「常在河邊走，哪有不濕鞋」，長期在網際網路衝浪難免遭遇惡意程式。一旦電腦中毒，病毒便會隨著系統啟動自動執行，造成無盡麻煩。與其事後補救，不如預先佈防——只允許受信任的程式執行，徹底切斷病毒的啟動路徑。

方法一：群組原則鎖定——只允許白名單程式執行

此法從根源封殺未授權程式（含病毒、木馬）的執行權限。

1. 以系統管理員身分登入。
2. 按 Win + R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
3. 依序展開：使用者設定 → 系統管理範本 → 系統。
4. 在右側找到 「只執行允許的 Windows 應用程式」，雙擊開啟。
5. 選擇 「已啟用」，點擊 「顯示」 按鈕。
6. 在「顯示內容」視窗中點擊「新增」，輸入受信任應用程式的完整路徑（如 C:\Windows\System32\cmd.exe、C:\Program Files\Microsoft Office\root\Office16\WINWORD.EXE 等）。
7. 逐一加入所有必需的合法程式，確定後離開。

效果：系統將拒絕執行白名單之外的任何程式，病毒木馬即便潛入系統也無法啟動發作，攻擊力歸零。

方法二：註冊表啟動項唯讀保護——防毒竄改開機自啟

病毒習慣將自身寫入註冊表啟動項（Run 鍵值）以隨機啟動。將相關機碼設為「唯讀」可有效阻擋。

1. 以管理員身分執行 regedit 開啟登錄編輯器。
2. 定位至以下關鍵路徑（含 32/64 位元分支）：
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
   • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
3. 右鍵點擊 Run 資料夾 → 權限 → 進階。
4. 為 Users 群組移除「寫入」權限，僅保留「讀取」；或為 Administrators 保留完整控制，其他帳號唯讀。
5. 同樣處理 RunOnce、Policies\Explorer\Run 等常見啟動位置。

方法三：進階防禦補充

• 啟用 AppLocker（企業版/專業版）：比軟體限制原則更強大，可針對發布者、路徑、檔案雜湊建立規則。
• 部署 SRP (Software Restriction Policies)：針對舊版 Windows 設定路徑/雜湊規則。
• 定期稽核啟動項：使用 msconfig、Autoruns (Sysinternals) 或 PowerShell 腳本檢查異常啟動項。
• 保持系統與防毒軟體更新：修補漏洞、更新病毒碼，仍是基礎防線。

總結

「預設拒絕，明確允許」是企業級防護核心心法。結合應用程式白名單（群組原則/AppLocker）與啟動項寫入保護（註冊表權限鎖定），可構建強韌的「啟動期免疫系統」，讓病毒木馬「潛得入、跑不出、動不了」，徹底失去破壞能力。