Entendendo Group Policy & Group Policy Objects (GPOs)

Qualquer configuração de segurança eficaz deve ser capaz de impedir que os usuários tenham controle excessivo sobre um servidor, ao mesmo tempo que lhes fornece as ferramentas necessárias para completar suas tarefas diárias.

Sem as configurações de política apropriadas, usuários comuns podem ser capazes de instalar softwares vulneráveis, alterar controles de segurança, visualizar arquivos confidenciais ou, de outra forma, enfraquecer sua postura de segurança, mesmo que inadvertidamente. Ao mesmo tempo, restringir demais os usuários pode criar obstáculos desnecessários no desempenho de suas responsabilidades regulares.

Para uma proteção ótima, é essencial estabelecer uma configuração que conceda aos usuários exatamente o nível de acesso necessário para o seu papel e nada além disso.

Os sistemas da Microsoft oferecem uma solução pronta para esses problemas por meio da Group Policy, uma ferramenta que permite aos administradores definir restrições, regras e padrões para múltiplos usuários e grupos. Essas políticas são então agrupadas em coleções chamadas Objetos de Política de Grupo (GPOs), que armazenam políticas relacionadas em nós dentro do Console de Gerenciamento de Política de Grupo.

Ao configurar adequadamente as vastas opções dentro da Política de Grupo de acordo com as necessidades da sua organização, você pode manter eficazmente a postura de segurança do servidor enquanto ainda fornece aos usuários exatamente os privilégios de acesso necessários para realizar o trabalho diário.

O que é Política de Grupo?

A Política de Grupo é uma ferramenta de gerenciamento de políticas que permite aos administradores definir controles em domínios ou subcategorias mais específicas. Introduzida pela primeira vez no Windows 2000 junto com o Active Directory, a Política de Grupo possui um número enorme de controles que podem ser implementados de forma tão abrangente ou tão limitada quanto necessário.

Como alguns exemplos, o recurso Group Policy pode ser usado para:

• Limite ou impeça o acesso a arquivos sensíveis
• Defina os requisitos de senha
• Permitir ou proibir aplicações
• Controle as configurações de rede e firewall
• Restringir o acesso ao Painel de Controle ou configurações do registro

Estas são apenas algumas das milhares de configurações disponíveis dentro da ferramenta. Esta ampla gama de opções permite que os administradores limitem o acesso excessivo enquanto ainda apoiam as operações diárias essenciais.

Explorando a Política de Grupo do Active Directory e a Política de Grupo Local

Este artigo trata principalmente da Group Policy no nível do Active Directory, que pode ser aplicada em uma unidade organizacional (OU) ou em um domínio inteiro. No entanto, o Windows também possui uma ferramenta chamada Local Group Policy, uma versão da Group Policy que oferece muitas das mesmas opções que a AD Group Policy, mas afeta apenas a estação de trabalho local do Windows.

Embora a Política de Grupo Local seja projetada para dispositivos individuais, você também pode usar a AD Group Policy para atribuir diferentes configurações a vários usuários na mesma máquina — por exemplo, um conjunto de configurações para usuários empresariais e outro para administradores.

As GPOs locais são separadas das GPOs do Active Directory e são mais adequadas quando o Active Directory não está disponível, como em máquinas que não estão conectadas a um domínio. O Editor de Política de Computador Local é usado para editar a Política de Grupo Local em um computador. Para abri-lo, basta clicar no botão Start e executar o comando GPEDIT.MSC.

Quais são os benefícios da Group Policy?

Como os exemplos anteriores começam a ilustrar, a Group Policy pode oferecer enormes benefícios, desde a melhoria da produtividade e segurança do usuário até a redução da carga de trabalho de TI. Aqui estão apenas mais algumas das maneiras que usar a Group Policy pode beneficiar sua organização:

• Garanta a disponibilidade dos arquivos e pastas de um usuário, juntamente com suas configurações personalizadas (como posição da barra de tarefas, seleção de papel de parede e ícones da área de trabalho) em todos os dispositivos que ele usa.
• Reforce a segurança exigindo o uso de protocolos fortes de rede e autenticação.
• Melhore a produtividade dos funcionários instalando e atualizando softwares fora do horário comercial.

Além disso, a Política de Grupo permite um controle bastante granular, desde restringir quais softwares podem ser instalados até limitar estrategicamente as configurações do Painel de Controle que os usuários podem modificar. Por exemplo, você pode permitir que os usuários ajustem a resolução da tela de acordo com suas necessidades, mas impedir que eles alterem as configurações de VPN.

O que é um GPO (Group Policy Object)?

Um Objeto de Política de Grupo (GPO) é um contêiner que armazena e organiza múltiplas configurações de Política de Grupo relacionadas. Por exemplo, um GPO pode armazenar configurações para configurações de desktop enquanto outro contém configurações de políticas de rede.

Dentro do Console de Gerenciamento de Política de Grupo, os GPOs são agrupados como nós sob uma estrutura de árvore padronizada. Se os administradores preferirem não usar uma interface gráfica, também é possível configurar os GPOs por meio do PowerShell ou outras ferramentas de linha de comando.

Os administradores devem criar, nomear e organizar os GPOs de maneira que seja fácil localizá-los e atualizá-los conforme necessário.

Como funciona uma GPO?

Cada GPO tem duas partes:

• O Computer node, que contém configurações de política aplicadas apenas a computadores, independentemente de quem esteja logado em um determinado momento. Exemplos incluem scripts de inicialização, scripts de desligamento e configurações que controlam como o firewall local deve ser configurado.
• O User node, que contém configurações de política aplicáveis apenas a usuários. Essas configurações seguem o usuário para cada máquina na qual ele faz login. Exemplos incluem scripts de logon, scripts de logoff e opções de acesso ao Painel de Controle.

Tanto os nós de Usuário quanto de Computador contêm três seções principais: Configurações de Software, Configurações do Windows e Modelos Administrativos. No entanto, existem diferenças dentro dessas divisões. Por exemplo, a seção de Modelos Administrativos do nó de Computador inclui Impressoras, mas essa seção do nó de Usuário não; suas opções incluem Pastas Compartilhadas, Área de Trabalho, Menu Iniciar e Barra de Tarefas.

Os GPOs do Active Directory são armazenados nos controladores de domínio (DCs).

Usando Group Policy Management (GPM) para Proteger Usuários e Dispositivos

Embora os Objetos de Política de Grupo simplifiquem o gerenciamento de configurações relacionadas, ter muitos GPOs pode introduzir complexidade. É aqui que a ferramenta de Gerenciamento de Política de Grupo é especialmente eficaz.

Gerenciamento de Política de Grupo (GPM) é um recurso acessível através do Console de Gerenciamento de Política de Grupo (GPMC) encontrado no menu Ferramentas do Gerenciador de Servidores Windows. Utilizando o Console de Gerenciamento de Política de Grupo, os administradores podem gerenciar qualquer GPO diretamente no Active Directory, permitindo uma maneira centralizada de controlar a Política de Grupo sem a necessidade de acessar diretamente quaisquer Controladores de Domínio.

Dentro do GPMC, os administradores podem criar, editar ou excluir GPOs por meio de uma interface gráfica clara, bem como vincular objetos a domínios, sites ou unidades organizacionais (OUs). Os GPOs até podem ser aplicados a computadores ou usuários individuais através do console, permitindo um conjunto de controles tão específicos quanto necessário. As configurações de cada Política de Grupo são facilmente acessíveis na interface, apoiando a gestão centralizada.

Dentro do Console de Gerenciamento de Política de Grupo existem duas categorias principais para GPOs: Configuração do Computador e Configuração do Usuário. Essas seções se dividem em Políticas e Preferências como uma maneira simplificada de controlar configurações de nível administrativo e gerenciadas pelo usuário, respectivamente.

Gerenciar GPOs dentro do Group Policy Management Console é simples: localize o objeto desejado a partir do menu da floresta e selecione-o. A partir daí, você pode:

• Edite a GPO
• Altere o Active Directory ao qual o GPO está vinculado
• Ativar ou desativar links de GPO
• Importar configurações predefinidas de GPO
• Faça backup dos GPOs

É fundamental fazer backup contínuo dos seus GPOs, em particular, para manter as proteções da sua organização em caso de um ciberataque ou erros não intencionais. Certifique-se de realizar backups regularmente, especialmente sempre que mudanças significativas forem feitas na Política de Grupo ou nos GPOs, e armazene os backups em um local centralizado para facilitar a restauração. Manter um histórico de backups tornará o processo de restauração ainda mais fácil, além de oferecer maior tranquilidade.

Vinculando sua GPO ao Contêiner Correto

Criar um Objeto de Política de Grupo (GPO) torna-o disponível dentro do domínio Active Directory onde foi criado. Para que um GPO tenha efeito, você precisa vinculá-lo a um ou mais contêineres, como os seguintes:

• Site: Se uma GPO está vinculada no nível do site, suas configurações afetam todas as contas de usuário e contas de computador naquele site, independentemente do domínio ou OU em que estejam.
• Domínio: Se uma GPO está vinculada no nível do domínio, ela afeta todos os usuários e computadores no domínio, bem como todas as UOs abaixo dele.
• Unidade organizacional: Se uma GPO está vinculada no nível da OU, ela afeta todos os usuários ou computadores nessa OU e todas as OUs abaixo dela (que são chamadas de OUs filhas ou sub-OUs).

Um determinado objeto de Política de Grupo pode ser vinculado a vários contêineres, mesmo em diferentes níveis. E um determinado contêiner pode ter mais de uma GPO vinculada a ele; nesse caso, você pode especificar a ordem na qual as GPOs são aplicadas.

As configurações de Política de Grupo são aplicadas na seguinte ordem: Local, site, domínio e, então, unidade organizacional (OU). Essa ordenação é importante porque as configurações de dois GPOs podem entrar em conflito; por exemplo, uma política no nível do domínio pode especificar uma configuração, enquanto uma política no nível da OU especifica uma configuração diferente. O resultado é simples: as configurações mais abaixo na cadeia alimentar têm precedência. Em casos de conflito, as configurações aplicadas por último têm precedência. No nosso exemplo, a configuração no nível da OU teria precedência sobre a configuração no nível do domínio. Embora isso possa parecer contraintuitivo, a chave é lembrar que a regra com a Política de Grupo é 'o último a escrever vence.'

Configurando Preferências de Política de Grupo

As Preferências de Política de Grupo (GPPrefs) são um conjunto de extensões do lado do cliente que expandem o alcance e as capacidades da Política de Grupo. Não são políticas, mas sim configurações configuráveis que os administradores podem gerir dentro da Consola de Gestão de Política de Grupo (GPMC). As Preferências de Política de Grupo permitem que você implante configurações padrão em computadores e usuários sem impô-las — os usuários ainda podem alterar as configurações se necessário. Por exemplo, você pode:

• Defina uma variável de ambiente que permite aos usuários acessar certos arquivos sem ter que inserir o caminho completo todas as vezes.
• Copie arquivos de um servidor para a máquina de um usuário.
• Exclua o conteúdo de uma pasta específica todos os dias.
• Envie determinadas configurações de registro para todas as máquinas cliente.
• Criar ou deletar compartilhamentos em estações de trabalho ou servidores.
• Crie atalhos nos desktops.
• Mapeie unidades de rede.
• Altere as associações de arquivo.
• Configure conexões VPN e discadas.
• Modifique as opções de energia, como o tempo até o monitor entrar em modo de espera.
• Gerencie impressoras compartilhadas.
• Defina tarefas agendadas.
• Faça alterações no menu Iniciar.

As preferências podem ser personalizadas com condições que controlam quando e como são aplicadas. Ao contrário da Política de Grupo do AD, as Preferências de Política de Grupo também podem ser configuradas para se aplicarem apenas a usuários ou dispositivos específicos por meio de direcionamento no nível do item. Uma determinada GPO pode conter tantas ou tão poucas dessas preferências quanto necessário.

Netwrix simplifica Objetos de Política de Grupo e Management.

Gerenciar a Política de Grupo pode ser complexo, mas configurá-la corretamente é crítico — apenas uma GPO mal configurada pode impactar a segurança e interromper a continuidade dos negócios. Para garantir que você possa definir, gerenciar e acompanhar essas configurações de forma confiável, a Netwrix oferece uma linha abrangente de soluções para controlar a Política de Grupo, incluindo:

• Netwrix Endpoint Policy Manager simplifica a gestão de Group Policy ao limpar e consolidar GPOs. Reduzir o número de objetos geridos ajuda a melhorar os tempos de login, reforçar a segurança, aumentar o tempo de atividade e minimizar erros de configuração.
• Netwrix Auditor capacita você a identificar rapidamente alterações indesejadas em objetos de Política de Grupo para que você possa corrigi-las antes de sofrer uma violação ou outros problemas. Seus relatórios predefinidos vão muito além das ferramentas nativas, fornecendo detalhes completos sobre cada alteração, incluindo qual GPO foi afetado, quem fez a alteração, quando foi feita, de qual estação de trabalho originou e os valores antes e depois.

Como apenas um exemplo real da aplicação destas ferramentas, o varejista de eletrônicos automotivos Crutchfield precisava de uma maneira mais eficiente de gerenciar aplicações exigidas pelos usuários internos, como o navegador Firefox. No entanto, a equipe de TI da empresa teve dificuldades para garantir que este software fosse instalado e atualizado de acordo com as melhores práticas de segurança.

Com o Endpoint Policy Manager implementado nos 750 dispositivos da Crutchfield, a segurança de aplicações tornou-se um processo automatizado e simplificado, substituindo revisões manuais em dezenas de dispositivos. Agora, o departamento de TI da Crutchfield está prontamente apto a aceitar quase qualquer solicitação para integração de novas aplicações, mantendo ainda assim uma postura de segurança robusta.

Saiba mais sobre como a Netwrix pode ajudar sua organização a desenvolver e gerenciar a Política de Grupo para uma segurança eficaz e pronta para auditoria.

Perguntas frequentes sobre Group Policy

O que é Group Policy no Active Directory?

A Política de Grupo é um recurso do Windows que permite o gerenciamento centralizado de computadores e contas de usuário. A Política de Grupo do Active Directory possibilita o gerenciamento de todo o ambiente, enquanto a Política de Grupo Local permite o gerenciamento granular dos vários usuários em uma máquina específica.

Em qualquer nível, a Política de Grupo pode controlar elementos-chave do seu servidor, como configurações de rede e firewall, controles de acesso a arquivos, requisitos de senha ou quais configurações podem ser alteradas no Painel de Controle. Isso permite que os administradores estabeleçam proteções eficazes de forma mais rápida e fácil em todos os dispositivos, ao mesmo tempo que permitem que os usuários individuais acessem os arquivos, configurações e aplicativos necessários para realizar suas tarefas diárias.

O que é um Objeto de Política de Grupo (GPO)?

Um Objeto de Política de Grupo (GPO) é uma coleção de controles de Política de Grupo que se relacionam com o mesmo componente, como Configuração de Desktop ou Configuração de Rede. Os GPOs são criados por administradores como uma forma de organizar mais claramente e efetivamente várias configurações, bem como para melhor demonstrar o propósito por trás de cada política.

O que é Gerenciamento de Política de Grupo?

O Gerenciamento de Política de Grupo é uma ferramenta que permite aos administradores visualizar, editar e excluir configurações de Política de Grupo. O recurso fornece uma interface gráfica a partir da qual os profissionais de segurança podem gerenciar GPOs com a especificidade necessária, incluindo o gerenciamento da Configuração do Computador e Configuração do Usuário, bem como as Políticas e Preferências para ambos. A ferramenta também oferece um recurso de backup pronto para uso para GPOs, a fim de garantir melhor a continuidade das configurações no caso de falha do sistema.

O que é a Política de Grupo do Windows?

A Política de Grupo do Windows é um termo às vezes usado para se referir à Política de Grupo local, ou um conjunto de políticas que se aplicam apenas a um computador específico. Os controles em uma Política de Grupo local são efetivamente idênticos àqueles encontrados na Política de Grupo do Active Directory e, portanto, são melhor utilizados para máquinas que não estão conectadas a um domínio ou que estão de outra forma inacessíveis pelo Active Directory. No entanto, observe que controles específicos do computador ainda podem ser promulgados e aplicados usando a Política de Grupo do AD.

Por que as organizações precisam de Group Policy?

A Política de Grupo oferece um método simples para configurar as definições de utilizadores e computadores em computadores integrados no domínio sem a necessidade de configurar manualmente cada computador. Ao definir controles de segurança dentro da Política de Grupo e organizar esses protocolos em GPOs, os profissionais de segurança ganham uma plataforma centralizada a partir da qual podem monitorar e gerir de forma abrangente a segurança em toda a rede. Como a Política de Grupo também permite a adição extensiva de regras, exceções e estipulações, ela até facilita a adoção segura de novas aplicações e ajuda a garantir que todos os funcionários tenham exatamente o nível de acesso de que precisam para realizar as responsabilidades diárias.

Os administradores podem controlar as atualizações automáticas dentro da Política de Grupo?

Você pode habilitar atualizações automáticas de Política de Grupo usando o Editor de Política de Grupo, que inclui uma opção para receber atualizações automaticamente do Windows Server Update Services (WSUS). Expanda Configuração do Computador > Modelos Administrativos > Componentes do Windows, e então clique em Windows Update. Na janela Configurar Atualizações Automáticas , selecione a caixa de seleção Habilitado, e escolha a opção preferida para baixar e instalar atualizações. Essas opções são descritas em detalhes na seção de Ajuda à direita. Administradores podem personalizar ainda mais como as atualizações são recebidas especificando se os usuários recebem notificações de atualização, com que frequência verificar por atualizações, se sua rede pode aceitar atualizações assinadas por entidades além da Microsoft e mais