善用 Windows 7 群組原則提升系統安全性：隱藏/禁止磁碟機存取、禁用移動裝置執行權限、鎖定 IE 首頁與設定、軟體限制原則封鎖危險檔案與特定程式

Win 7 專業版/企業版/旗艦版內建群組原則編輯器，是系統安全調校的核心工具。本文系統整理四大面向實用策略：磁碟機存取控制、移動裝置執行封鎖、IE 瀏覽器加固、軟體限制原則，打造多層次防禦體系。

一、檔案保密：給磁碟機穿隱身衣與鎖頭

初級防禦：隱藏磁碟機圖示（防君子不防小人）

路徑：使用者設定 → 系統管理範本 → Windows 元件 → Windows 檔案總管 → 隱藏「我的電腦」中這些指定的磁碟機 → 啟用 → 選擇要隱藏的磁碟機

效果：資源管理器不顯示圖示，但仍可透過路徑直接存取、程式可正常讀寫。

高級防禦：禁止存取磁碟機（真正鎖死）

路徑：使用者設定 → 系統管理範本 → Windows 元件 → Windows 檔案總管 → 防止從「我的電腦」存取磁碟機 → 啟用 → 選擇磁碟機

效果：嘗試開啟提示「受限制」，需將原則改回「未設定」才能存取。

防止他人修改原則：建立標準使用者帳號（無權開啟 gpedit.msc）供日常使用。

二、斷絕病毒傳播路徑：禁用移動裝置執行權限

路徑：電腦設定 → 系統管理範本 → 系統 → 可移動儲存裝置存取 → 可移動磁碟：拒絕執行權限 → 啟用

效果：USB 隨身碟/行動硬碟上的 .exe/.scr/.bat 等可執行檔無法直接執行，病毒透過 Autorun/誘導點擊傳播徹底斷絕。需執行時複製到本機硬碟即可。

三、瀏覽器穿上鐵布衫：鎖定 IE 首頁與凍結所有設定

1. 鎖定首頁

路徑：使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 停用變更首頁設定 → 啟用 → 「選項」輸入預設首頁網址

2. 凍結 IE 所有設定頁籤

路徑：使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → Internet 控制台

依序啟用：

• 停用「進階」頁
• 停用「連線」頁
• 停用「內容」頁
• 停用「一般」頁（會刪除整個索引標籤，含首頁/暫存檔/歷史記錄設定）
• 停用「隱私權」頁
• 停用「程式」頁
• 停用「安全性」頁

效果：開啟「網際網路選項」直接彈出「受限制」錯誤，徹底杜絕惡意軟體竄改 IE 設定。

啟用「停用一般頁」後，其他 IE 原則（如停用變更首頁）即屬多餘，因一般頁已不存在。

四、權限管理：軟體限制原則封鎖危險檔案與特定程式

1. 禁止危險副檔名執行（.reg、.bat 等）

1. 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 右鍵「建立軟體限制原則」
2. 進入「指定的檔案類型」屬性 → 刪除不需管制的類型，僅保留 bat、reg 等
3. 若清單無所需類型 → 「檔案副檔名」輸入框新增（如 vbs、ps1）
4. 進入「安全性等級」→ 「不允許」→ 「設為預設」

效果：雙擊 .bat/.reg 檔直接被阻擋，病毒利用批次檔/登錄檔竄改系統失效。

2. 封鎖特定程式（以 QQ 為例，哈希規則防改名/移動）

1. 同樣在「軟體限制原則」→ 「其他規則」→ 右鍵「新增雜湊規則」
2. 「瀏覽」選取 QQ.exe → 自動產生唯一雜湊值
3. 「安全性等級」選 「不允許」 → 確定
4. 登出重新登入生效

優勢：雜湊值基於檔案內容，無論改名、移動位置、壓縮解壓，只要檔案內容不變即被攔截。

總結

群組原則提供磁碟存取控制、執行防護、瀏覽器加固、應用程式白名單四層防禦，配合標準使用者帳號與 UAC，能將 Win 7 系統安全性提升到企業級水準。家庭版用戶可參考對應登錄檔/服務設定達到類似效果。