустанавливается системой. В случае, если контроллеры доменов связаны между собой с помощью коммуникационного канала с низкой скоростью передачи данных, могут возникнуть определенные проблемы: один контроллер изменил пароль, отправил его другому, а тот еще не получил его и продолжает использовать старый пароль. Данный параметр позволяет отключить режим периодического изменения пароля компьютера по инициативе компьютера. Дело в том, что когда компьютер подключается к домену, между ним и доменом устанавливаются доверительные отношения.

В домене для каждого компьютера имеются учетная запись и пароль, который периодически изменяется самим компьютером. Поэтому при наличии низкоскоростных линий связи системы с Windows 2000 Professional, как и контроллеры доменов Windows NT 4.0, могут сталкиваться с теми же проблемами при изменении пароля. Если подобные проблемы возникают, можно воспользоваться данным параметром для отключения режима изменения пароля.

Запретить пользователям установку драйверов принтера

Насколько широкими должны быть полномочия по администрированию системы на компьютере, работающем под управлением Windows 2000 Professional? Нужно ли лишать пользователей возможности самостоятельно добавлять драйверы принтеров? Все зависит от ситуации. Например, пользователям портативных компьютеров, по-видимому, нужно предоставить такую возможность, ведь у них часто возникает потребность в подключении компьютера к принтерам, находящимся за пределами организации или предприятия.

Однако, предоставляя пользователям полную свободу действий в установке драйверов принтеров, нужно помнить о двух скрытых опасностях:

· во-первых, может оказаться, что устанавливаемый драйвер принтера не сертифицирован для работы в среде Windows 2000, а это, в свою очередь, может привести к изменению системных файлов и нарушению работоспособности компьютера;

· во-вторых, драйверы могут работать на уровне ядра, а любая программа, которая выполняет такие операции, должна тщательно контролироваться специалистом, хорошо представляющим, какие последствия могут возникнуть в результате применения нового драйвера, найденного пользователем на каком-нибудь Web-узле с пиратским программным обеспечением.

Вполне вероятно, что программа, представленная как выдающийся драйвер принтера, на самом деле окажется «Троянским конем». Именно поэтому, если вы всерьез обеспокоены вопросами безопасности, отключите возможность установки пользователями новых драйверов принтеров.

Напоминать пользователям об истечении действия пароля

В качестве значения этого параметра устанавливается количество дней, чтобы Windows 2000 могла заблаговременно предупредить пользователя об истечении срока действия его пароля. Убедитесь, что значение этого параметра соответствует значению самого срока действия пароля.

Переименование учетной записи администратора

Учетная запись администратора по умолчанию называется «Администратор» (Administrator). Изменив ее название, можно воспрепятствовать попыткам получения информации хакерами. Многие эксперты не считают эту меру защиты достаточно серьезной, так как SID (идентификационный код) учетной записи «Администратор» всегда остается неизменным. Однако, учитывая то, что безопасность должна обеспечиваться на всех уровнях, не стоит пренебрегать любой, даже минимальной, защитой.

Блокировав анонимное подключение, можно устранить вероятность того, что несанкционированный пользователь применит приложения, которые позволяют идентифицировать учетную запись администратора на основании стандартного значения SID. Использовав этот параметр для переименования учетной записи администратора, можно воспрепятствовать попыткам анонимных пользователей узнать имя учетной записи администратора.

Переименование учетной записи гостя

Многие считают этот параметр бесполезным, однако несанкционированное подключение к ресурсам нередко осуществлялось именно с помощью входа в систему под именем «Гость» (Guest). Достаточно просто переименовать ее, чтобы значительно снизить вероятность несанкционированного подключения. Учетная запись «Гость» по умолчанию отключена, однако в процессе эксплуатации ее состояние может быть по каким-то причинам изменено. Поэтому никогда не помешает заранее принять дополнительные меры по обеспечению защиты.

Разрешить доступ к дисководам компакт-дисков только локальным пользователям

Так как дисковод CD-ROM при загрузке с компакт-диска становится общедоступным административным ресурсом, имеет смысл ограничить доступ к нему по сети. Другой причиной такого ограничения может стать характер данных, записанных на компакт-дисках. Хотя пользователи довольно часто могут по сети получать доступ к данным компакт-дисков через общедоступные дисководы CD-ROM, на компакт-дисках может содержаться конфиденциальная информация компании, доступ к которой должен быть ограничен. В любом случае на обычных компьютерах, не играющих специальной роли узла доступа к компакт-дискам, этот режим лучше включить.

Разрешить доступ к НГМД только локальным пользователям

Причины использования этого режима аналогичны причинам использования режима «Разрешить доступ к дисководам компакт-дисков только локальным пользователям».

Безопасный канал: всегда требуется цифровая подпись или шифрование потока данных безопасного канала

Контроллерам доменов и их клиентам, а также контроллерам доменов, между которыми установлены доверительные отношения, может понадобиться обменяться друг с другом информацией для аутентификации учетных записей компьютеров, пользователей и доверенных доменов. Логические соединения, устанавливаемые в таком случае, называются безопасными каналами (secure channel).

Четыре параметра безопасных каналов обеспечивают выбор режима обратной совместимости с прежними версиями или же режима, построенного только на механизмах Windows 2000. Если этот параметр включен, а клиент и сервер не могут согласовать параметры шифрования, безопасный канал не будет создан, а попытка установления сеанса связи завершится неудачно (например, клиент не сможет войти в домен). Если же безопасный канал будет установлен, будет обеспечен более высокий уровень безопасности.

Безопасный канал: шифрование данных безопасного канала, где это возможно

Если попытка согласования параметров шифрования данных завершится неудачей, сеанс связи установится, но передаваемые данные будут защищены хуже.

Безопасный канал: цифровая подпись данных безопасного канала, где это возможно

Даже если режим цифровой подписи не включится, сеанс связи будет установлен.

Безопасный канал: требует стойкого ключа сеанса (Windows 2000 или новее)

Если компьютер работает в режиме контроллера домена Windows 2000 (он не совпадает с режимом контроллера домена Windows NT 4.0) без клиентов нижнего уровня, данный параметр обеспечит более надежное шифрование. Для аутентификации и обеспечения целостности данных используется безопасный канал, который можно настроить на несколько различных уровней. Безопасный канал, например, позволяет выбирать, будут ли данные шифроваться или подписываться. Для обеспечения более высокой степени защиты выберите режим «Всегда» (Always). Однако помните, что при его использовании коммуникации с некоторыми ресурсами и клиентами будут невозможны.

Усилить разрешения по умолчанию для глобальных системных объектов (например, символических ссылок)

Символические ссылки и другие системные объекты, например потоки и процессы, также должны работать под управлением системы разрешений («Символические ссылки» – это просто метод операционной системы для управления «альтернативными названиями» объектов). Например, хотя все пользователи для обозначения первого жесткого диска применяют букву С, на самом деле это имя преобразуется в более сложный, но технически более точный идентификатор устройства. Диспетчер объектов, являющийся компонентом ОС, управляет ее пространством имен, используя различные символические ссылки. Поэтому в некоторых случаях вполне оправдано усиление установленного по умолчанию набора разрешений.

Поведение при установке неподписанного драйвера

Некачественно написанные и не протестированные драйверы в лучшем случае могут сделать работу системы нестабильной, в худшем случае – в систему может быть внедрена подложная программа, выдающая себя за новый и улучшенный драйвер устройства. В Windows 2000 драйверы всех устройств, одобренные для использования в этой системе, должны быть подписаны Microsoft. Изменив значение этого параметра, администратор Windows 2000 может управлять процессом установки драйвера устройства значительно точнее.

Возможными значениями могут быть «Успешно без сообщений» (Silently Succeed), «Предупредить, но разрешить установку» (Warn but Allow Installation) и «He разрешать установку» (Do Not Allow Installation). Значение «He разрешать установку» позволяет запретить установку всех драйверов, кроме подписанных. К тому же можно включить режим предупреждения перед установкой (Warn but Allow Installation) или полностью проигнорировать возможность каких-либо последствий (Silently Succeed).

Выбор зависит от того, какой режим безопасности нужно обеспе­чить. Необходимо отдавать себе отчет в том, что запрещение установки может привес­ти к отключению некоторых устройств, поскольку система не сможет загрузить их не­подписанные драйверы. Однако если нужно на компьютере обеспечить высокий уровень безопасности, придется пожертвовать удобством и использовать эти устройства на другом компьютере. В большинстве случаев будет вполне достаточно режима «Предупредить, но разрешить установку».

Поведение при установке неподписанной программы

Если вы хотите, чтобы Windows 2000 во всех устанавливаемых приложениях прове­ряла наличие цифровых подписей, используйте данный параметр. Его работа основывается на тех же принципах, что и работа только что описанного параметра, управляющего установкой драйверов.