Windows GPO 【軟體限制原則】

提醒您:
如果您是常常安裝新軟體的電腦使用者，請考慮是否要做以下軟體限制設定。
(例: office,java...等大一點的軟體會解壓縮 exe 到 Temp 資料夾。小的工具軟體似乎不受影響。)
下列方式會讓您在啟動安裝軟體程式時，不會有任何的執行安裝的動作，需要刪除【本機群組原則】裡的《軟體限制》重新開機才可安裝軟體。

以我個人使用習慣而言，系統使用一段時間後，就很少安裝軟體了。怕的反而是資料安全性、病毒的問題。

現在的電腦病毒及勒索病毒實在是太難防了。
系統重新安裝小事，但辛苦完成的資料、保存多年的照片一旦失去，真是讓人搥心肝啊!!!

大多數的人對於偽裝朋友傳來的不明連結網址、郵件通常少了一份警覺性，就直接給它打開。或是上網追劇、查詢資料也常會有莫名彈出的視窗按了之後在背景執行不為人知的勾當。

下列的方法雖然不能百分百的防範，但總是可以阻擋一些偷偷摸摸在系統背景下載、安裝的惡意軟體。

直接按鍵盤上的 +R 輸入 gpedit.msc ，會開啟一個【本機群組原則編輯器】
電腦設定 --> Windows 設定 --> 安全性設定 --> 軟體限制原則，按右鍵【新軟體限制原則】

新增兩個 Windows 系統及使用者使用的暫存資料夾路徑:

路徑:  %SystemRoot%\TEMP
安全等級:  不允許
路徑:  %USERPROFILE%\AppData\Local\Temp
安全等級:  不允許

設定後就可以禁止在上述兩個 Temp 資料夾寫入 EXE、DLL 。

 

這樣設定雖不能保證百分百阻擋惡意軟體，但至少降低大部份的風險。

暫時解除軟體限制
臨時要安裝可以可以先修改安姾等級為 <沒有限制>

再打開一個 DOS 視窗輸入 <gpupdate>,
套用剛才修改的 安全性原則,就可以安裝軟體了。


如果在使用習慣上不適應也沒關係，
鍵盤按 +R 輸入 gpedit.msc ，開啟【本機群組原則編輯器】
電腦設定 --> Windows 設定 --> 安全性設定 --> 【軟體限制原則】按右鍵【刪除軟體限制原則】重新開機就恢復無限制設定。