Windows 群組原則軟體限制原則 規則撰寫實戰範例（一）

群組原則裡的「軟體限制原則」常被忽略，實則威力強大。配合 NTFS/註冊表權限，可構建系統級全方位防護，零資源佔用、零相容性問題、核心層級攔截。本系列將深入解析規則撰寫與實戰範例。

系列重點

• 概述
• 附加規則與安全性層級
• 優先權規則
• 權限分配與繼承
• 規則撰寫方法
• 示例規則

根目錄規則：避免誤傷子目錄

欲限制 C:\Program Files 下程式執行，直接寫 C:\Program Files\*.* 不允許 會誤傷子目錄（如 SiteMapBuilder.NET 目錄名含 .NET 符合萬用字元）。正確寫法：

C:\Program Files          不允許
C:\Program Files\*        不受限

先封鎖父目錄，再排除子目錄層級，精準控制。

上網安全規則：封鎖瀏覽器寫入敏感目錄

網頁掛馬常透過瀏覽器漏洞下載到快取，再複製到 Windows、System32、Program Files 執行。實用防禦：將 IE 設為「基本使用者」，禁止快取目錄執行：

%ProgramFiles%\Internet Explorer\iexplore.exe    基本使用者
%UserProfile%\Local Settings\Temporary Internet Files\**   不允許
%UserProfile%\Local Settings\Temporary Internet Files\*    不允許
%UserProfile%\Local Settings\Temporary Internet Files\     不允許
%UserProfile%\Local Settings\Temporary Internet Files      不允許

其他瀏覽器同理設為「基本使用者」。

隨身碟規則

U盤代號:\*    不允許 / 不信任 / 受限 皆可

設為「不允許」安全性最高，不影響正常讀寫檔案操作。

CMD/批次檔限制

%ComSpec%    基本使用者

注意：系統對 CMD 與批次檔分開處理，封鎖 CMD 不代表封鎖批次檔。

高風險系統工具限制

平少用但具潛在威脅的工具建議設「受限」或「不允許」：

ftp.exe, tftp.exe, telnet.exe, net.exe, net1.exe, debug.exe, at.exe, arp.exe, wscript.exe, cscript.exe 等

防止系統進程偽裝

svchost.exe           不允許
C:\Windows\System32\svchost.exe   不受限

僅允許系統正確路徑下的 svchost.exe 執行，防止惡意程式同名偽裝。

原則備份

備份 C:\Windows\System32\GroupPolicy\Machine\Registry.pol 檔案。重灌後複製回即可還原策略。注意：Machine 資料夾不可手動建立，必須先建立一次策略才會產生。不想用策略時刪除或改名 Registry.pol 即可。