註冊表安全配置核心邏輯

路徑基底：HKEY_USERS\<用戶名>\Software\Microsoft\Windows\CurrentVersion\Policies\ (或 HKEY_CURRENT_USER 當前用戶)
值類型：REG_DWORD，1=啟用限制，0=解除/刪除值。

九大類限制完整對照表

一、控制面板限制

路徑	值名稱	效果
...\System	NoDispAppearancePage	隱藏「顯示內容」→「外觀」
...\System	NoDispBackgroundPage	隱藏「背景」
...\System	NoDispCPL	禁用整個「顯示內容」
...\System	NoDispScrSavPage	隱藏「螢幕保護程式」
...\Network	NoNetSetup	禁用「網路」內容
...\Network	NoNetSetupIDPage	隱藏「識別」頁
...\Network	NoNetSetupSecurityPage	隱藏「存取控制」頁
...\System	NoSecCPL	禁用「密碼」內容
...\System	NoPwdPage	隱藏「變更密碼」
...\System	NoAdminPage	隱藏「遠端管理」
...\System	NoProfilePage	隱藏「系統」→「使用者設定檔」
...\System	NoDevMgrPage	隱藏「系統」→「裝置管理員」
...\System	NoConfigPage	隱藏「系統」→「硬體設定檔」
...\System	NoFileSysPage	隱藏「效能」→「檔案系統」
...\System	NoVirtMemPage	隱藏「效能」→「虛擬記憶體」

二、開始選單與桌面限制

路徑	值名稱	效果
...\Explorer	NoRun	禁用「執行」命令
...\Explorer	NoSetFolders	禁用「設定」→「資料夾選項」
...\Explorer	NoSetTaskbar	禁用「設定」→「工作列與開始選單」
...\Explorer	NoFind	禁用「搜尋」命令
...\Explorer	NoStartMenuSubFolders	隱藏開始選單子資料夾
...\Explorer	NoClose	禁用「關閉系統」
...\Explorer	NoStartBanner	隱藏工作列「按這裡開始」
HKCU\...\Policies\Explorer	NoDesktop	隱藏桌面所有圖示
HKCU\...\Policies\Explorer	NoDrives	隱藏我的電腦磁碟機 (低 26 bits 對應 A-Z)
HKCU\...\Policies\Explorer	NoNetHood	隱藏「網路鄰居」圖示
HKCU\...\Policies\Explorer	NoViewContextMenu	隱藏桌面右鍵選單
HKCU\...\Policies\Explorer	NoTrayContextMenu	隱藏工作列右鍵選單
HKCU\...\Policies\Explorer	NoEntireNetwork	隱藏「整個網路」
HKCU\...\Policies\Explorer	NoSaveSettings	登出不儲存設定

三、網路與使用者設定

路徑	值名稱	效果
HKLM\...\Policies\Network	NoDialIn	禁止撥入
HKLM\...\Policies\Network	NoFileSharing	禁用檔案共享
HKLM\...\Policies\Network	NoWorkgroupContents	隱藏工作群組顯示
HKLM\...\Policies\Network	NoEntireNetwork	隱藏整個網路顯示
HKLM\...\Policies\Network	NoFileSharingControl	禁止檔案共享控制
HKLM\...\Policies\Network	NoPrintSharingControl	禁用印表機共享控制

四、只允許執行指定程式 (白名單)

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun]
"1"="c:\windows\notepad.exe"
"2"="c:\program files\office\winword.exe"
' 必須包含 systray.exe 否則工作列異常

五、密碼策略

路徑	值名稱	效果
HKLM\...\Policies\Network	HideSharePwds	共享密碼顯示為 *
HKLM\...\Policies\Network	DisablePwdCaching	禁用密碼快取 (慎用！將導致無法變更密碼、任意密碼可登入)
HKLM\...\Policies\Network	AlphanumPwds	強制英數混合密碼
HKLM\...\Policies\Network	MinPwdLen	最小密碼長度 (0-8)

六、禁用註冊表編輯器

[HKEY_USERS\<用戶名>\Software\Microsoft\Windows\CurrentVersion\Policies\System]
DisableRegistryTools = 1

七、禁用 DOS/實模式程式

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp]
Disabled = 1        ' 禁用 MS-DOS 模式
NoRealMode = 1      ' 禁用單一實模式 DOS 程式

八、自動執行點檢查 (排查木馬/惡意軟體)

路徑	說明
HKLM\...\Run	每次開機自動執行
HKLM\...\RunOnce	僅下次開機執行一次
HKLM\...\RunServices	服務程式自動啟動
HKLM\...\RunServicesOnce	服務程式僅啟動一次

九、鎖定特殊資料夾圖示 (我的電腦、我的文件、資源回收筒、控制台)

修改 HKEY_CLASSES_ROOT\CLSID\\InProcServer32 預設值，在字串尾加 - 即可隱藏/鎖定：

資料夾	CLSID (GUID)
我的電腦	{20D04FE0-3AEA-1069-A2D8-08002B30309D}
我的文件	{450D8FBA-AD25-11D0-98A8-0800361B1103}
控制台	{21EC2020-3AEA-1069-A2DD-08002B30309D}
資源回收筒	{645FF040-5081-101B-9F08-00AA002F954E}

部署建議

• 透過群組原則 (GPO) 下發，實現集中管理
• 先在測試機驗證，避免誤鎖管理員
• 保留「系統管理員」不受限制 (或另建不受限帳號)
• 記錄所有變更，建立基線備份

結語

註冊表是 Windows 行為中樞。系統性鎖定控制面板、開始選單、桌面、網路、密碼、自動執行、特殊資料夾，可大幅降低使用者誤操作與惡意軟體竄改風險。GPO 自動化部署是企業環境標準作法。