Win7 群組原則深度安全強化：資料防洩、瀏覽器免疫、權限管控、軟體限制四大支柱

Win7 專業版/旗艦版/企業版內建的群組原則是系統級安全配置利器。本文系統化梳理四大面向 12 項具體設定，從資料防洩、瀏覽器鎖定、權限最小化、軟體執行管控，打造企業級/高安全需求的 Win7 環境。

一、檔案防洩：給磁碟機穿隱身衣與鎖甲

1. 初級防禦：隱藏指定磁碟機 (防誤觸/兒童)

使用者設定 → 系統管理範本 → Windows 元件 → Windows 檔案總管 → 隱藏「我的電腦」中這些指定的磁碟機 → **已啟用** → 選擇要隱藏的磁碟代號。
⚠️ 僅隱藏圖示，仍可透過路徑/程式存取。

2. 高級防禦：禁止存取指定磁碟機 (徹底封鎖)

同路徑 → 防止從「我的電腦」存取磁碟機 → **已啟用** → 選擇磁碟。
嘗試開啟會彈出「限制」訊息。管理員需解鎖時改回「未設定」。

3. 封鎖可移動裝置執行權限 (斷絕病毒/木馬傳播路徑)

電腦設定 → 系統管理範本 → 系統 → 可移動儲存裝置存取 → 可移動磁碟：拒絕執行權限 → **已啟用**。
USB/外接硬碟上的 .exe/.scr/.bat 等無法直接執行，需複製到本機硬碟才能跑，**極大降低 Autorun 病毒、惡意程式感染風險**。

二、瀏覽器免疫：給 IE 穿鐵布衫

4. 鎖定首頁 (防掛馬/流氓軟體竄改)

使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 禁用變更首頁設定 → **已啟用** → 輸入預設首頁 URL。
使用者無法修改，亦無法被惡意程式竄改。

5. 冰封 IE 所有設定頁籤 (徹底防竄改)

使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → Internet 控制台 下 7 項：
「禁用一般頁/安全性頁/隱私頁/內容頁/連線頁/程式頁/進階頁」全設 **已啟用**。
開啟「網際網路選項」將直接報錯「受限制」，**徹底凍結 IE 設定**。

⚠️ 啟用「禁用一般頁」會同時移除首頁/暫存檔/歷史/外觀/輔助功能等設定，**若已啟用此項，無需再單獨設定「禁用變更首頁」等細項**。

三、權限管控：給系統火眼金睛

6. 禁止高風險檔案類型執行 (.bat/.reg/.vbs/.ps1 等)

電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 建立軟體限制原則 → 自動產生 5 節點。
進入「指定的檔案類型」→ 刪除預設類型，僅保留/新增 .bat、.reg、.vbs、.ps1 等 → 「安全性等級」→ 「不允許」→ 「設為預設」。
此後雙擊這類檔案直接被阻擋。

7. 哈希規則精準封鎖特定程式 (如 QQ、迅雷、遊戲)

電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 其他規則 → 新增哈希規則 → 「瀏覽」選擇目標 .exe (如 QQ.exe) → 自動產生唯一哈希值 → 安全性等級 **「不允許」**。
**優勢：** 檔案改名、移動位置、壓縮解壓、**只要內容不變哈希值不變，封鎖永久有效**，徹底防止使用者繞過限制。

四、部署與管理建議

• **僅專業版/旗艦版/企業版有 gpedit.msc**，家用版需對應修改登錄檔 (風險較高)。
• 透過**建立不同權限帳號** (標準使用者) 讓員工/家人使用，**管理員帳號僅留給 IT/家長**，自然阻擋群組原則被竄改。
• 設定完成後執行 gpupdate /force 或重新登入/重開機生效。
• 定期匯出群組原則報告 (gpresult /h report.html) 留存稽核軌跡。