Windows 群組原則進階技巧：防自鎖、差異權限、IP 衝突防護、稽核強化

前言

群組原則是 Windows 管理的核心利器，許多人僅會基本設定。本文分享 4 項進階實戰技巧：解決「只允許執行指定程式」導致的管理員自鎖問題、為不同使用者指派差異權限、透過原則防止 IP 衝突、啟用完整安全稽核。適用於 Windows 2000/XP/2003 伺服器與工作站。

技巧一：限制可執行程式，同時避免群組原則「自鎖」

問題：啟用「使用者設定 → 系統管理範本 → 系統 → 只允許執行指定的 Windows 應用程式」後，若未將 gpedit.msc 加入白名單，連管理員也無法再開啟群組原則編輯器，造成「自鎖」。

解決方案（操作順序關鍵）：

1. 開啟 gpedit.msc，展開至「只允許執行指定的 Windows 應用程式」。
2. 啟用「已啟用」→ 點選「顯示」→「新增」必要程式（如 explorer.exe、cmd.exe、辦公軟體等）。
3. 先不要關閉群組原則視窗！
4. 另開「執行」輸入 gpedit.msc，確認已無法開啟（策略生效）。
5. 回到原視窗，將該策略改為「未設定」→ 確定。
6. 策略生效後，白名單機制持續運作，但管理員保留修改策略的能力（因策略已設為「未設定」，不再封鎖 gpedit.msc）。

若已誤關視窗導致自鎖：

1. 重開機連按 F8 → 選「帶命令提示字元的安全模式」。
2. 執行 mmc.exe →「檔案」→「新增/移除管理單元」→「獨立」→「新增」→「群組原則」→「完成」→「關閉」→「確定」。
3. 在新主控台修正策略為「未設定」。
4. 命令提示字元執行 gpupdate /target:computer 強制刷新電腦策略，或 gpupdate /target:user 刷新使用者策略，gpupdate 同時刷新兩者。

技巧二：不同使用者，指派差異權限

路徑：電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權利指派

範例：

• aaa 僅允許遠端存取：雙擊「拒絕本機登入」→ 新增 aaa。
• bbb 允許本機登入：不加入上述拒絕清單，或明確加入「允許本機登入」。
• ccc 擁有檔案擁有權：加入「取得檔案或其他物件的擁有權」。

事後若伺服器在離線時段遭植入非法檔案，可立即排除無「本機登入」權限的 aaa，快速縮小嫌疑範圍。

技巧三：保護網路設定，防止 IP 衝突

路徑：使用者設定 → 系統管理範本 → 網路 → 網路與撥號連線 → 允許 TCP/IP 進階設定

啟用「已停用」。使用者開啟 TCP/IP 內容時，「進階」按鈕將呈灰色無法點選，無法修改 IP 位址、閘道、DNS 等參數，從源頭杜絕人為 IP 衝突。搭配 DHCP 伺服器統一派發 IP，管理效率最高。

技巧四：強化安全稽核，及早發現攻擊徵兆

預設 Windows 2003 未啟用任何稽核。建議設定：

路徑：電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則

啟用後，所有記錄寫入「事件檢視器 → 安全性記錄」。建議：

• 設定記錄大小 ≥ 64 MB，覆寫模式選「依天數覆寫」（如 30 天）。
• 定期匯出或導入 SIEM/日誌分析工具。
• 針對關鍵資料夾另行設定「安全性 → 進階 → 稽核」細粒度監控。

總結

這 4 招進階技巧解決實務痛點：防自鎖保留管控彈性、差異權限落實最小權限原則、IP 設定鎖定消除衝突根源、完整稽核建立可追溯防線。群組原則威力遠超想像，關鍵在於「細心挖掘、分層套用、持續檢視記錄」。