Windows XP 禁止安裝軟體完整指南：群組原則、軟體限制原則、權限控制

適用場景

• 公用電腦/網咖/教室/圖書館防止隨意安裝軟體。
• 企業標準化桌面管理，僅允許核准應用程式執行。
• 家長控制，限制兒童安裝遊戲/不明程式。

方法一：群組原則禁用 Windows Installer（最直接）

1. Win + R → gpedit.msc → 開啟「群組原則編輯器」。
2. 依序展開：
   電腦設定 → 系統管理範本 → Windows 元件 → Windows Installer
3. 雙擊右側 「關閉 Windows Installer」 → 選 「已啟用」 → 選項選 「永遠」 → 確定。
4. 同目錄下啟用 「禁止使用者安裝」 → 已啟用。

效果： 所有 .msi 安裝封裝無法執行，系統提示「系統管理員已禁止 Windows Installer」。

方法二：軟體限制原則（SRP）白名單機制（最嚴格）

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則。
2. 右鍵「軟體限制原則」→ 「新增軟體限制原則」（若無此選項表示已建立）。
3. 雙擊「安全性層級」→ 「不允許」 設為預設層級（雙擊 → 「設為預設」）。
4. 右鍵「其他規則」→ 「新增雜湊規則」/「新增路徑規則」/「新增憑證規則」/「新增網路區域規則」→ 加入允許執行的程式（如 C:\Windows\*, C:\Program Files\Office\*, C:\Program Files\ApprovedApp\*.exe），安全性層級設為「不受限制」。
5. 強制執行：右鍵「軟體限制原則」→ 「屬性」→ 「強制執行」→ 勾選「所有軟體檔案」（含 .exe, .dll, .ocx 等）→ 確定。

優點： 精確控制可執行檔、DLL、腳本；缺點： 維護白名單成本高，易誤攔截合法程式（如自動更新程式）。

方法三：限制「新增/移除程式」與「只執行允許的 Windows 應用程式」

1. gpedit.msc → 使用者設定 → 系統管理範本 → 控制台 → 啟用 「禁止存取控制台」 或針對性啟用 「隱藏『新增/移除程式』」。
2. 使用者設定 → 系統管理範本 → 系統 → 啟用 「只執行允許的 Windows 應用程式」 → 「顯示」→ 加入允許的 .exe 完整路徑或檔名。

方法四：NTFS 權限鎖定安裝目錄（補充防線）

• C:\Program Files、C:\Program Files (x86)：移除「使用者」群組的「寫入」/「修改」權限，僅保留「讀取與執行」、「列出資料夾內容」、「讀取」。
• C:\Windows\Installer：同理限制寫入。
• 臨時安裝時，以系統管理員身分臨時授予寫入權限，安裝完成後移除。

方法五：限制使用者進入群組原則編輯器（防繞過）

若使用者能執行 gpedit.msc 即可解除限制：

1. gpedit.msc → 使用者設定 → 系統管理範本 → 系統 → 啟用 「禁止存取登錄編輯工具」。
2. 同路徑啟用 「不執行指定的 Windows 應用程式」 → 加入 gpedit.msc, regedit.exe, secpol.msc, mmc.exe 等管理工具。
3. 或以 NTFS 權限移除「使用者」對 C:\Windows\System32\gpedit.msc 的「讀取與執行」權限。

注意與限制

最佳實踐建議

1. 分層防禦： 禁用 Windows Installer + SRP 白名單 + NTFS 權限三重保障。
2. 標準使用者帳號： 日常帳號勿加入 Administrators 群組，需安裝時以「執行身分」輸入管理員密碼。
3. 記錄審核： 啟用「稽核程序追蹤」記錄被攔截的執行嘗試。
4. 白名單管理： 建立核准軟體清單文件，變更流程化。

結語

XP 時代的軟體限制原則（SRP）是現代 AppLocker、Windows Defender Application Control (WDAC) 的前身。掌握 SRP 白名單機制，不僅能管控 XP，更能深入理解 Windows 執行檔控制核心架構，為企業端點安全奠定基礎。