Windows 軟體限制原則深度解析：從入門到實戰防禦

前言：為什麼需要「軟體限制原則」？

使用者每天面臨數十個「執行還是不執行」的決策：郵件附件、下載安裝檔、USB 自動執行、網頁驅動下載。傳統防毒依賴特徵碼，對零時差惡意碼無力。Software Restriction Policies (SRP) 讓管理者以「白名單/黑名單」機制，在執行前就決定程式能否跑，是企業端點防禦的關鍵一環。本文系統拆解 SRP 規則類型、安全等級、實戰部署策略與進階技巧。

核心架構：四大規則類型 + 五級安全等級

規則類型對比

安全等級層級（由高到低）

啟用隱藏三級（基本使用者/受限/不信任）：
登錄表 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers 新建 DWORD Levels = 0x4131000，重開 gpedit.msc 即可見。

實戰部署策略：企業端點標準化流程

階段 1：審計模式——先看不攔

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則
2. 右鍵「新增軟體限制原則」→ 「強制執行」選「所有使用者除本機管理員外」
3. 「指定的檔案類型」移除 .lnk、.bat、.cmd（避免捷徑/批次檔誤攔）
4. 預設安全等級設「不受限制」→ 建立「路徑規則」允許 %ProgramFiles%、%SystemRoot%、%AppData%\Microsoft\Windows\Start Menu\Programs
5. 觀察 1~2 週事件檢視器 Application 日誌來源 Software Restriction Policies，收集被阻擋清單

階段 2：白名單鎖定——預設拒絕

1. 預設安全等級改「不允許」
2. 補充路徑規則允許：
   %ProgramFiles%\* 不受限制
%ProgramFiles(x86)%\* 不受限制
%SystemRoot%\* 不受限制
%SystemRoot%\System32\* 不受限制
\\FileServer\Apps\* 不受限制（網路部署資料夾）
3. 對簽章軟體加入憑證規則：Microsoft Corporation、Adobe Systems、內部代碼簽章憑證 → 「不受限制」
4. 對已知惡意樣本（如 mimikatz.exe、特定勒索軟體雜湊）加入雜湊規則 → 「不允許」

階段 3：例外管理與使用者體驗優化

• 開發/測試機： 建立「開發者」OU，連結獨立 GPO，預設等級「基本使用者」，允許 D:\Dev\*%、%LocalAppData%\Microsoft\VisualStudio\*%
• 臨時需求： 使用 safer 命令列或 PowerShell New-SrpRule 動態加入規則，設定到期自動移除
• 使用者通知： 部署腳本在封鎖時彈出提示：「此程式受公司安全原則限制，如需使用請聯繫 IT（單號：SRP-2024-XXX）」

%SystemRoot%\system32\wbem\WmiPrvSE.exe
%SystemRoot%\system32\svchost.exe
%SystemRoot%\system32\taskhostw.exe
%SystemRoot%\system32\DllHost.exe
%SystemRoot%\system32\rundll32.exe（僅限系統簽章）
%SystemRoot%\system32\msiexec.exe
%SystemRoot%\system32\wbem\unsecapp.exe