Win 7 環境下實施對應用程式的安全控制妙招（上）

前言

應用程式是為完成特定任務而開發運行於作業系統之上的電腦程式，直接服務使用者。若說作業系統是平台，應用程式就是主角。但應用程式為使用者帶來便利同時，有時也威脅系統安全。對應用程式實施安全控制是作業系統重要安全策略。那麼在 Windows 環境下如何實施對應用程式的安全控制？這就是今天本教程要介紹的內容，有興趣的朋友一起看看。

1. 配置應用程式的執行層級

同 Vista 一樣，微軟不提倡使用者直接以管理員身分登入系統操作，因存在極大風險。Windows 7 中若以管理員登入，所有運行程式預設都以管理員權限運行。出於安全我們以非管理員登入，但有時需系統設定或維護，必須有管理員權限。是否要登出重新以管理員登入？其實不用，Windows 7 有兩種方式實現應用程式在提升模式下運行。

(1) 以管理員權限執行一次

一般情況下只需目前操作在管理員權限下運行，選擇「以管理員權限執行」的權限提升策略。具體方式：滑鼠右鍵點擊應用程式捷徑或主程式，選單選「以系統管理員身分執行」。此時彈出 UAC 對話框，列出所有管理員讓使用者選擇，選一個並輸入密碼即可管理員身分運行程式。可開啟 Windows 7 工作管理器確認：雖以一般使用者登入，但該程式以管理員身分運行。

(2) 始終以管理員身分執行程式

除臨時以管理員權限運行外，還可使程式始終以管理員權限運行。好處：省去每次權限提升麻煩，對某些只能在管理員權限運行的程式設此項後，可杜絕因權限問題造成故障。壞處明顯：始終以管理員權限運行帶來安全隱患，這樣設定後以一般使用者登入也將失去意義。建議：只將必須以管理員權限運行的程式設為始終以管理員身分運行。

Windows 7 設定方式：右鍵應用程式或圖示→「內容」→「相容性」分頁→「權限等級」下勾選「以系統管理員身分執行此程式」。若要對所有使用者生效，點「變更所有使用者設定」→在「所有使用者相容性」分頁「權限等級」下再勾選一次。注意：不能設定系統應用程式或程序始終以管理員身分運行。有時發現「以系統管理員身分執行此程式」不可選，通常因該程式是系統程式或被禁止提升權限。若目前使用者非管理員或程式運行不需管理員憑證也會不可選。

2. 控制應用程式的安裝與運行行為

對一般使用者或系統管理員，除控制已安裝應用程式執行權限外，還要控制安裝行為。Windows 7 如何實現？可透過相關群組原則項實現目標。

(1) 安裝控制

執行 secpol.msc 開啟本機安全性原則主控台，定位「安全性設定」→「本機原則」→「安全性選項」節點，右側可見許多群組原則項。與應用程式安裝相關主要有 4 項：

• 使用者帳戶控制：偵測應用程式安裝並提示提升。預設啟用，決定 Win 7 是否自動偵測應用程式安裝並提示提升。預設系統自動偵測安裝並提示使用者提升或批准是否繼續安裝。若停用，使用者無法控制應用程式安裝。
• 使用者帳戶控制：只提升簽名並驗證的可執行檔。決定 Win 7 是否只允許運行帶有簽名且有效的可執行檔。預設停用。若啟用，可執行檔運行前會強制檢查檔案公開金鑰憑證有效性。