Win7 AppLocker 進階應用：啟用服務、建立規則 (腳本/執行檔/安裝程式)、阻擋 USB 病毒、保護系統目錄、限制遊戲/綠色軟體、哈希規則防搬移

前置必要條件

1. 電腦管理 → 服務 → Application Identity → 啟動類型改為「自動」→ 啟動 (不啟動 AppLocker 規則完全不生效)。
2. Win+R → gpedit.msc → 群組原則編輯器。
3. 路徑：電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker。

三大規則類型

實戰案例

案例 1：阻擋 USB 病毒 (AutoRun.inf)

• 腳本規則 → 新規則 → 動作：「拒絕」→ 使用者：「Everyone」。
• 條件：「路徑」→ ?:\\AutoRun.inf (任意磁碟根目錄)。
• 建立 → 重開機生效。插入 USB 病毒無法自動執行。

案例 2：保護系統目錄 (僅允許微軟簽章程式執行)

• 執行檔規則 → 新規則 → 動作：「拒絕」→ 使用者：「Everyone」。
• 條件：「路徑」→ %WINDIR%\*.exe。
• 例外：「發行者」→ 瀏覽任一微軟簽章程式 (如 notepad.exe) → 滑桿拉至「發行者」層級 → 確定。
• 建立 → 系統目錄非微軟簽章 .exe 全部無法執行，病毒竄入也無法運行。

案例 3：限制特定遊戲 (哈希規則防搬移)

• 執行檔規則 → 新規則 → 條件選「檔案雜湊」→ 瀏覽遊戲主程式 → 系統自動計算 SHA256。
• 動作「拒絕」→ 無論遊戲移至哪個資料夾、改何名，雜湊相同即被阻擋。

案例 4：保護重要文件 (暫時禁用開啟程式)

• 針對開啟該文件類型的預設程式建立「拒絕」規則，需要時暫停規則或以管理員身分執行覆蓋。

AppLocker 關鍵特性

• 支援版本範圍條件 (如「大於等於 1.2.3.4」) → 減少維護規則數量。
• 基於群組原則 → 企業可透過 GPO 一鍵部署全網。
• 可依發行者 (公司名) 封鎖/允許整個廠商產品線 (如封鎖騰訊所有程式)。

常見問題 Q&A

部署檢查清單

1. Application Identity 服務 → 自動 + 已啟動。
2. gpedit.msc → 建立預設規則 (三類各右鍵「建立預設規則」)。
3. 針對非 C:\Program Files 安裝路徑，在執行檔/腳本規則新增允許規則 (目錄層級)。
4. 首次部署必須重開機 (登出不生效)。
5. 驗證：嘗試執行未授權 .exe → 應被阻擋；以管理員身分執行 → 應通過。

• 上一篇文章： Win7 修改檔案關聯與開啟方式：控制台「預設程式」介面取代 XP 時代「資料夾選項」
• 下一篇文章： Win7 任務管理器失效修復：群組原則啟用、註冊表 DisableTaskMgr 改 0

Windows 7 系統介紹

Win7 無法開啟登錄編輯器 (regedit)？群組原則解鎖教學

Win7 hosts 檔案位置與修改權限問題完整解決指南

Win7 SP1 休眠失效修復：安裝 KB2495523 補丁、電源選項進階設定調整睡眠/休眠參數