靈活運用群組原則 強化 Windows XP 專業版安全防護

前言：群組原則是 XP 專業版的安全核心

gpedit.msc（群組原則編輯器）是 Windows XP Professional 獨有的強大管理工具，透過它可精細控制使用者權限、介面鎖定、應用程式執行限制等，是企業與進階使用者打造安全環境的利器。本文示範六大實戰設定案例。

啟動群組原則編輯器

「開始」→「執行」輸入 gpedit.msc → 進入主控台。設定路徑均在「使用者設定 → 系統管理範本」下。

案例一：禁止更改顯示內容（鎖定桌面外觀）

路徑： 使用者設定 → 系統管理範本 → 控制台 → 顯示

啟用以下原則：

• 隱藏「桌面」索引標籤
• 隱藏「主題」索引標籤
• 隱藏「螢幕保護程式」索引標籤
• 隱藏「設定」索引標籤

亦可強制指定特定主題/螢幕保護程式，防止使用者隨意變更。

案例二：禁止更改開始功能表與工作列

路徑： 使用者設定 → 系統管理範本 → 工作列與開始功能表

啟用「防止變更『工作列與開始功能表』設定」。使用者右鍵工作列將提示「此作業已被原則禁止」。

案例三：停用登錄編輯程式 (regedit)

路徑： 使用者設定 → 系統管理範本 → 系統

啟用「防止存取登錄編輯工具」。防止惡意軟體或使用者竄改登錄導致系統不穩。

案例四：限制僅能執行指定應用程式（白名單機制）

路徑： 使用者設定 → 系統管理範本 → 系統

1. 啟用「只執行允許的 Windows 應用程式」。
2. 點選「顯示」→「新增」允許執行的可執行檔名稱（如 winword.exe、iexplore.exe、notepad.exe）。
3. 未在清單中的程式將無法啟動，嚴格管控軟體使用環境。

案例五：隱藏「新增/移除程式」防止隨意安裝/移除軟體

路徑： 使用者設定 → 系統管理範本 → 控制台 → 新增/移除程式

• 啟用「移除『新增/移除程式』」：控制台中該圖示消失。
• 同分支下亦可單獨隱藏「新增新程式」、「從 CD-ROM 安裝」、「從網路安裝」等子功能，彈性管控安裝來源。

案例六：禁止建立新撥號連線

路徑： 使用者設定 → 系統管理範本 → 網路 → 網路連線

啟用「禁止存取新連線精靈」。「網路連線」資料夾與「開始功能表」將不再顯示「建立新連線」，防止使用者私自建立撥號/VPN/寬帶連線。

結語

群組原則提供集中、強制、細緻的安全控制能力。上述六大設定涵蓋介面鎖定、系統工具封鎖、應用程式白名單、軟體安裝管控、網路連線限制，配合「電腦設定」下的帳號原則（密碼複雜度、鎖定閾值、稽核原則），可構建極為堅固的 Windows XP 安全基線。建議先在測試機驗證無誤後再部署至生產環境。