Wordt een computer door meer dan één persoon gebruikt, dan raakt deze al snel vervuild. De een installeert een programmaatje, de ander een toolbar, weer een ander weet de computer te besmetten met spyware of een virus en ga zo maar door. Stapelt de vervuiling zich op, dan is de computer binnen de kortste keren niet meer vooruit te branden. Een tijdrovende herinstallatie is dan onvermijdelijk om het systeem weer op orde te krijgen. Dergelijke problemen komen vaak voor bij gedeelde computers omdat het met de standaard middelen niet altijd mogelijk is ongewenste handelingen te blokkeren.
Gelukkig is er een gratis alternatief waarmee ongewenst gebruik van de gedeelde computer eenvoudig en doeltreffend te lijf kan worden gegaan. De door Microsoft ontwikkelde beheertool Windows SteadyState beschermt tegen ongeautoriseerde wijzigingen in het systeem en geeft bovendien middels het toekennen van beperkingen controle over het computergedrag van de verschillende gebruikers(groepen). Omdat het besturingssysteem dankzij deze beveiligingsmaatregelen niet kan vervuilen, wordt het benodigde onderhoud met Windows SteadyState tot een minimum beperkt!
Windows SteadyState kan in de volgende situaties goed van pas komen:
Deze pagina legt uit hoe een gedeelde computer met behulp van SteadyState kan worden beveiligd zodat vervuiling of misbruik wordt voorkomen. Het programma is zeer gebruikersvriendelijk, je hoeft absoluut geen whizzkid te zijn om ermee aan de slag te gaan!
Het installeren en afstellen van Windows SteadyState (de download is niet meer beschikbaar) is dankzij de eenvoud voor iedereen goed te doen. De meest recente versie van SteadyState is geschikt voor de 32-bits versie van zowel Windows XP als Windows Vista (64-bits versie van Windows Vista en beide versies van Windows 7 worden dus niet ondersteund, zie ook Microsoft TechNet). Voor SteadyState is minimaal 1,5 Gb beschikbare schijfruimte van de Windows-partitie benodigd. Wordt tevens schijfbescherming ingeschakeld, dan kan de gereserveerde schijfruimte oplopen tot 50% van de nog beschikbare schijfruimte (met een maximum van 40 Gb). De partitie moet overigens wel zijn voorzien van het NTFS-bestandssysteem.
De beste resultaten worden behaald door SteadyState op een recente Windows-installatie te installeren. Hiermee wordt namelijk voorkomen dat reeds geďnstalleerde software aan de aandacht van SteadyState ontsnapt waardoor mogelijk tóch nog ongewenste activiteiten kunnen plaatsvinden. Omdat schijfbescherming de Windows-partitie na elke herstart weer in oorspronkelijke staat herstelt, is het verstandig de nieuwe Windows-installatie eerst optimaal af te stellen en de interne schijf te defragmenteren vóórdat SteadyState wordt geďnstalleerd! Het installeren en afstellen van SteadyState kan overigens uitsluitend vanuit een account met beheerrechten (ook wel administratoraccount genoemd).
LET OP: Onder bepaalde omstandigheden kan het gebeuren dat Windows na installatie van SteadyState niet meer opstart (zo kan de slechte ondersteuning van RAID-configuraties problemen veroorzaken). Treden er na installatie van SteadyState dergelijke (onherstelbare) problemen op, dan is een herinstallatie van Windows in de meeste gevallen de enige oplossing. Dit is de reden waarom ik adviseer SteadyState alleen toe te passen op een recente Windows-installatie. Wordt SteadyState tóch op een oude installatie geďnstalleerd, stel dan in ieder geval eerst de persoonlijke bestanden veilig...
Zowel bij het downloaden als bij het installeren van Windows SteadyState wordt Windows eerst gevalideerd om te controleren of er sprake is van een legale Windows-versie. Tijdens de setup wordt geadviseerd de Windows Live Toolbar te installeren, deze is echter niet nodig. De optie Windows Live Toolbar installeren kan dus net zo goed worden uitgevinkt. Na afronding van de setup is het basisscherm van SteadyState direct toegankelijk via een snelkoppeling op het bureaublad.
Nu Windows SteadyState is geďnstalleerd, kunnen de Algemene computerinstellingen (zie het basisscherm) worden doorlopen. De algemene instellingen bij de onderdelen Computerbeperkingen instellen, Software-updates plannen en De vaste schijf beschermen zijn van toepassing op álle accounts (ongeacht of deze in SteadyState zijn aangemaakt), dus ook op een administratoraccount.
Computerbeperkingen instellen
Via de optie Computerbeperkingen instellen kunnen algemene privacy- en beveiligingsbeperkingen worden
opgelegd. De standaard instellingen van SteadyState (zie afbeelding) zullen naar gelang het gebruik van de computer moeten worden aangepast. Zo
vraagt een openbare computer een andere afstelling dan een thuiscomputer. Bij een openbare computer is het bijvoorbeeld verstandig de optie De gebruikersnaam Administrator verwijderen uit
het welkomstscherm te activeren. Voor een thuiscomputer (met voor elke gebruiker een eigen gebruikersaccount) kan het juist weer nuttig zijn de optie
Gebruikersnamen of wachtwoorden voor aanmelding bij Windows Live ID of het domein niet opslaan te deactiveren zodat de inloggegevens voor Windows Live
per gebruikersaccount worden onthouden. Afhankelijk van de situatie kunnen de laatste drie beveiligingsinstellingen ook nog interessant zijn. De optie
Het welkomstscherm inschakelen (alleen in Windows XP) kan over het algemeen beter aan blijven staan.
De optie De vaste schijf beschermen (ook wel Windows-schijfbescherming genoemd) is waarschijnlijk wel de belangrijkste feature van SteadyState. Nadat schijfbescherming is ingeschakeld, wordt de Windows-partitie (meestal is dat de C:-schijf) namelijk bij elke herstart van de computer weer in oude staat (dat is de staat op het moment dat deze optie wordt ingeschakeld) hersteld. Elke wijziging in de (systeem)bestanden zoals opslaan, wijzigen, overschrijven of verwijderen wordt slechts virtueel aangebracht. In werkelijkheid houdt schijfbescherming de wijzigingen namelijk alleen in het cachebestand (Cache.WDP in de root van de Windows-partitie (meestal C:\)) bij, de oorspronkelijke bestanden blijven dus intact. Na elke herstart leegt schijfbescherming het cachebestand waardoor de virtuele wijzigingen op de Windows-partitie weer ongedaan worden gemaakt. Deze methode maakt het (vrijwel) onmogelijk ongeautoriseerde wijzigingen in het systeem door te voeren!
Omdat tijdens het afstellen van zowel Windows als SteadyState wijzigingen op de Windows-partitie moeten worden aangebracht, is het verstandig schijfbescherming pas te activeren nadat alle instellingen naar wens zijn afgesteld. Om deze reden wordt het instellen van schijfbescherming besproken nadat alle overige instellingen van SteadyState zijn behandeld.
Met de optie Software-updates plannen kan worden vastgelegd op welk tijdstip en met welke frequentie updates moeten worden gedownload en geďnstalleerd. Naast de essentiële updates voor Windows en andere Microsoft-producten kunnen ook updates voor beveiligingsprogramma's worden ingepland, het is alleen jammer dat SteadyState maar weinig virusscanners ondersteunt. Is bekend welke scripts nodig zijn voor het uitvoeren van de updates voor de beveiligingsprogramma's, dan kunnen ze eventueel nog met de optie Aangepaste updates worden ingepland. Deze methode is echter niet altijd even eenvoudig.
Omdat schijfbescherming de (gevirtualiseerde) wijzigingen op de Windows-partitie na elke herstart weer ongedaan maakt, worden ook virussen automatisch weer van de interne schijf verwijderd. Hoewel de toegevoegde waarde van een virusscanner met deze wetenschap in twijfel kan worden getrokken, adviseert Microsoft naast SteadyState toch ook nog een virusscanner te installeren...
Is schijfbescherming actief, dan schakelt deze op het ingestelde tijdstip (middels een herstart) tijdelijk over naar het niveau Alle wijzigingen permanent behouden zodat de updates daadwerkelijk op de systeempartitie geďnstalleerd kunnen worden. De op dat moment ingelogde gebruiker zal verplicht worden afgemeld (dit geldt voor elk type account, dus ook voor de administratoraccounts!) zodat schijfbescherming de computer in de onderhoudsmodus kan zetten.
Het installeren van updates kost wel wat tijd. Gedurende dit onderhoud wordt de computer namelijk automatisch enkele keren opnieuw opgestart, ondermeer voor het uit- en weer inschakelen van schijfbescherming (het totale aantal herstarts is afhankelijk van de te installeren updates). Maar ook na het installeren van de Microsoft-updates kan het vrij lang duren voordat het bureaublad weer toegankelijk is.
Omdat het updaten volledig automatisch verloopt, is een met SteadyState uitgeruste computer (nagenoeg) onderhoudsvrij. Dat is een groot pluspunt ten opzichte van vergelijkbare oplossingen (zoals een hardwarematige harddisk controller in combinatie met een verborgen partitie voor het toepassen van de virtualisatie)!
Nadat de algemene computerbeperkingen zijn ingesteld, kunnen de gebruikersaccounts worden aangemaakt zodat straks per gebruiker(sgroep) specifieke beleidsregels (lees: beperkingen) kunnen worden opgelegd. Terwijl in de thuissituatie waarschijnlijk per individuele gebruiker een account zal worden aangemaakt, is het voor een openbare computer praktischer om met doelgroepaccounts te werken.
Nieuwe gebruikersaccounts kunnen via de optie Een nieuwe gebruiker toevoegen (rechts in het basisscherm) worden toegevoegd. In dit voorbeeld zijn de gebruikersaccounts Kids en Test aangemaakt. De via SteadyState aangemaakte gebruikersaccounts komen uiteindelijk in het welkomstscherm van Windows te staan (naast de in Windows aangemaakte gebruikersaccounts) en zijn tevens zichtbaar als account met beperkte rechten bij het onderdeel Gebruikersaccounts in het configuratiescherm. Aangezien de in Windows aangemaakte gebruikersaccounts niet van gebruikersbeperkingen kunnen worden voorzien, is het (zeker bij openbare computers) verstandig deze accounts uit het welkomstmenu te verwijderen (indien aanwezig).
Gebruikersaccounts kunnen het beste op de Windows-partitie worden aangemaakt omdat schijfbescherming enkel deze partitie tegen ongewenste wijzigingen beschermt. Een op een afwijkende partitie geďnstalleerd gebruikersprofiel kan dus niet automatisch door schijfbescherming worden hersteld. Bij het aanmaken van een nieuw profiel op een afwijkende partitie toont schijfbescherming een waarschuwing. Jammer genoeg blijft deze waarschuwing achterwege wanneer schijfbescherming nog niet is geactiveerd...
SteadyState is ook in de veilige modus van Windows bereikbaar (druk tijdens het opstarten van Windows meerdere malen op F8 om daar te komen). Schijfbescherming is op dat moment echter niet actief, wijzigingen kunnen dus niet ongedaan worden gemaakt. In het welkomstscherm van de veilige modus worden de in SteadyState aangemaakte accounts overigens niet getoond.
Om misbruik te voorkomen is het raadzaam elk gebruikersaccount (dus óók de niet in SteadyState aangemaakte accounts) van een wachtwoord te voorzien. Het spreekt voor zich dat het vrij eenvoudig is de opgelegde beperkingen te omzeilen wanneer het administratoraccount (waarmee SteadyState wordt afgesteld) niet van een wachtwoord is voorzien Uitzondering op deze regel is wellicht een in SteadyState aangemaakt account dat qua mogelijkheden volledig is beperkt: deze is zó veilig afgesteld dat het desnoods zonder wachtwoord gebruikt kan worden.
LET OP: Houd er rekening mee dat Windows XP Home standaard is voorzien van een verborgen extra administratoraccount met de naam Administrator. Dit account wordt alleen in de veilige modus getoond en is standaard niet met een wachtwoord beveiligd. Aangezien SteadyState vanaf elk administratoraccount kan worden ingesteld, is het van groot belang ook dit account van een wachtwoord te voorzien!
Elk gebruikersaccount krijgt persoonlijke gebruikersinstellingen toegewezen zodat per gebruikersprofiel vrij nauwkeurig kan worden vastgelegd welke handelingen al dan niet zijn toegestaan (het venster Gebruikersinstellingen opent met een klik op het betreffende gebruikersaccount in het basisscherm). Via de gebruikersinstellingen kan de beheerder het computergebruik van de verschillende gebruikers(groepen) dus vrij eenvoudig aan banden leggen.
Is een account niet van de juiste gebruiksbeperkingen voorzien, dan kan de gebruiker vrij gemakkelijk de nodige beveiligingen omzeilen. Het is dus verstandig alle opties kritisch te doorlopen. Ook hier geldt dat een openbare computer een andere instelling vraagt dan een thuiscomputer, de beste instellingen zullen dus per geval verschillen.
De belangrijkste optie op tabblad Algemeen is de optie Profiel vergrendelen zodat gebruiker geen permanente wijzigingen kan doorvoeren. Met deze optie wordt elke wijziging in het gebruikersprofiel na afmelding van het account standaard weer ongedaan gemaakt zodat het gebruikersprofiel telkens weer naar de oorspronkelijke instellingen wordt hersteld (in het basisscherm is te zien welke accounts zijn vergrendeld). Deze optie is met name interessant voor doelgroepaccounts op openbare computers, maar kan ook voor een doelgroepaccount op de thuiscomputer (bijvoorbeeld het account Kids) goed van pas komen.
LET OP: Wanneer het profiel is vergrendeld, kan de gebruiker wél (persoonlijke) bestanden in de accountspecifieke mappen opslaan maar worden deze na een herstart autmatisch weer verwijderd! Voor het opslaan van persoonlijke documenten zal dus een andere locatie op de interne schijf of een USB-stick moeten worden gebruikt (mits toegestaan)...
Tabblad Algemeen bevat ook sessietimers waarmee de duur van het computergebruik kan worden beteugeld. Met de optie Afmelden na ... minuten in gebruik wordt het account na het verstrijken van de opgegeven tijdslimiet automatisch afgelogd. De gebruiker wordt hiervan (middels een pop-up) tijdig op de hoogte gebracht zodat openstaande bestanden nog veiliggesteld kunnen worden. Dit is natuurlijk wel tricky, want het kan zomaar gebeuren dat de sessietijd verstrijkt nčt wanneer de gebruiker de pc even heeft verlaten (bijvoorbeeld om een kop koffie in te schenken)... Bestandsverlies is dus niet ondenkbaar (wellicht is het daarom ook verstandig de optie Afmelden na ... minuten niet actief niet te gebruiken). Eventueel kan de gebruiker met de optie Altijd de aftelling voor de sessie weergeven gedurende de gehele sessie op de hoogte worden gehouden van de nog resterende tijd. De optie Computer opnieuw opstarten na afmelden is in combinatie met Windows-schijfbescherming interessant omdat gebruikers zodoende nooit geconfronteerd zullen worden met door vorige gebruikers aangebrachte (systeem)wijzigingen en/of een volgelopen cachebestand (veroorzaakt door te veel virtuele wijzigingen).
Op het tabblad Windows-beperkingen kunnen beperkingen voor specifieke Windows-functies worden opgelegd. Naast een uitgebreide lijst mogelijkheden voor het startmenu (deze kan bijna volledig worden uitgekleed) zijn er ook enkele beleidsregels voor algemene Windows-functies (zoals het openen van taakbeheer, het branden van CD's e.d.) en -programma's (zoals de opdrachtprompt, de registereditor, Kladblok e.d.).
Dit tabblad is (net als tabblad Functiebeperkingen) voorzien van vooringestelde beperkingsniveaus (variërend van veel tot geen beperkingen). Hoewel de beperkingen met deze vooringestelde beperkingsniveaus erg gemakkelijk kunnen worden ingesteld, is het verstandiger de verschillende mogelijkheden stuk voor stuk te controleren op relevantie. Blijkt een account achteraf te strikt afgesteld, dan is het altijd nog mogelijk bepaalde beperkingen weer op te heffen.
LET OP: Met het onderdeel Stuurprogramma's verbergen onderaan dit tabblad kunnen partities voor het gebruikersaccount worden verborgen. De benaming "stuurprogramma's" is echter wat ongelukkig vanuit het Engels vertaald, dit had "stations" moeten zijn.
Op het tabblad Functiebeperkingen kan de functionaliteit van Internet Explorer en het Microsoft Office-pakket worden beperkt. De internettoegang kan desgewenst in zijn geheel worden afgesloten ňf worden beperkt tot een lijst met goedgekeurde websites (eerste optie bij Beperkingen voor Internet Explorer). Deze websites kunnen onderaan het tabblad bij de optie Toegestane websites worden opgegeven (de domeinnamen worden gescheiden met het ;-teken).
TIP: Om het de gebruiker gemakkelijk te maken kunnen de toegestane websites aan de lijst met favorieten worden toegevoegd en/of als snelkoppelingen op het bureaublad worden geplaatst.
Op het laatste tabblad kunnen programma's worden toegevoegd aan de lijst Geblokkeerde programma's. Een in het linker venster geselecteerd programma wordt met een druk op de knop Blokkeren aan de lijst met geblokkeerde programma's toegevoegd. Bedenk wel dat alleen de programma's worden getoond die in de mappen Program files en Windows zijn geďnstalleerd. Programma's die niet op een van deze standaardlocaties staan, kunnen pas worden geblokkeerd nadat ze via de knop Bladeren handmatig aan de lijst met programma's zijn toegevoegd.
Moeten meerdere gebruikersaccounts (al dan niet op verschillende computers) op dezelfde wijze worden afgesteld, dan is het praktischer om slechts één gebruikersaccount optimaal af te stellen. Deze instellingen kunnen vervolgens met de optie Gebruiker exporteren (rechts in het basisscherm van SteadyState) naar een andere locatie worden gekopieerd. Met de optie Gebruiker importeren kunnen de instellingen vervolgens weer eenvoudig bij een ander gebruikersaccount worden geďmporteerd.
Feitelijk zou het opleggen van de juiste beperkingen in combinatie met een vergrendeld account (zie tabblad Algemeen) al voldoende moeten zijn om een stabiel systeem te garanderen. Het is ondanks deze maatregelen echter nooit helemaal te garanderen dat het systeem intact blijft. Door Windows-schijfbescherming (optie Alle wijzigingen verwijderen bij opnieuw opstarten) te activeren, kunnen de (systeem)bestanden op de Windows-partitie echter permanent worden beveiligd tegen ongewenste wijzigingen. Omdat schijfbescherming alle wijzigingen op de Windows-partitie in het cachebestand (Cache.WDP) virtualiseert (en dus niet werkelijk in de originele bestanden uitvoert), maakt deze feature het (vrijwel) onmogelijk wijzigingen in het systeem door te voeren.
De virtualisatie heeft alleen betrekking op bestandswijzigingen op de Windows-partitie (doorgaans C:). Wijzigingen op de overige partities kunnen dus niet door schijfbescherming worden teruggedraaid! In een thuissituatie kunnen deze niet beveiligde partities worden aangewend om persoonlijke bestanden op te slaan. In overige situaties is het wellicht verstandiger de betreffende partities door SteadyState te laten verbergen (zie tabblad Windows-beperkingen) of de computer gewoonweg met niet meer dan één partitie uit te rusten.
Omdat schijfbescherming als een extra schil over Windows wordt gelegd, heeft dat niet alleen gevolgen voor de gebruikersaccounts maar ook voor de administratoraccounts! Vandaar dat schijfbescherming bij het afmelden van een administratoraccount standaard een venster met opties toont waarmee de beheerder kan aangeven of de in die sessie aangebrachte wijzigingen permanent opgeslagen moeten worden. Kiest de administrator ervoor de wijzigingen bij het afsluiten op te laten slaan, dan wordt Windows automatisch in de onderhoudsmodus opgestart waarbij schijfbescherming tijdelijk op non-actief wordt gezet. De in het cachebestand opgeslagen wijzigingen kunnen vervolgens definitief worden doorgevoerd. Hoewel deze methode de nodige voordelen biedt, is het wel even wennen...
LET OP: Wijzigingen worden alleen doorgevoerd wanneer dat binnen de gestelde tijd (60 seconden) expliciet wordt bevestigd. Is na het verstrijken van de tijd geen keuze gemaakt, dan worden de in het cachebestand opgeslagen wijzigingen automatisch gewist. Ga dus voorzichtig te werk bij het afmelden van het account, want het risico op gegevensverlies is reëel!
Nu vraagt u zich wellicht af of het standaard in Windows aanwezige Systeemherstel niet voldoet voor het op orde houden van het systeem. Zoals de naam al doet vermoeden, is Systeemherstel immers ook bedoeld om het systeem te herstellen. Systeemherstel heeft echter alleen betrekking op de systeembestanden, terwijl schijfbescherming alle bestanden (dus ook die van de gebruikersaccounts) beheert. Sterker nog: wordt er met Systeemherstel een herstelpunt aangemaakt of teruggezet, dan zal schijfbescherming deze bewerking automatisch weer ongedaan maken. Systeemherstel is dus niet meer relevant zodra schijfbescherming is geactiveerd...
Terwijl Windows Vista en Windows 7 zijn voorzien van de functie Ouderlijk toezicht om controle te verkrijgen over het computergebruik van de kinderen, moeten de gebruikers van Windows XP het nog zonder stellen. Gelukkig kan SteadyState dan uitkomst bieden! Op eenvoudige wijze kunnen uiteenlopende beperkingen worden opgelegd en een whitelist met toegestane websites worden opgesteld. De sessietimer kan uitkomst bieden wanneer de kinderen onderling onenigheid krijgen over het gebruik van de computer. Schijfbescherming zorgt er ten slotte voor dat er geen wijzigingen in cruciale systeembestanden kunnen worden aangebracht waardoor de computer nagenoeg onderhoudsvrij blijft.
Je zou er in eerste instantie misschien niet zo snel aan denken, maar SteadyState kan ook prima worden ingezet voor het waarborgen van de privacy van de verschillende gebruikers. De optie Profiel vergrendelen zodat gebruiker geen permanente wijzigingen kan doorvoeren (tabblad Algemeen van de gebruikersinstellingen) in combinatie met schijfbescherming zorgt er namelijk voor dat elk mogelijk spoortje weer gewist wordt. Hierdoor is het via de normale weg niet meer te achterhalen welke handelingen de vorige gebruiker heeft uitgevoerd. Alleen het uitlezen van het cachebestand (voor zover dat mogelijk is) levert dan nog enig risico.
Omdat SteadyState eigenlijk zo goed in elkaar zit, zijn er nauwelijks nadelen te noemen. Wel moet worden opgemerkt dat Windows na de installatie van SteadyState merkbaar langzamer wordt, met name bij het installeren van updates. Ook het meerdere malen opnieuw opstarten van Windows (bijvoorbeeld bij het uit- en inschakelen van schijfbescherming ten behoeve van de installatie van Windows-updates) kan zo nu en dan irritant zijn. Wordt echter in ogenschouw genomen dat het systeem op gedeelde computer zňnder SteadyState vroeg of laat toch ook met (door vervuiling veroorzaakte) vertragingen te maken zal krijgen, dan zijn deze nadelen verwaarloosbaar.
Ook al is het administratoraccount (waarmee SteadyState wordt afgesteld) voorzien van een wachtwoord, dan nog blijft het mogelijk de beveiliging van de beleidsinstellingen te omzeilen. De computer kan namelijk vanaf USB-stick of CD worden opgestart waarna het nog een klein kunstje is om het administratorwachtwoord te kraken. Het is dus zaak dergelijke opstartmogelijkheden in het BIOS uit te schakelen. Vergeet niet het BIOS van een wachtwoord te voorzien anders is ook deze beveiliging al snel te omzeilen!
Het is ondoenlijk alle ins en outs van Windows SteadyState in één nieuwsbrief te behandelen. Voor aanvullende informatie wordt verwezen naar het uitgebreide Nederlandstalige Windows SteadyState Handboek in PDF-formaat (download: www.microsoft.com). Ook de pagina Windows SteadyState FAQ (www.microsoft.com) over de meest gestelde vragen is handig om er nog even op na te slaan.
© 2001-2024 - Menno Schoone - SchoonePC - Rotterdam - Privacyverklaring