Windows XP 管理模板詳解（三）：Office XP 安全設定與系統核心防護

透過群組原則強化 Office XP 安全性

在 Windows XP 環境中，管理員可透過「群組原則物件編輯器」集中管理 Microsoft Office XP 的安全設定，路徑位於：電腦設定 \ 管理範本 \ Microsoft Office XP \ 安全性設定。核心防護機制圍繞「巨集安全性」與「數位憑證信任機制」展開，旨在平衡業務生產力與惡意代碼防範。

巨集安全性核心邏輯

Office XP 的巨集安全性依賴數位憑證驗證。當文件包含巨集（VBA 代碼、ActiveX 控件、COM 物件等）時，Office 會檢查代碼簽署者的憑證有效性、來源可信度及簽名完整性。根據憑證狀態與設定的安全等級（高、中、低），Office 決定是自動啟用、提示使用者、或是禁用巨集。

• 高安全性： 僅允許來自受信任來源且具有效憑證的已簽名巨集執行；未簽名或不可信簽名的巨集一律禁用。
• 中安全性： 允許受信任已簽名巨集自動執行；對於未簽名或未知來源的已簽名巨集，提示使用者決定是否啟用。
• 低安全性： 所有巨集均可執行（不建議企業環境使用）。

特別注意：若憑證過期、被撤銷、無法驗證（缺少公鑰或加密不兼容），高安全性會直接禁用，中安全性則警告並讓使用者選擇。

各應用程式的建議設定策略

指南定義了「企業用戶端」與「高安全性」兩種環境基準，以下彙總關鍵設定建議：

1. 信任所有安裝的增益集與範本

適用對象： Access、Excel、PowerPoint、Publisher、Word

建議： 兩種環境均設為 「停用」。停用後，應用程式會要求增益集必須經可信來源數位簽名才能在任何安全等級下載入；未簽名或不可信簽名的元件將依巨集安全等級處理（高：禁用；中：警告）。這能有效防止惡意 COM 增益集自動執行。

2. 對 Office 應用程式停用 VBA

建議： 「企業用戶端」設為「停用」以保持功能性；「高安全性」設為 「啟用」。

雖然停用 VBA 能提升安全性，但也會癱瘓網上工具、精靈、COM 增益集及自訂巨集功能，且無法完全阻擋 ActiveX 控件風險。僅在極高安全需求環境下啟用。

3. 巨集安全等級

Outlook 因為是郵件病毒主要入口，建議全環境採用「高」等級，僅信任受信來源的已簽名巨集。

4. 信任對 Visual Basic 專案的存取

適用對象： Excel、PowerPoint、Word

建議： 兩種環境均 「停用」。防止文件中的巨集存取核心 VB 物件模型，消除潛在程式碼注入風險。

不安全的 ActiveX 初始化

建議： 兩種環境均 「啟用」，並選擇 「使用控制項預設值進行初始化」。

此設定強制 ActiveX 控制項在每次啟動時重新初始化，捨棄持久性資料，防止惡意控制項利用殘留資料攻擊用戶端。部署前務必測試舊版應用程式相容性。

系統層級安全設定

關閉自動播放

路徑： 電腦設定 \ 管理範本 \ 系統

建議： 「企業用戶端」設為「未配置」；「高安全性」設為 「啟用 - 所有磁碟機」。

自動播放功能允許媒體插入時自動執行程式，極易被惡意軟體利用。高安全環境應全面禁用，企業環境視業務需求保留預設行為（預設已禁用軟碟/網路磁碟機，唯獨光碟機例外）。

登入安全性：忽略舊版執行清單與 RunOnce 清單

路徑： 電腦設定 \ 管理範本 \ 系統 \ 登入

啟用這兩項可阻止惡意程式透過註冊表 Run / RunOnce 機制在開機時自動執行。高安全環境建議啟用，並搭配群組原則「在啟動時執行這些應用程式」部署核心軟體（如防毒軟體、管理代理程式），確保必要服務不受影響。