Win8 本機安全性原則完整指南：防暴力破解、防火牆進階規則、AppLocker 應用程式控制、疑難排解

Windows 本機安全性原則 (secpol.msc) 提供企業級安全設定，包含帳戶鎖定、稽核原則、使用者權限指派、安全性選項、Windows 防火牆進階安全性、AppLocker 應用程式控制等強大功能。本文以問答形式深度解析核心設定與常見問題。

如何開啟

Win + Q 搜尋 secpol.msc 按 Enter。

核心防護設定

1. 防止暴力破解密碼：封鎖匿名列舉

路徑：本機原則 → 安全性選項 → 下列兩項設為「已啟用」：

• 「網路存取：不允許 SAM 帳戶和共用的匿名列舉」
• 「網路存取：不允許匿名 SID/名稱轉換」

進一步清空下列四項「可匿名存取」清單：

• 網路存取：可匿名存取的共用
• 網路存取：可遠端存取的登錄路徑
• 網路存取：可遠端存取的登錄路徑和子路徑
• 網路存取：可匿名存取的命名管道

2. Windows 防火牆進階安全性：媲美第三方防火牆

兩種進入方式：

• 控制台 → Windows 防火牆 → 進階設定（可瀏覽現有規則、建立新規則）。
• secpol.msc → Windows 防火牆進階安全性（空白畫面，僅能建立新規則）。

範例：封鎖 Photoshop 連網
新建輸出規則 → 程式 → 指定 Photoshop.exe 路徑 → 封鎖連線 → 套用域/私人/公用 → 命名儲存。連接安全性規則可進一步封鎖特定 IP/埠/通訊協定。

3. AppLocker：比軟體限制原則更強大的應用程式控制

• 可針對發行者（簽章）、路徑、檔案雜湊建立規則。
• 發行者規則：封鎖某應用程式（如 QQ），其官方版、定制版、升級版全部自動生效（依簽章驗證）。
• 檔案雜湊規則：精確鎖定特定版本檔案，防止改名、改路徑、加殼繞過。
• 可隔離病毒/木馬：無論感染體為 EXE、腳本、DLL、批次檔，皆可封鎖執行。
• 可搭配「軟體限制原則」雙重防護。

4. 全域物件存取稽核：限制登錄/檔案系統存取權限

可針對群組/使用者設定登錄機碼、檔案資料夾的存取稽核與拒絕規則。

常見疑難排解

1. 無法開啟本機安全性原則（MMC 錯誤/CLSID 錯誤）
   確認環境變數 Path 包含 %SystemRoot%\System32;%SystemRoot%;%SystemRoot%\System32\Wbem。
   登錄表 HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC\RestrictToPermittedSnapins 設為 0。
2. IP 安全性原則無法設定
   確認服務 IPsec Policy Agent 為「啟動」/「自動」。

建議： 尋找第三方安全工具前，先挖掘 Windows 內建這套企業級安全基礎設施，配合 PowerShell 自動化管理，效能與可靠性均屬上乘。