Windows 7 企業版與旗艦版內建的 AppLocker（應用程式控制原則） 是一項強大的安全功能，可精細控制使用者能執行哪些程式、腳本、安裝檔與 DLL。但預設未啟動，且控制台隱藏在群組原則編輯器中，許多用戶不知其存在。本文從啟用服務到實戰規則建立，完整示範 AppLocker 的進階應用。
啟用前提：必須啟動 Application Identity 服務
- 右鍵「電腦」→「管理」→「服務」。
- 找到 Application Identity，啟動類型設為「自動」，並啟動服務。
- 此步驟至關重要，未啟動服務 AppLocker 規則完全不生效。
開啟 AppLocker 設定介面
- 按 Win+R 輸入
gpedit.msc 開啟群組原則編輯器。
- 依序展開：
電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker。
- 右側可見三類規則：執行檔規則、Windows Installer 規則、腳本規則。
提示：首次設定完成後，必須重新開機策略才會生效。
實戰一：封鎖 AutoRun.inf 徹底杜絕 USB 病毒自動執行
- 選中「腳本規則」→ 右鍵「建立新規則」。
- 動作：拒絕；使用者或群組：Everyone。
- 條件類型選「路徑」，路徑輸入：
?:\\AutoRun.inf（通配任意磁碟機代號）。
- 一路「下一步」至「建立」完成。
此規則將禁止所有磁碟機（含 USB、光碟）的 AutoRun.inf 執行。若僅想封鎖 USB，可指定具體磁碟機代號。AppLocker 支援環境變數（如 %WINDIR%、%TEMP%）與通配符，靈活度極高。
實戰二：保護系統目錄，禁止非微軟簽章程式在 Windows 目錄執行
- 建立新的「執行檔規則」，動作：拒絕，對象：Everyone。
- 條件選「路徑」，輸入：
%WINDIR%\*.exe。
- 關鍵步驟：在「例外」頁面選「發行者」→「新增」→「瀏覽」選取任一微軟原生程式（如
notepad.exe）→ 將滑桿拉至「發行者」層級 → 確定。
- 完成建立。
此規則允許所有微軟簽章的系統程式在 Windows 目錄執行，而任何病毒、木馬即使竄入系統目錄也無法執行，徹底斷絕其竄改系統檔案的路徑。
進階應用：限制特定程式（如遊戲）執行、保護重要文件
- 限制遊戲：若遊戲免安裝，用「檔案雜湊」規則而非路徑規則，無論遊戲移至何處，相同雜湊值即被攔截。
- 保護重要文件：暫時禁用開啟該文件的應用程式（如 Word、Excel），防止他人修改。
常見問題 Q&A
- Q：主要程式未安裝在系統目錄，如何加保護？
- A：建立規則將程式安裝目錄加入，在「拒絕」的例外清單中設定允許條件。
- Q：某軟體不在允許清單，臨時需執行怎麼辦？
- A：右鍵該程式選擇「以系統管理員身分執行」即可繞過限制。
- Q：軟體需寫入權限或產生新檔案（如下載工具）？
- A：給予相關目錄/檔案
Authenticated Users 「完全控制」權限。
AppLocker 是 Windows 7 隱藏的安全神器，善用規則組合可實現：特定用戶僅能執行特定程式、特定目錄僅允許特定軟體等精細管控，極大提升系統抗惡意程式能力。
