Windows 7 AppLocker 實戰：封鎖惡意程式、限制遊戲、保護系統檔案

內建應用程式控制原則，比防毒軟體更前端的主動防禦

AppLocker 為 Windows 7 專業版/企業版/旗艦版專屬功能，**透過規則限制可執行檔、腳本、安裝程式、DLL 的執行條件**，達到「預設拒絕、例外允許」的白名單防護模式。

啟用前置作業

1. 「電腦」右鍵 → 「管理」 → 「服務」 → 找到 **Application Identity** → 啟動類型設為「自動」→ 啟動服務（**此步驟缺一不可**）。
2. `Win+R` → `gpedit.msc` → 群組原則編輯器。
   路徑：電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → **AppLocker**。
3. 三大規則類別：
   「可執行檔規則」 / 「Windows 安裝程式規則」 / 「腳本規則」。
4. 首次設定完成**必須重開機**生效。

實戰案例一：封鎖隨身碟 AutoRun 病毒

1. 選「腳本規則」→ 右鍵「建立新規則」。
2. 動作：「拒絕」→ 使用者：「Everyone」→ 下一步。
3. 條件：「路徑」→ 路徑輸入 `?:\\AutoRun.inf` → 下一步 → 建立。
4. 效果：所有隨身碟/光碟的 `AutoRun.inf` 皆無法執行，**徹底斷開自動播放傳播鏈**。
5. 進階：若僅封鎖隨身碟，指定具體磁碟代號（如 `G:\\AutoRun.inf`）。

實戰案例二：保護系統目錄，僅允許微軟簽章程式執行

1. 選「可執行檔規則」→ 建立新規則。
2. 動作：「拒絕」→ 使用者：「Everyone」→ 下一步。
3. 條件：「路徑」→ `%WINDIR%\\*.exe`（系統目錄所有 exe）。
4. 例外：「發行者」→ 「新增」→ 瀏覽任一微軟程式（如 `notepad.exe`）→ 滑桿拉至「發行者」層級 → 確定。
5. 建立規則。效果：**系統目錄下非微軟簽章的 exe 全部禁止執行**，病毒/木馬即便植入 `C:\Windows` 也無法執行。

實戰案例三：限制已知遊戲/程式執行（檔案雜湊模式）

1. 建立「可執行檔規則」→ 動作「拒絕」→ 使用者「Everyone」。
2. 條件選「檔案雜湊」→ 瀏覽目標遊戲執行檔 → 系統自動計算 SHA-256 雜湊值。
3. 建立規則。**無論遊戲移至何處、更名為何，雜湊值不變即被封鎖**。

實戰案例四：保護重要文件（禁用開啟該文件的程式）

暫時封鎖 Word/Excel/PDF 閱讀器等程式執行，防止他人竄改機密文件。需解除時：右鍵程式捷徑 → 「以系統管理員身分執行」繞過限制。

AppLocker Q&A

結語

AppLocker 是 **Windows 7 最被低估的安全神器**；靈活運用「路徑/發行者/雜湊」三種條件組合，能構建企業級的應用程式白名單防護，**讓未知病毒、隨意安裝、未經授權執行全都無處遁形**。新手建議先在測試環境驗證規則再部署正式機。