Windows 7 主動防禦 USB 病毒：群組原則「拒絕執行權限」封鎖可移動磁碟程式執行

USB 病毒 (Autorun.inf 型) 透過「插入即執行」傳播。Win7 透過群組原則提供「拒絕執行權限」策略，主動封鎖可移動磁碟上程式執行，優於單純讀寫限制 (失去 USB 用途) 或被動殺毒。

設定步驟

1. Win + R → gpedit.msc 開啟本機群組原則編輯器 (專業版/企業版/旗艦版)。
2. 依序展開：電腦設定 → 系統管理範本 → 系統 → 可移動儲存裝置存取。
3. 右側找到 「可移動磁碟：拒絕執行權限」 → 雙擊 → 「已啟用」 → 確定。
4. 執行 gpupdate /force 或重新開機生效。

效果驗證

插入含可執行檔的 USB → 雙擊 .exe → 系統彈出「無法存取裝置/路徑/檔案...」錯誤，無法執行。此限制無法透過「以系統管理員身分執行」繞過，除非修改策略為「未設定」或「已停用」。

補充說明

• 同目錄下尚有「可移動磁碟：拒絕讀取/寫入權限」策略，可依需求組合。
• 家用版無 gpedit.msc，可透過登錄檔對應機碼設定：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b} 建立 DWORD Deny_Execute = 1。
• 此為「主動防禦」：病毒無法執行即無法感染系統、竊取資料、橫向擴散。

配合「停用 Autorun」 (Win7 預設已限制)，構建雙重 USB 防線。