如何在 Windows Server 2008 R2 Standard Edition 中使用域用户的组策略禁用所有浏览器的下载？

Question

我们使用的是 Windows server 2008 R2 版本。

我需要为域用户禁用下载选项的组策略。

任何人请让我知道策略设置。

提前致谢。

Answer 1

您正在寻找的东西听起来很简单，但实际上并非如此。

当您说“所有浏览器”时，我倾向于认为您指的是第三方网络浏览器软件（Google Chrome、Firefox、Opera、wget、curl 等）。您会发现第三方 Web 浏览器软件比 Internet Explorer 更不容易受组策略控制。

通过“下载”，我认为您是在说“将 HTTP(S) 可访问资源的内容保存到磁盘文件，同时仍允许用户查看网页”。考虑到这正是浏览器在访问网站以允许用户查看页面时所做的事情，我认为您会遇到困难。如果机器能够通过 HTTP(S) 与其他主机任意通信，并且用户可以执行任意代码，则用户可以“下载”。

您的选择是取消用户执行任意代码的能力和/或取消计算机与其他主机任意通信的能力。软件限制策略是第一个的最佳选择，而网络过滤设备/应用程序是第二个的最佳选择。

您可以通过组策略使用 IE 的“安全区域”和其他设置玩游戏，但坚定的攻击者将能够绕过此类游戏，即使他们无法执行任意代码。如果攻击者可以在他们自己的存储介质上运行他们带来的 wget 副本，那么世界上所有的组策略阴谋也不会帮助你。