為了防止用戶在瀏覽網頁時被靜默安裝 ActiveX 控件、可執行程式或惡意軟體，必須從IE 安全區域設置與組策略兩個層面實施管控。單純修改註冊表易被繞過，組策略提供集中、強制、持久的管理能力。

核心機制：IE 安全區域與註冊表映射

IE 將網站分區域管理，Internet 區域對應數值 3。關鍵註冊表鍵值位於：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

關鍵值說明（0=啟用，3=禁用，1=提示）：

組策略部署：企業級強制管控

1. 限制用戶修改 IE 安全設置

路徑：用戶配置 → 管理範本 → Windows 元件 → Internet Explorer → Internet 控制面板
啟用以下策略：

• 禁用「安全性」頁面：防止用戶調整區域安全級別
• 禁用「進階」頁面：防止修改進階安全選項
• 禁用「連線」頁面：防止修改代理/VPN 設置
• 禁用「程式」頁面：防止修改預設瀏覽器/附加元件管理

關鍵：同時啟用 「禁止訪問 Internet 選項」（同目錄下），徹底封鎖 inetcpl.cpl 入口。

2. 直接鎖定區域安全設置（推薦）

路徑：用戶配置 → 管理範本 → Windows 元件 → Internet Explorer → Internet 控制面板 → 安全性頁面 → 區域分配清單 / 區域鎖定
配置 區域鎖定：為 Internet 區域（3）指定預設安全級別（高/中高/自定義），並勾選「鎖定」，用戶無法修改。

3. 站點到區域映射（精細管控）

路徑：同級目錄下 「站點到區域指派清單」
將受信任內部站點指派至「受信任站點區域（2）」，將高風險/未知站點指派至「受限制站點區域（4）」，實現白名單/黑名單機制。

4. 防止用戶成為本地管理員

核心原則：標準用戶無法修改 HKLM、無法覆蓋組策略、無法停用防毒/防火牆服務。
組策略：電腦配置 → Windows 設置 → 安全性設置 → 受限制的群組，嚴格控制 Administrators 群組成員。

腳本/註冊表直接修改（非域環境/臨時方案）

若無法使用組策略，可用 .reg 檔或 PowerShell 腳本批量推送：

# PowerShell 範例：鎖定 Internet 區域關鍵設置
$zonePath = "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3"
Set-ItemProperty -Path $zonePath -Name "1803" -Value 3 -Force  # 禁用檔案下載
Set-ItemProperty -Path $zonePath -Name "1800" -Value 3 -Force  # 禁用安裝桌面項目
Set-ItemProperty -Path $zonePath -Name "1200" -Value 3 -Force  # 禁用執行ActiveX
# ... 其他關鍵值同理

# 禁用 Internet 選項控制面板
Set-ItemProperty -Path "HKCU:\Software\Policies\Microsoft\Internet Explorer\Control Panel" -Name "SecurityTab" -Value 1 -Force
Set-ItemProperty -Path "HKCU:\Software\Policies\Microsoft\Internet Explorer\Control Panel" -Name "AdvancedTab" -Value 1 -Force
# 建議同時設置 HKLM 對應路徑對機器生效

驗證與審計

• rsop.msc / gpresult /h report.html：查看生效策略
• 用戶端嘗試訪問測試頁面（含 ActiveX 下載、檔案下載鏈接），確認攔截生效
• 定期審計 HKCU\...\Zones\3 關鍵值是否被竄改（部署合規性基線掃描）

提醒：現代環境建議淘汰 IE，遷移至 Edge/Chrome 並配合瀏覽器企業管理策略（如 Edge 的 ExtensionInstallBlocklist、DownloadRestrictions、NativeMessagingBlocklist 等）實施同等或更強管控。IE 策略僅作為舊系統兼容性補丁保留。