Chúng tôi xin giới thiệu cách đảm bảo an toàn bằng tài khoản hạn ch�� và Software Restriction Policy.

Những cách như Tắt Shell hardware detection có th�� ngăn virus Autorun nhưng có th�� làm tắt luôn tính năng Autoplay. Tạo thư mục AUTORUN.INF trên USB có th�� ngăn virus lây lan qua tệp autorun.inf nhưng không th�� cấm virus ghi các tệp khác. C�� hai cách trên không đảm bảo chặn hoàn toàn các loại virus/worm��, lây nh�� s�� ng�� nghệch của người dùng khi h�� nhấn đúp vào tệp thi hành của nó.

Chúng ta có th�� đ�� tội cho người dùng khi h�� gọi tệp Phimnguoilon.exe, nhưng làm sao h�� có th�� luôn nhận ra những mẹo lừa ngày càng tinh vi như đặt tên tệp thi hành trùng với tên các thư mục trên USB, dùng biểu tượng thư mục cho các tệp thi hành chứa mã độc�� Đ�� ngăn chặn tận gốc các loại mã độc, chúng ta cần kiểm soát chặt ch�� việc thực thi các phần mềm. S�� dụng tài khoản người dùng có quyền hạn ch�� s�� ngăn chặn kh�� năng lây lan của những loại mã độc cần tới quyền quản tr�� h�� thống (chẳng hạn như ghi vào mục HKEY_LOCAL_MACHINE trong registry hay lưu tệp vào thư mục Windows).

Với công c�� có tên gọi Software Restriction Policy do Microsoft cung cấp (k�� t�� phiên bản Windows 2000), chúng ta có th�� chặn c�� những tệp thi hành do người dùng vô tình hay c�� ý đem v�� máy và chấm dứt nguy cơ mà mọi tệp dạng Phimnguoilon.exe đem tới dù chúng được ngu�� trang bằng cách gì đi nữa. Ý tưởng chính của cách kết hợp Software Restriction Policy với việc s�� dụng tài khoản hạn ch�� có th�� được minh ho�� một cách đơn giản bằng hình dưới đây.

Bằng biện pháp phân quyền của Windows (áp dụng cho h�� thống tệp NTFS), chúng ta có th�� ch�� cho phép người dùng và mọi loại mã độc “đi theo�� h�� lưu tệp �� những thư mục nhất định, còn Software Restriction Policy (SRP) s�� giúp cấm việc thực thi mọi phần mềm nằm ngoài phạm vi h�� thống cho phép.

Cách thiết lập SRP ch�� gồm vài bước khá đơn giản

Bước 1: Sau khi đăng nhập bằng tài khoản Administrator, bạn nhấn nút Start > Run rồi gõ gpedit.msc vào hộp thoại Run và nhấn nút OK đ�� m�� ra màn hình Group Policy. Chuyển tới mục Computer Configuration > Windows Settings > Security Settings rồi nhấn chuột phải vào dòng Software Restriction Policies và tạo một chính sách mới.

Bước 2: Áp dụng Software Restriction Policy cho tất c�� các phần mềm và mọi người dùng tr�� những tài khoản thuộc nhóm Local Administrators bằng cách nhấn đúp vào dòng Enforcement �� khung bên phải của màn hình Group Policy rồi chọn như trong hình dưới đây. S�� dĩ chúng ta cần đặt ngoại l�� cho các tài khoản quản tr�� local là vì nếu không làm như vậy, việc cài đặt/g�� b�� các phần mềm có th�� phát sinh lỗi.

Bước 3: Nhấn đúp vào dòng Designated File Types trong khung bên phải của Group Policy. Một hộp thoại s�� m�� ra, hãy tìm tới dòng LNK trong danh sách các kiểu tệp và chọn Delete. Điều này cho phép người dùng s�� dụng các shortcut trên Desktop và các biểu tượng �� thanh Quick Launch như bình thường.

Bước 4: Chuyển tới mục Security Levels đ�� bật ch�� đ�� bảo v�� bằng cách nhấn chuột phải vào dòng Disallowed rồi chọn Set as default.

Bạn cần xác nhận điều này bằng cách nhấn vào nút Yes khi thông báo sau xuất hiện.

Với những trường hợp ngoại l��, ví d�� như khi một s�� phần mềm cài đặt vào thư mục riêng, không nằm trong thư mục Program Files, các bạn có th�� nhấn chuột phải vào dòng Additional Rules và chọn New Path Rule đ�� b�� sung quy tắc ph��. Nếu cần quản tr�� chi tiết và d�� dàng hơn, các bạn có th�� nh�� tới s�� tr�� giúp của các phần mềm th�� ba.