駭客遠端入侵後，必須將木馬、後門程式寫入磁碟才能持久化。Windows 7 NTFS 檔案系統內建的「磁碟配額」功能，能針對非管理員使用者設定極低的磁碟空間上限（如 10 KB），讓任何非授權寫入嘗試直接被系統拒絕，形成類似「自動還原卡」的防護層，大幅提高入侵成本。
原理說明
- 磁碟配額僅作用於 NTFS 格式分區。
- 可設定「拒絕超過配額限制的使用者寫入」，配合極小配額值（如 10 KB），任何嘗試寫入超過 10 KB 檔案的操作（含木馬下載、臨時檔建立）皆會失敗並回傳「磁碟空間不足」錯誤。
- 管理員帳戶不受配額限制，正常維護不受影響。
設定步驟（以系統盤 C: 為例）
- 開啟「電腦」，對 C: 麻碟機按右鍵 → 「內容」 → 「配額」頁籤。
- 點選「顯示配額設定」按鈕。
- 勾選：「啟用配額管理」、「拒絕超過配額限制的使用者寫入磁碟空間」。
- 選擇「限制磁碟空間為」，輸入 10 KB（或 0.01 MB）。
- 「警示層級」可設為 8 KB（選填，達到時記錄事件日誌）。
- 點選「確定」套用，系統會掃描現有檔案使用量（可能需數分鐘）。
▲ 磁碟內容 → 配額頁籤 → 顯示配額設定
▲ 配額設定對話框：限制 10 KB、拒絕寫入
效果驗證
- 建立一個標準使用者帳戶（非管理員），登入該帳戶。
- 嘗試在 C: 建立文字檔、複製超過 10 KB 的檔案、下載檔案到桌面/下載資料夾。
- 所有操作應失敗，提示「磁碟空間不足」或「存取被拒絕」。
- 以管理員帳戶登入，同樣操作應成功。
限制與注意事項
| 限制 | 說明 |
|---|
| 僅限 NTFS 分區 | FAT32/exFAT 不支援配額 |
| 不防禦管理員權限入侵 | 駭客若提權至 Administrators，配額失效 |
| 可能影響合法程式運作 | 自動更新、瀏覽器快取、臨時檔、Windows Update 等需寫入 C: 的服務若以標準用戶身分執行會失敗 |
| 不適用系統服務帳戶 | SYSTEM、NETWORK SERVICE、LOCAL SERVICE 等系統帳戶不受使用者配額限制 |
實務建議：分層防護而非單點依賴
- 核心防線：防火牆（Windows 防火牆/第三方）、自動更新修補漏洞、最小權限原則（日常用標準用戶、需提權用 UAC）。
- 輔助防線：磁碟配額限制 C: 非管理員寫入、AppLocker/軟體限制原則限制可執行檔路徑、EMET/Exploit Protection 緩解記憶體攻擊。
- 備援防線：系統保護（VSS）啟用、離線備份、勒索軟體防護工具。
磁碟配額不是萬靈丹，但它是一道極低成本、零效能損耗、無需額外軟體的「被動式防護牆」。配合最小權限原則，能讓駭客在拿到標準用戶權限後，發現連個 20 KB 的木馬都寫不進 C:，攻擊鏈條直接斷裂。幾分鐘設定，多一層安心，何樂而不為？
