善用 AppLocker 為 Windows 7 加把安全鎖：阻擋 USB 病毒、保護系統目錄、限制程式執行

AppLocker 是 Win7 專業版/企業版/旗艦版內建的應用程式控制原則，透過群組原則設定，可精細管控 exe、腳本、安裝程式、DLL 執行權限，堪稱主動防禦神器。

前置作業：啟用 Application Identity 服務

services.msc → 找到「Application Identity」 → 設為「自動」啟動，否則 AppLocker 不生效。

實戰案例 1：阻擋 USB 病毒 AutoRun.inf

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker → 「腳本規則」。
2. 新建規則 → 動作「拒絕」 → 使用者「Everyone」 → 條件「路徑」 → 輸入 ?:\AutoRun.inf → 建立。
3. 效果：插入 USB/光碟，AutoRun.inf 無法執行，杜絕自動執行型病毒。

實戰案例 2：保護系統目錄 (%WINDIR%) 僅允許微軟簽名程式執行

1. 新建「可執行規則」 → 拒絕 Everyone → 路徑 %WINDIR%\*.exe。
2. 「例外」→ 新增「發行者」→ 選取任一微軟程式 → 滑桿拉至「發行者」層級 → 確定。
3. 效果：系統目錄下非微軟簽名的 exe 全部無法執行，病毒竄入也無法執行破壞。

進階應用：檔案雜湊規則限制特定程式（如遊戲）

不論檔案移動至何處，相同雜湊值即被阻擋。亦可暫時禁用開啟機密檔案的程式，保護資料不被竄改。

常見問答

• 主要程式不在系統目錄？→ 將其目錄加入例外。
• 需執行被阻擋程式？→ 右鍵「以系統管理員身分執行」繞過。
• 程式需寫入權限？→ 給予目錄/檔案「Authenticated Users」完全控制權限。

AppLocker 雖隱藏於控制台，但善用規則組合，可構建強大的應用程式白名單防護體系。