Windows 封鎖流氓軟體安裝：透過群組原則「軟體限制原則」拉黑數位憑證徹底攔截

流氓軟體常利用受信任數位憑證繞過使用者確認靜默安裝。Windows 提供「軟體限制原則」中的「憑證規則」，可將已知流氓廠商憑證設為「不允許」，從根源封鎖其所有簽署程式安裝。

前置準備

• 取得需封鎖的數位憑證檔（.cer/.crt），網路已有整理好的常見流氓軟體憑證打包下載。
• 將憑證檔複製到電腦本機。

設定步驟

1. Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
2. 依序展開：
   Windows 設定 → 安全性設定 → 軟體限制原則
3. 右鍵「其他規則」→「新增憑證規則」。
4. 點擊「瀏覽」選取憑證檔，「安全性層級」選 不允許，確定。

效果驗證

• 設定生效後，屬於該憑證簽署的任何安裝程式（含靜默安裝）均會被 Windows 直接阻擋，彈出「被軟體限制原則封鎖」提示。
• 不影響其他合法軟體安裝，精準打擊。
• 需定期更新憑證黑名單以應對新變種。

適用範圍

Windows 7/8/10 專業版/企業版/教育版支援 gpedit.msc；家用版可透過註冊表或第三方工具實現同樣功能。