защита компьютера от системного администратора

как можно защитить компьютер с windows 7 от системного админа?, например от удалённого подключения к компьютеру - что бы не было ни скрытого доступа от windows ни от программ если таковы имеются
какие ещё могут быть лазейки и доступ к экрану и дискам - которые не расшарены ?

 

Блочим порты на вход, оставляем необходимые.
Битлокер можно добавить, если физ. доступ имеется у Одмина.
Да на самом деле вариантов море, от элементари до грубо говоря "пошутить над ним")
Но траф в любом случае будет прослушиватся.
Единственное это шифровать непосредственно данные передаваемые.

Ну а вообще "лучшая защита - нападение". В любом случае у него приимущества во всем. Ну вообщем вы поняли о чем я

 

Если комп не в домене то правильно настроенный firewall как правило решает проблему, если комп в домене то нужно через реестр закрывать админские шары. Так же нужно сразу смотреть, что лишнее стоит на машине. Некоторые корпоративные версии антивирусов имеют в базе агентов с функционалом покруче любого трояна (удаленное подключение, keygen и т.д.). В идеале поставить Outpost в режим обучения и фильтровать все входящие подключения.

 

что за скрытый доступ ? к чему эти параметры относятся ?

 

Доступ к админским шарам (c$ и d$) рабочей станции. В смысле к чему относятся?

 

каким пунктом они включаются и выключаются ?
или это и есть скрытая опция по умолчанию - которую только через реестр можно выключить ?

 

Я только в реестре находил.
Server AutoShareServer REG_DWORD 0
Professional AutoShareWks REG_DWORD 0

Можно создать файлик с расширением REG и вписать туда:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"AutoShareWks"=dword:00000000

Или батник сделать:
net share c$ /delete
net share d$ /delete
net share e$ /delete
. . .
. . .
net share admin$ /delete
net share ipc$ /delete

На всякий случай можно еще групповую политику отключить, но главное не спалиться)
В ветке HKLM\SYSTEM\CurrentControlSet\services\gpsvc ПКМ ждем Permissions, затем идем в Owner и делаем себя владельцем ветки, возвращаемся в Permissions и удаляем всех кроме себя.
Тепеть необходимо изменить тип запуска службы, изменяем значение ключа Start с 2 на 4.
Отключаем баннер с предупреждением.
Идем в ветку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Winlogon\Notifications\Components\GPClient становимся ее владельцем, даем себе полные права на ветку, делаем бекап и удаляем ее. Перезагружаемся и проверяем.