Windows 7 預設安全設置並非最強，許多核心防護功能需手動啟用配置。本文針對三大風險面——移動設備數據洩露、應用程式漏洞利用、權限提升攻擊，提供 BitLocker 磁碟加密、軟件限制策略 (SRP)、UAC 最高級別三大企業級強化方案，將 Win7 安全性推向新高度。
防線一：BitLocker 驅動器加密——守護移動/固定磁碟隱私
適用場景
- 筆記本/外接硬碟/U 盤遺失/被竊，防止數據被直接讀取。
- 企業攜出設備、敏感項目數據落地加密合規要求。
啟用步驟（Win7 專業版/企業版/旗艦版）
- 控制面板 → 「系統和安全性」→ 「BitLocker 驅動器加密」。
- 目標磁碟右側點擊 「開啟 BitLocker」。
- 選擇 「使用密碼解鎖驅動器」，輸入強密碼（大小寫+數字+符號，≥12 位）。
- 備份恢復金鑰：列印、儲存至檔案（另存到不同物理磁碟/雲端）、列印到 PDF 三選一，嚴禁僅存本機。
- 選擇加密範圍：「僅加密已使用磁碟空間」（快，新數據自動加密）或「加密整個驅動器」（慢，含已刪除空間，更安全）。
- 選擇加密模式：「新加密模式」（Win10+ 兼容）或「相容模式」（僅 Win7/8/8.1）。
- 點擊「開始加密」，等待完成（可繼續使用電腦，性能影響極小）。
進階：BitLocker To Go（可移動磁碟）
插入 U 盤/移動硬碟，同樣在 BitLocker 介面中啟用，跨電腦插入輸入密碼即可讀寫，無需安裝額外軟件。
防線二：軟件限制策略 (SRP)——阻斷已知漏洞程式執行/聯網
核心邏輯
建立「預設拒絕，白名單允許」或「針對性拒絕高風險程式」規則，防止未修補漏洞的軟件（舊版 Flash、Java、Office、瀏覽器）被惡意利用執行代碼或發起網路連線。
配置步驟
- Win+R →
gpedit.msc 開啟「本機群組策略編輯器」。
- 依次展開：
電腦設定 → Windows 設定 → 安全性設定 → 軟件限制策略。
- 右鍵「軟件限制策略」→ 「新增軟件限制策略」。
- 雙擊 「強制執行」 → 選擇 「除本機系統管理員外的所有使用者」 → 確定。
- 右鍵 「其他規則」 → 「新增路徑規則」。
- 「瀏覽」選中目標高風險程式（如
C:\Program Files\Java\jre7\bin\javaw.exe）→ 「安全等級」選 「不允許」 → 確定。
- 同理可新增「雜湊規則」（針對特定文件版本）或「網路區域規則」（限制來源）。
企業級升級：AppLocker（Win7 企業版/旗艦版）
SRP 為舊技術，AppLocker 提供基於發佈者簽名、文件版本、路徑的更精細控制，並支援「稽核模式」驗證規則不影響業務再強制執行。同樣在「應用程式控制原則」下配置。
防線三：UAC 最高級別——全程感知權限提升
為什麼調高？
- 預設「僅在我嘗試變更 Windows 設定時通知」：自動提升簽名程式，惡意軟件可利用 COM 接口繞過提示（UAC 繞過技術）。
- 「始終通知」：任何權限提升（含系統程式）均彈出安全桌面提示，用戶可感知所有提權行為，極大提高惡意軟件竊取權限難度。
設置方法
- 控制面板 → 「使用者帳戶」→ 「使用者帳戶」→ 「變更使用者帳戶控制設定」。
- 將滑桿拉至最頂端 「始終通知我」（始終通知）。
- 確定 → 重啟生效。
體驗平衡建議
- 日常主力機：最高級別 + 習慣「不隨意點擊是」。
- 開發/測試機：可降一級，但建議配合 SRP/AppLocker 限制未簽名程式執行。
- 企業部署：群組策略強制最高級別，禁止用戶降低。
總結
BitLocker 守住「靜態數據」，SRP/AppLocker 守住「執行行為」，UAC 最高級別守住「特權邊界」。三大防線疊加，構建纵深防禦，讓 Windows 7 在生命週期末期仍具備企業級安全基線。
