用HI和应用程序策略强化终端的本地安全策略
问题
在工作组的环境中，我们没有办法通过一个类似 AD 的组策略模式，将所有终端上的本地安全策略（主要针对密码策略）设置为强密码要求等，但是，我们可以通过 SEP 来实现这个管理需求。
我们可以通过设置 SEP 中的 HI 策略，来强化终端上的本地安全策略，比如，设置 密码为：密码必须满足复杂度要求、密码长度至少为 8 位、密码有效期为 30 天。 并且还可以通过设置 SEP 中的应用程序策略，来阻止终端用户修改这些策略。
环境
本文档中，我们使用的软件版本分别为：
SEP/SEPM： RU6MP1 (11.0.6100.645)
SEP 客户端操作系统平台：Windows XP Professional SP3, Windows 7 Enterprise Edition
SEPM 操作系统平台：Windows Server 2003 R2 Enterprise SP2
解决方案
配置 HI 策略
下面介绍如何配置HI 策略：
1. 新建一个 HI 策略，并添加“自定义要求”。
2. 添加“IF...THEN…”循环：
■ 首先，检查注册表键值： HKEY_LOCAL_MACHINE\SOFTWARE\Symantec\PasswordCheck
如果键值为 1，则说明客户端之前已经收到过这个 HI 策略，如果键值为 0，则说明客户端之前从未收到过这个 HI 策略。
■ 如果检查结果为注册表键值等于 1，则弹出一个消息窗口，通知用户已经 更新过 HI 策略：
■ 否则，我们运行一个 bat 脚本，将终端上的本地安全策略更新，并设置注 册表键值HKEY_LOCAL_MACHINE\SOFTWARE\Symantec\PasswordCheck 为 1：
完整的脚本内容如下：
Set CreateFile = CreateObject("scripting.FileSystemObject")
Set WriteFile = CreateFile.CreateTextFile
("C:\Windows\PasswordCheck.inf", True)
WriteFile.WriteLine("[Unicode]")
WriteFile.WriteLine("Unicode=yes")
WriteFile.WriteLine("[Version]")
WriteFile.WriteLine("signature=""$CHICAGO$""")
WriteFile.WriteLine("Revision=1")
WriteFile.WriteLine("[System Access]")
WriteFile.WriteLine("MinimumPasswordAge = 0")
WriteFile.WriteLine("MaximumPasswordAge = 30")
WriteFile.WriteLine("MinimumPasswordLength = 8")
WriteFile.WriteLine("PasswordComplexity = 1")
WriteFile.Close
Set RunPasswordCheck=wscript.createObject("wscript.shell")
Const RegPasswordCheck = "HKLM\SOFTWARE\Symantec\PasswordCheck"
RunPasswordCheck.Run("secedit /configure /cfg
c:\windows\PasswordCheck.inf /db
%windir%\security\Database\secsetup.sdb
/log %windir%\security\logs\PasswordCheck.log")
RunPasswordCheck.RegWrite RegPasswordCheck, "1"
wscript.quit
■ 在终端提出一个消息框，通知终端用户已经被修改了本地安全策略：
■ 最后设置 HI 检查结果为 PASS：
策略下发之后，如果终端是第一次收到这条 HI 策略，终端用户会看到一 个如下的通知消息：
如果终端用户之前已经应用过这条 HI 策略，则通知消息为：
配置应用程序控制策略
下面介绍如何配置应用程序控制策略。
1. 新建应用程序控制策略。
2. 将此策略应用到所有进程：
3. 添加两个“文件和文件夹访问尝试”条件。将第一个条件的作用文件设置为：
C:\Windows\System32\secpol.msc，作用是禁止用户更改本地安全策略。
4. 将第二个条件的作用文件夹设置为： C:\Windows\System32\GroupPolicy\*， 作用是禁止用户更改组策略。
策略下发到终端之后，如果终端用户试图打开本地安全策略来进行修改，会看 到一个如下的警告窗口：
如果终端用户试图打开组策略进行修改，会看到一个如下的警告窗口：
From Symantec
专家点评：
HI是Symantec Network Access Control（SNAC）中的Host Integrity（主机完整性）。它可以通过自定义（甚至自我编程），来检查系统或完善修正系统。现在SNAC只作为SEP的一个Option，而不是单独的产品来销售。通过上例，众位看官应该已经发现此功能及其强大。
SEP与LiveUpdate及病毒库升级