全面了解 Windows 軟體限制原則

1. 概述

隨著網路、網際網路與電子郵件在商務運算中應用日增，使用者常遇到新軟體，必須不斷決定是否執行未知軟體。病毒與木馬常偽裝騙取使用者執行，要使用者做出安全選擇極困難，這時就需要軟體限制原則。

使用軟體限制原則，透過識別並指定允許執行的應用程式，可保護電腦環境免受不可信任程式碼侵擾。透過雜湊規則、憑證規則、路徑規則與網際網路區域規則，程式可在原則中被識別。預設軟體可在兩個層級執行：「不受限制」與「不允許」。本文主要用到路徑規則與雜湊規則，路徑規則最靈活，後文若無特別說明，所有規則均指路徑規則。

2. 附加規則與安全層級

附加規則

• 憑證規則：透過簽名憑證識別檔案。不能套用至 .exe 或 .dll 副檔名檔案，可套用至指令碼與 Windows Installer 套件。可建立識別軟體的憑證，再依安全層級設定決定是否允許執行。
• 路徑規則：透過程式檔案路徑識別。因按路徑指定，程式移動後規則失效。可使用 %programfiles%、%systemroot% 等環境變數，支援 * 和 ? 萬用字元。
• 雜湊規則：雜湊是唯一識別程式或檔案的定長位元組序列，按雜湊演算法算出（SHA-1 與 MD5）。重新命名或移動檔案產生相同雜湊，但任何竄改都會改變雜湊值而繞過限制。軟體限制原則只識別已用其計算過的雜湊。
• 網際網路區域規則：僅適用於 Windows Installer 套件。可識別來自 IE 指定區域的軟體：網際網路、本機、區域網路、受限網站、信任網站。

以上規則僅影響「指定的檔案類型」中列出的類型。系統存在一個所有規則共用的指定檔案類型清單，預設包含：ADE ADP BAS BAT CMD COM CPL CRT EXE HLP HTA INF INS ISP LNK MDB MDE MSC MSI MSP MST OCX PCD PIF REG SCR SHS URL VB WSC。正常非可執行檔（如 TXT JPG GIF）不受影響。若認為其他副檔名有威脅可加入，或認為無威脅可移除。

安全層級

預設提供兩個安全層級：「不受限制」與「不允許」。

註：「不允許」層級不包含檔案保護操作。您可對設為「不允許」的檔案進行讀取、複製、貼上、修改、刪除，群組原則不會阻止（前提是使用者擁有修改權限）。「不受限制」不等於完全不受限，只是不受軟體限制原則的附加限制。事實上，「不受限制」程式啟動時，系統賦予該程式父程序的權限，存取權杖決定於父程序，所以程式權限不會超過父程序。

實際上還有三個層級預設隱藏，可透過手動修改登錄開啟：

開啟登錄編輯器，展開至：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
新建 DWORD，命名 Levels，值為 0x4131000（十六進位）。
建立完成後重新開啟 gpedit.msc，即可看到額外三個層級：

• 不受限制：最高權限，但非完全不受限，而是「軟體存取權由使用者存取權決定」，即繼承父程序權限。
• 基本使用者：僅享有「略過周遊檢查」特權，拒絕管理員權限。
• 受限制：比基本使用者限制更多，但也享有「略過周遊檢查」特權。
• 不信任：不允許存取系統資源、使用者資源，直接導致程式無法執行。
• 不允許：無條件阻止程式執行或檔案被開啟。

依權限大小排序：不受限制 > 基本使用者 > 受限制 > 不信任 > 不允許