前言：群組原則是系統管理員的「隱形權杖」

許多管理員畏懼 gpedit.msc 的龐大樹狀結構，實則掌握幾個高頻場景，即可大幅強化安全態勢。本文實測七大實戰技巧，涵蓋隱私清理、共享控制、埠口封鎖、介面精簡、彈窗阻擋、快速鎖機。

技巧 1：登出自動清除上網痕跡（批次檔 + 登出腳本）

建立清理批次檔 autodel.bat

@echo off
REM Win98/Me
cd /d "%USERPROFILE%\Local Settings\Temporary Internet Files"
c:\windows\command\deltree /y *.*

REM Win2K/XP/2003 (需先將 deltree.exe 複製至 system32)
cd /d "%USERPROFILE%\Local Settings\Temporary Internet Files"
c:\winnt\system32\deltree /y *.*

掛載至登出腳本

1. gpedit.msc → 使用者設定 → Windows 設定 → 指令碼(登入/登出) → 登出
2. 「新增」 → 瀏覽選取 autodel.bat → 確定。
3. 效果：使用者登出/關機時自動清空 Temporary Internet Files、Cookies、History 等隱私資料。

技巧 2：讓 Windows XP 接受 Guest 共享存取（解決 Win98 訪問 XP 被拒）

XP 預設拒絕網路存取的 Guest 帳號。雙重設定：

1. 啟用 Guest 帳號： compmgmt.msc → 本機用戶和群組 → 使用者 → Guest → 取消「帳號已停用」。
2. 移除「拒絕從網路存取這台電腦」中的 Guest： gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權利指派 → 拒絕從網路存取這台電腦 → 移除 Guest。

完成後，Win98/無網域環境可直接透過「網上鄰居」存取 XP 共享資源。

技巧 3：間接封鎖 TCP 135 埠（拒絕所有網路存取）

135 埠 (RPC Endpoint Mapper) 是遠端攻擊高危埠。與其改注冊表禁用服務，不如從存取控制切入：

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權利指派 → 拒絕從網路存取這台電腦
2. 「新增使用者或群組」 → 輸入 Everyone → 確定。
3. 效果：任何遠端連線嘗試皆被拒絕，135 埠雖開但無法被利用。注意： 此設定亦會阻擋合法遠端管理 (RPC, WMI, SMB)，請確認業務影響或改用 IPsec/防火牆精準封鎖 135 埠。

技巧 4：隱藏 IE「收藏夾」選單（保護書籤隱私）

1. gpedit.msc → 使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer → 瀏覽器功能表
2. 雙擊 「隱藏收藏夾功能表」 → 「已啟用」 → 確定。
3. IE 選單列「收藏夾」消失，書籤不被路人眼覷。

技巧 5：禁用共享印表機在「網上鄰居」顯示（防非法列印）

1. gpedit.msc → 電腦設定 → 系統管理範本 → 印表機
2. 雙擊 「印表機瀏覽」 → 「已停用」 → 確定。
3. 共享印表機不再發布至網上鄰居，非授權用戶無法發現/連線。

技巧 6：阻擋特定 ActiveX 元件彈出安裝視窗

1. gpedit.msc → 使用者設定 → 系統管理範本 → Windows 元件 → Internet Explorer
2. 展開 「系統管理員核准的控制項」 → 雙擊頻繁彈出的元件 → 「已停用」 → 確定。
3. 後續瀏覽含該元件網頁不再彈出安裝提示。

技巧 7：一鍵鎖定工作站並整合至 IE 工具列

建立鎖機批次檔 security.bat

@echo off
REM X 為系統盤代號
X:\Windows\System32\rundll32.exe user32.dll,LockWorkStation

準備兩張 ICO 圖示

• 啟用狀態圖示：lock_on.ico
• 停用狀態圖示：lock_off.ico

群組原則整合至 IE 工具列

1. gpedit.msc → 使用者設定 → Windows 設定 → Internet Explorer 維護 → 瀏覽器使用者介面 → 瀏覽器工具列按鈕
2. 「新增」 → 按鈕文字：「鎖定工作站」 → 程式路徑：security.bat → 圖示指定上述 ICO → 確定。

效果：IE 工具列出現「鎖定工作站」按鈕，點擊即刻喚出登入畫面，無需等待螢幕保護啟動，離席秒級安全。

結語：小配置，大安全

這七招均屬「配置即防禦」，無需寫代碼、買設備。將常用配置封裝為 GPO 基線，新機加域即自動套用，讓安全成為基因而非負擔。