怎么通过Gpo缓解win字体解析零时差错误

　　Active directory(Ad)管理员可以使用组策略来缓解大型Ad环境中win Adob??e Type Manager库中近期公开和积极利用的远程代码执行(RCE)零日漏洞。

　　微软在3月23日警告说，针对win 10设备的有限持续的有针对性的攻击，试图利用Adobe Type Manager库中的两个未修补的漏洞。

　　这些安全漏洞会影响同时运行笔记本和服务器win版本的设备，包括win 7，win 8，win 10和win server的多个版本。

　　win7旗舰版官网知道到为了利用安全问题，攻击者可以诱骗受害者打开恶意制作的文档或通过win预览窗格查看它们-outlook预览窗格不是攻击媒介。

　　Microsoft已经分享了很多变通方法，旨在阻止或减少攻击滥用这些漏洞的风险，包括禁用win资源管理器中的“预览”和“全面信息”窗格，禁用webClient服务以及重命名易受攻击的库(ATMFd.dLL)。

　　但是，要缓解强化Ad环境中的攻击，Microsoft的处理办法并不简单实现。

　　为了减轻质量上运行简单受到虐待的win版本的强化设备的问题，您能做到一气呵成与组策略的协助，微软MVp西尔科尔特斯解释在一篇博客文章。

　　使用Gpo减轻强化负担

　　首先，打开GpMC控制台并通过右键单击“组策略对象”文件夹创建一个新的Gpo。

　　然后，转到“用户设置”>“策略”>“管理模板”>“ win组件”>“文件资源管理器”，并启用这两个Gpo选项以禁用本地和通过网络的预览：

　　•关上缩略图的显示，仅显示图标

　　•关上缩略图的显示，仅在网络文件夹上显示图标

　　图片：西尔万·科尔特斯(sylvain Cortes) sylvain补充说：“关上你的Gpo，并将该Gpo与组织中的所有自动化办公室用户帐户(简而言之，便是可以在你的工作站上使用的所有用户帐户)关于联。”

　　接下来，在工作站上使用GpMC创建一个新的Gpo，并从“计算机设置”>“策略”>“ win配置”>“安全配置”>“系统服务”部分禁用webClient服务。

　　此Gpo必须与组织中的所有其他工作站计算机帐户关联，以使webClient在任何地方都被禁用。

　　图片：西尔万·科尔特斯(sylvain Cortes)一旦Microsoft发布了针对受主动利用的RCE漏洞的补丁程序，这些漏洞会影响所有受支持的win版本中的字体解析组件，则应恢复两个Gpo。

　　微软表示正在为这个零日漏洞进行修复，并暗示将在本月的补丁星期二(4月14日)中发布将来的版本。

　　上周，0patch平台背后的公司Acros security 发布了微代码补丁，以减轻运行win 10 64位和win server 2008 R2的设备上被利用的风险，这些设备未参加Microsoft的扩展安全升级(Esu)程序。