Windows 8 本機安全性原則進階應用：防暴力破解、防火牆、AppLocker 完整指南

Windows 內建「本機安全性原則」(secpol.msc) 功能強大，足以取代多數第三方安全軟體。本文彙整防暴力破解、進階防火牆規則、AppLocker 應用程式控制、稽核原則等實戰設定。

開啟方式

Win+Q 搜尋 secpol.msc 或 Win+R 輸入執行。

一、防禦暴力破解密碼

路徑：本機原則 → 安全性選項

• 啟用 「網路存取：不允許 SAM 帳戶匿名列舉」。
• 建議同步啟用 「網路存取：不允許共享匿名列舉」。
• 清空下列四項的值：
  「網路存取：可匿名存取的共用」、「網路存取：可遠端存取的登錄路徑」、「網路存取：可遠端存取的登錄路徑和子路徑」、「網路存取：可匿名存取的命名管道」。

二、Windows 防火牆進階規則

兩種進入方式：

1. wf.msc 直接開啟「高安全性 Windows 防火牆」，可瀏覽/建立輸入/輸出/連線安全規則。
2. 在「本機安全性原則」→「Windows 防火牆和進階安全性」→ 右鍵新建規則（此介面不顯示現有規則）。

範例：封鎖 Photoshop 連網

1. 新建輸出規則 → 程式 → 選擇 Photoshop.exe 路徑。
2. 動作選「封鎖連線」。
3. 設定檔全選（網域/私人/公用），命名完成。

連線安全規則更可針對 IP、IP 區段、通訊埠、服務名稱進行 IPsec 驗證/加密/封鎖，功能不遜第三方防火牆。

三、AppLocker 應用程式控制（比軟體限制原則更強）

路徑：應用程式控制原則 → AppLocker → 可執行檔規則

• 可針對「發行者」（含版本範圍）、「路徑」、「檔案雜湊」三種條件建立規則。
• 發行者規則：封鎖某簽署者所有版本（含升級/修改版），如 QQ、迅雷全系列。
• 檔案雜湊：精確鎖定特定檔案，病毒變種也能攔截。

搭配「軟體限制原則」雙重防護，並可透過 PowerShell 自動化規則管理。

四、全域物件存取稽核

限制特定群組對登錄、檔案系統的讀寫權限，實現精細權限管控。

常見故障排除

1. 無法開啟 secpol.msc（CLSID 錯誤）：檢查環境變數 Path 含 %systemroot%\system32；登錄 HKCU\Software\Policies\Microsoft\MMC\RestrictToPermittedSnapins 設 0。
2. IP 安全性原則無法設定：確認 IPsec Policy Agent 服務已啟用。