Win7 AppLocker 實戰：封鎖 QQ 等指定程式執行，發布者規則防繞過

需求：禁止同事在電腦執行 QQ、旺旺等聊天軟體，但不想傷和氣拒絕安裝。Windows 7 專業版/企業版/旗艦版內建 AppLocker (應用程式控制原則)，支援發布者規則——憑數位簽名辨識程式，無論路徑變更、版本升級、檔案重命名，皆能精準攔截。本文完整實戰教學：建立「拒絕騰訊簽名程式」規則。

前置條件

• Windows 7 專業版 / 企業版 / 旗艦版 (家庭版無 AppLocker)。
• 服務 Application Identity 需設為「自動」並啟動 (否則規則不生效)。

建立規則完整流程

1. Win+R → secpol.msc 開啟「本機安全性原則」。
2. 左側展開：「應用程式控制原則」→「AppLocker」→「執行規則」。
3. 右側空白處右鍵 →「建立新規則」→ 開啟嚮導。
4. 權限：動作選 「拒絕」，使用者/群組選 「Everyone」 (或指定帳戶)。
5. 條件：選 「發布者」 (最強防繞過) → 點擊「瀏覽」選擇 QQ 主程式 QQ.exe → 系統自動解析簽名資訊 (發行者、產品名稱、檔案版本) → 滑桿拉至 「發行者」 層級 (涵蓋該發行者所有產品/版本)。
6. 例外 (可選)：若需允許特定騰訊程式 (如 QQ 音樂)，點擊「新增」加入例外規則。
7. 名稱：輸入易識別名稱（如 Deny_Tencent_Signed_Apps）→ 下一步 → 建立。
8. 建立預設規則：首次建立規則會提示「建立預設規則」，務必選「是」，避免系統關鍵程式被誤攔截。

驗證效果

嘗試執行 QQ、QQ 音樂、QQ 影音、騰訊遊戲等任何帶騰訊數位簽名的程式，均彈出「此程式被群組原則封鎖」對話框，修改路徑、重命名、升級版本均無法繞過。

關鍵補充：啟用 Application Identity 服務

1. Win+R → services.msc。
2. 找到 Application Identity → 右鍵「內容」。
3. 「啟動類型」改為 「自動」 → 「啟動」 → 確定。
4. 或命令列 (管理員)：
   sc config AppIDSvc start= auto
net start AppIDSvc

此服務負責驗證程式身分，未啟動則 AppLocker 規則完全不生效。

進階應用方向

• 白名單模式：預設拒絕所有，僅允許特定發布者/路徑/雜湊的程式執行 (高安全環境)。
• 路徑規則：針對無數位簽名的舊程式/綠色軟體，指定資料夾路徑允許/拒絕 (易被移動繞過)。
• 檔案雜湊規則：針對特定版本單一檔案 (升級即失效)。
• 群組原則部署：網域環境下透過 GPO 統一推送至全網電腦。

總結

AppLocker 發布者規則是 Windows 內建最強軟體管制機制：以數位身分而非路徑為準據，徹底杜絕繞過手段。善用它，讓共用電腦管理從「靠自覺」進化為「靠技術」。