防非法入侵系統七大絕招：螢幕保護、隱藏磁碟、禁用開始選單、桌面鎖定、群組原則纵深防禦

資料外洩不僅來自駭客遠端入侵，**實體存取、內部人員誤操作、惡意軟體竄改**同樣致命。Windows 內建 **群組原則、螢幕保護、資料夾偽裝、介面元件移除** 等機制，配合得當可構建 **零成本、纵深防禦** 體系。本文系統整理 **七大防非法入侵/資料外洩實戰招式**，從物理離席保護到介面攻擊面縮減，附詳細操作步驟、註冊表對照、繞過風險與對策，助你將 Windows 系統硬化為「易用難破」的資料堡壘。

第一招：螢幕保護 + 快捷鍵一鍵鎖機 — 離席零風險

標準設定

1. 桌面右鍵 →「個人化」→「鎖定畫面」→「螢幕保護設定」。
2. 選擇螢幕保護程式 (建議「空白」或「文字 3D」) → 等待時間 **1-5 分鐘** → **勾選「顯示登入畫面」** → 確定。

進階：桌面捷徑一鍵啟動螢幕保護 (不想等待倒數)

1. 開啟 C:\Windows\System32 (或 SysWOW64)。
2. 尋找 `.scr` 檔案 (如 `scrnsave.scr`, `ssText3d.scr`, `Ribbons.scr`)。
3. 右鍵拖曳至桌面 →「在這裡建立捷徑」。
4. 重新命名為「一鍵鎖機」。點擊即啟動螢幕保護並鎖定工作階段。

避坑：驗證 Ctrl+Alt+Del 是否被攔截

部份第三方螢幕保護程式未正確處理安全注意序列 (SAS)，導致按下三鍵直接跳出工作管理員**繞過鎖定**。測試方法：啟動螢幕保護 → 按 Ctrl+Alt+Del → 若出現工作管理員而非登入畫面，**立即更換螢幕保護程式或改用 Win+L 鎖定**。

第二招：資料夾偽裝術 — `desktop.ini` + `folder.htt` 打造「空資料夾/警告區」假象

**原理：** Windows 「網頁式」檢視模式下，資料夾根目錄若存在 `desktop.ini` (系統/隱藏) 與 `folder.htt`，Explorer 會依 `folder.htt` 內容渲染自訂頁面。

實作步驟

1. 資料夾選項 →「檢視」→ 勾選「顯示隱藏的檔案、資料夾及磁碟機」→ 取消勾選「隱藏受保護的作業系統檔案」。
2. 從 `C:\Windows` 複製 `desktop.ini`、`folder.htt` 至目標資料夾/磁碟根目錄 (如 `D:\`)。
3. 按 F5 重新整理，進入該資料夾即顯示自訂警告頁面。
4. 用記事本編輯 `folder.htt` (HTML 格式)：
   • 修改警告文字：「安全重地，閒雜人等請速離開」。
   • 移除「顯示檔案」連結。
   • 替換右下角齒輪圖片為自訂圖片 (需完整路徑含副檔名，如 `D:\Img\Warning.jpg`)。
   • **極致隱藏：** 刪除 `folder.htt` 中 `~` 之間所有內容，資料夾顯示為**空白**，實則檔案完整存在。
5. 配合「超級兔子」/群組原則隱藏整個磁碟機代號，雙重保護。

局限：

• 僅影響「網頁式」檢視模式，「詳細資料/清單/圖示」模式無效。
• 資深用戶可關閉網頁式檢視或直接用 CMD/PowerShell/第三方管理器繞過。
• **定位：** 增加攻擊者探索成本、誤導非技術人員，**非絕對防護**。

第三招：群組原則禁用「開始」選單指令 — 縮減攻擊面

操作路徑

gpedit.msc → 使用者設定 → 系統管理範本 → **工作列和開始選單** → 右側策略清單。

關鍵策略啟用清單

**操作：** 雙擊策略 →「已啟用」→ 確定 → gpupdate /force 生效。

第四招：桌面圖示與設定鎖定 — 禁止變更、登出不保存

路徑

gpedit.msc → 使用者設定 → 系統管理範本 → **桌面**。

核心策略

• 隱藏桌面上的所有項目：桌面徹底空白，僅留背景圖。
• 隱藏桌面上「網路芳鄰」/「Internet Explorer」/「我的電腦」/「我的文件」/「回收站」圖示：精細控制單一圖示可見性。
• 登出時不儲存設定：用戶調整圖示位置、工作列大小/位置、視窗排列等，**登出/重啟後自動還原**，防止惡意佈局干擾他人/隱藏惡意捷徑。
• 禁止變更桌面背景/螢幕保護/視窗度量規格：鎖定視覺識別與操作習慣。

第五招：禁用命令提示字元、註冊表編輯器、工作管理員 — 封死核心工具

路徑

gpedit.msc → 使用者設定 → 系統管理範本 → **系統** / **系統/Ctrl+Alt+Del 選項**。

關鍵策略

• 防止存取命令提示字元 (系統 →「防止存取命令提示字元」) → 已啟用 → 也禁用批次檔處理 (`.bat`/`.cmd`) 選「是」。
• 防止存取登錄表編輯工具 (系統 →「防止存取登錄表編輯工具」) → 已啟用。
• 移除工作管理員 (系統/Ctrl+Alt+Del 選項 →「移除工作管理員」) → 已啟用。

補充：軟體限制原則 / AppLocker 白名單機制

**終極形態：** 僅允許簽名受信任執行檔 (系統核心、核心業務軟體、管理工具) 執行，**預設拒絕所有未授權程式** (含惡意軟體、攜帶版工具、腳本)。配合數位簽章驗證、路徑規則、雜湊規則，構建**零信任執行環境**。

第六招：磁碟機隱藏與存取拒絕 — 群組原則 `NoDrives`/`NoViewOnDrive`

參考 [文章 8782] 詳細說明。核心：隱藏含機密資料的磁碟機代號 (D:/E:)，配合 BitLocker 加密防離線繞過。

第七招：USB/行動儲存裝置管控 — 禁用/唯讀/白名單

群組原則路徑

gpedit.msc → 電腦設定 → 系統管理範本 → **系統/可移動儲存體存取**。

關鍵設定

• 可移動磁碟：拒絕寫入/拒絕讀取/拒絕執行：三選一或全開。
• 所有可移動儲存體：拒絕寫入/讀取/執行：涵蓋 USB、SD、CF、外接硬碟。
• 白名單機制 (Win 10/11/Server 2016+)： 「可移動儲存體存取」→「允許特定裝置 ID」→ 新增授權 USB VID/PID 序號，其餘全擋。

纵深防禦整合部署清單

結語

**「安全不是產品，是過程；不是單一工具，是體系。」** 這七大招式單獨看皆可繞過，但**疊加部署、配合最小權限原則、定期審計驗證**，即可將 Windows 系統硬化為攻擊成本極高、探索阻力極大的目標。對於預算有限、無專職資安團隊的中小企業與進階個人用戶，**群組原則 + BitLocker + AppLocker + 良好操作習慣** 是性價比最高的纵深防禦組合。下次離開電腦前，請記得：Win+L，然後確認螢幕保護正常啟動——這是最簡單、也最有效的第一道防線。