案例背景
某企業（蒙牛乳業）新裝 Windows 7 旗艦版不滿一月即中毒。原因：單一電腦供多位業務員共用，各自安裝喜好軟體、隨意插拔 USB 隨身碟，缺乏權限管控，病毒乘虛而入。緊急以 Ghost 還原系統後，必須建立完善的權限模型防止重演。
權限設計原則
- 最小權限原則：使用者僅擁有完成工作所需的最低權限。
- 角色分離：區分日常操作帳號、軟體安裝/維護帳號、資源存取帳號。
- 內建 Administrator 禁用：避免成為攻擊目標，改用具名管理員帳號並設定強密碼。
帳號架構規劃
| 帳號名稱 | 所屬群組 | 用途 | 密碼知悉者 |
|---|
| XiaoJ | Users（標準使用者） | 日常業務操作、使用共享軟體 | 本人 |
| Admin | Administrators | 軟體安裝、系統維護、驅動更新 | IT 管理員 |
| Haiven | Users | 存取共享資料夾 Software（唯讀/讀寫分離） | IT 管理員 |
| Administrator（內建） | Administrators | 緊急災難復原 | IT 主管（封存保管） |
實施步驟
1. 建立帳號並設定群組
「控制台」→「使用者帳戶」→「管理其他帳戶」→「建立新帳戶」，依上表設定群組與密碼。標準使用者預設無法安裝軟體、修改系統設定、存取受保護資料夾。
2. 以 Administrator 進行基礎環境部署
- 安裝核心業務軟體（偉庫客戶端）。
- IE 設定：安全性 → ActiveX 控制項全設為「啟用」（業務軟體需求）。
- 安裝防毒軟體並設定自動更新、即時掃描。
- 建立共享資料夾
D:\Software（存放安裝包、工具）。
3. 臨時提權 XiaoJ 完成使用者層面設定
- 將 XiaoJ 暫時加入 Administrators 群組。
- 以 XiaoJ 登入，重複 IE ActiveX 設定（使用者層面生效）。
- 安裝常用工具（五筆/拼音輸入法、瀏覽器等）。
- 完成後將 XiaoJ 從 Administrators 移除，還原為標準使用者。
4. 進階權限設定：共享資料夾 ACL 精細控制
重啟進入安全模式（避免檔案鎖定），對 D:\Software 設定 NTFS 權限：
- Haiven：完全控制（讀/寫/修改/刪除）。
- Admin（Administrators 群組）：完全控制（透過 UAC 提權寫入）。
- XiaoJ / Users 群組：讀取與執行、列出資料夾內容、讀取（唯讀）。
- 移除 Everyone、Authenticated Users 等寬鬆權限。
結果：業務員（XiaoJ）僅能讀取安裝包，無法植入病毒或誤刪；IT（Admin）輸入密碼後可維護；專用帳號 Haiven 擁有完整控制權。
5. 禁用內建 Administrator 並審計
命令提示字元（管理員）執行：net user administrator /active:no。啟用「稽核原則」（gpedit.msc → Windows 設定 → 安全性設定 → 進階稽核原則 → 登入/登出、物件存取），記錄關鍵操作。
成效驗證
- 標準使用者無法安裝任何程式 → 杜絕惡意/不明軟體。
- 共享資料夾寫入需管理員認證 → 保證原始安裝包純淨無毒。
- USB 隨身碟雖可插入，但無法自動執行（已透過群組原則關閉 AutoRun），病毒傳播鏈斷裂。
延伸建議
- 部署 AppLocker（企業版/旗艦版）白名單機制，僅允許經核准的執行檔運行。
- 使用 軟體限制原則 禁止
%AppData%、%Temp% 執行檔案。
- 定期以 Windows Server Update Services (WSUS) 統一推送修補程式。
- 引入 USB 管控軟體 僅允許授權隨身碟存取。
結語
Windows 7 權限模型成熟靈活，善用「標準使用者 + 受控管理員 + 資源專用帳號」分層架構，配合 NTFS ACL 精細授權，即可在共用電腦環境大幅降低感染風險。技術手段需搭配管理制度（如禁止私自安裝軟體、定期巡檢），方能構建纵深防禦。
