善用 AppLocker 為 Win7 加把鎖：防毒、限制程式、保護系統檔案完整攻略

Win7 內建 AppLocker（應用程式控制原則）可針對可執行檔、安裝程式、指令碼、DLL 制定執行規則，配合「應用程式身分識別」服務，實現主動式防護，補足防毒軟體無法查殺未知病毒的缺口。

啟用前置作業：啟動應用程式身分識別服務

右鍵「電腦」→「管理」→「服務」→ 找到 Application Identity → 啟動類型改「自動」→ 啟動服務。此步驟缺一不可，否則規則不生效。

開啟 AppLocker 設定介面

Win + R → gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 應用程式控制原則 → AppLocker。右側可見三類規則：可執行檔規則、Windows 安裝程式規則、指令碼規則。

實戰案例一：封鎖 AutoRun.inf 防止隨身碟病毒

1. 右鍵「指令碼規則」→「建立新規則」。
2. 動作選「拒絕」，使用者/群組選「Everyone」。
3. 條件選「路徑」，路徑輸入 ?:\\AutoRun.inf（? 代表任意磁碟機代號）。
4. 一路「下一步」至「建立」完成。

此規則同時封鎖光碟與隨身碟自動執行，若僅針對隨身碟，可指定具體磁碟機代號（如 G:\\AutoRun.inf）。

實戰案例二：保護系統目錄，僅允許 Microsoft 簽署程式執行

1. 建立「可執行檔規則」→ 動作「拒絕」→ 使用者「Everyone」。
2. 條件選「路徑」，輸入 %WINDIR%\\*.exe。
3. 點「例外」→「發行者」→「新增」→ 瀏覽任一 Microsoft 程式（如 notepad.exe）→ 滑桿拉至「發行者」層級 → 確定。
4. 完成建立。

此規則讓系統目錄下所有非 Microsoft 簽署的 .exe 無法執行，病毒/木馬即竄入系統目錄也無法運行，保護核心檔案安全。

進階應用：檔案雜湊規則限制特定程式（如遊戲）

若需限制特定程式無論移至何處皆無法執行，建立「可執行檔規則」時條件選「檔案雜湊」，瀏覽該程式主執行檔自動產生雜湊值，即可精準封鎖。

常見問答

• Q: 主要程式未在系統目錄，如何保護？ A: 建立規則將程式安裝目錄加入例外。
• Q: 軟體不在允許清單怎麼跑？ A: 右鍵該程式選「以系統管理員身分執行」可繞過限制。
• Q: 軟體需寫入權限（如下載工具）？ A: 給相關資料夾「Authenticated Users」完整控制權限。

AppLocker 是 Win7 進階安全利器，靈活運用規則組合可實現「僅允許特定使用者執行特定程式」等精細管控，建議有基礎的使用者嘗試部署。