系統登入與群組原則處理機制優化
登入清單防護（續）
延續上篇，「不處理舊的執行清單」與「不處理只執行一次清單」在高安全環境中啟用，能有效封鎖註冊表 HKLM\...\Run、HKCU\...\Run 及 RunOnce 的惡意利用。企業環境保持未配置，維持相容性；若啟用，務必同步部署「啟動時執行這些應用程式」原則以保障核心服務啟動。
群組原則處理：確保策略即時生效
路徑： 電腦設定 \ 管理範本 \ 系統 \ 群組原則
兩項關鍵設定建議兩種環境均 「啟用」，並勾選以下選項：
- Internet Explorer 維護原則處理： 「定期背景處理期間不套用」、「即使群組原則物件未變更也要處理」。確保 IE 安全區域、Proxy 等設定即時更新，不被使用者操作干擾。
- 登錄原則處理： 同樣勾選「定期背景處理期間不套用」、「即使群組原則物件未變更也要處理」。強制覆寫使用者對受管理範本設定（如登錄值）的竄改，確保基線合規。
取消勾選「允許透過緩慢網路連線處理」，避免頻寬不足導致登入延遲。
遠端協助：管控遠端存取風險
路徑： 電腦設定 \ 管理範本 \ 系統 \ 遠端協助
提供遠端協助
企業用戶端： 未配置（允許使用者主動請求協助）。
高安全性： 停用。
啟用時允許支援人員主動發起連線（仍需使用者同意）。高安全環境為杜絕任何未授權網路存取嘗試，徹底禁用此功能。
請求遠端協助
企業用戶端： 未配置（使用者可透過控制面板設定）。
高安全性： 停用。
禁用後使用者無法發送協助請求，專家也無法響應連線。預設票證有效期 30 天，高安全環境不適用。
錯誤報告：資訊洩漏防範與本地審計
路徑： 電腦設定 \ 管理範本 \ 系統 \ 錯誤報告
顯示錯誤通知
建議： 兩環境均 啟用。讓使用者知悉錯誤發生，利於故障排除。
報告錯誤
建議： 兩環境均 啟用，但需精細配置選項：
- 通用：勾選「不顯示 Microsoft 更多資訊連結」、「不收集額外檔案」、「不收集額外電腦資料」、「強制應用程式錯誤佇列模式」（由管理員決定是否上傳）。
- 高安全性環境：必須 指定「公司上傳檔案路徑」（UNC 路徑），部署 Microsoft Corporate Error Reporting (CER) 工具，將錯誤報告導向內部伺服器，防止敏感資訊經明文傳輸至外部。
此策略兼顧穩定性分析需求與資料主權保護。
使用者配置：Internet Explorer 鎖定策略（上）
路徑： 使用者設定 \ 管理範本 \ Windows 元件 \ Internet Explorer
以下設定針對「企業用戶端」與「高安全性」環境一律建議啟用，旨在防止使用者繞過安全基線：
瀏覽器介面與下載管控
- 瀏覽器功能表 \ 停用「將該程式儲存到磁碟」： 禁止使用者將下載程式存檔，強制線上執行或取消，降低惡意檔案落地風險。
- Internet 控制台 \ 停用 [進階] 頁 / 停用 [安全性] 頁： 移除使用者修改進階安全選項（腳本、下載、驗證）與安全區域設定的入口，配合「停用變更進階頁設定」雙重保險。
離線頁面與頻道功能全面禁用
此系列設定（離線頁面 節點下 10 項）核心目的是：禁止 IE 自動背景下載內容。包括：新增頻道/離線頁面排程、停用所有排程離線頁面、完全禁用頻道 UI、禁用下載網站訂閱內容、禁用編輯/建立/刪除排程群組與計數器、禁用刪除頻道/離線頁面排程。
最佳實踐：僅允許使用者主動請求下載頁面，杜絕自動同步機制被惡意利用或佔用頻寬。
Outlook Express 附件封鎖
設定 Outlook Express： 啟用並選擇 「封鎖可能包含病毒的附件」。強制阻止使用者開啟/儲存高風險附件（.exe, .scr, .vbs 等），使用者無法自行關閉此保護。
鎖定 IE 核心設定頁面
- 停用變更自動設定設定： 灰化區域網路設定中的自動設定區域，防止使用者變更管理員透過自動設定腳本下發的 Proxy/WPAD 設定。
- 停用變更憑證設定： 鎖定 [內容] 頁簽的憑證管理，防止使用者匯入不可信根憑證。
- 停用變更連線設定 / 停用變更 Proxy 伺服器設定 / 停用 Internet 連線精靈： 三管齊下鎖定撥號/VPN/Proxy 設定，防止使用者繞過公司網路閘道或竄改 Proxy 規則。注意：若已啟用「停用 [連線] 頁」，上述三項將被覆蓋。
- 禁止自動完成功能儲存密碼： 禁用表單帳號密碼自動完成與「提示我儲存密碼」，防止本地快取洩露認證資訊。
