Windows Server 2008 內建「軟體限制原則」 (SRP) 與「進階安全性 Windows 防火牆」兩大原生安全引擎，無需第三方軟體即可實現應用程式管控、惡意碼隔離與網路攻擊緩解。本文實戰示範三大高價值場景配置。

場景一：軟體限制原則封鎖迅雷等 P2P 下載工具

原理： SRP 依路徑、雜湊、憑證、網路區域識別程式碼，設定「不允許」安全性層級禁止執行。

1. gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則 → 右鍵「建立軟體限制原則」。
2. 雙擊「強制」→ 選擇「除本機系統管理員以外的所有使用者」→ 確定 (保護管理員權限不受限)。
3. 右鍵「其他規則」→「新增路徑規則」→ 瀏覽選取 Thunder.exe (迅雷主程式) 或其安裝目錄 C:\Program Files\Thunder Network\Thunder\ → 安全性層級：「不允許」→ 確定。
4. gpupdate /force → 以一般使用者登入測試：迅雷啟動即被攔截，系統管理員仍可正常執行。

場景二：阻止惡意程式碼藏匿於暫存資料夾執行

原理： 病毒/惡意軟體常釋放載體至 %TEMP%、%TMP%、C:\Windows\Temp 並嘗試執行。SRP 路徑規則可直接封鎖整個目錄執行權限。

1. 同樣進入「軟體限制原則」→「其他規則」→「新增路徑規則」。
2. 路徑輸入：%TEMP%\*、%TMP%\*、C:\Windows\Temp\* (需分別建立三條規則)。
3. 安全性層級：「不允許」→ 確定。

效果： 任何嘗試從暫存目錄啟動的可執行檔 (.exe, .scr, .bat, .cmd, .vbs, .js 等) 皆會被 SRP 攔截，事件檢視器「應用程式」記錄事件 ID 865 (存取被拒)。
副作用： 合法安裝程式常解壓至 %TEMP% 執行，安裝新軟體前需暫時停用對應規則或使用「執行身分: 系統管理員」(SRP 不限制系統帳戶)。

場景三：進階防火牆封鎖外部 ICMPv4 Ping 洪水攻擊

1. 「進階安全性 Windows 防火牆」→「輸入規則」→「新增規則」。
2. 規則類型：「自訂」→ 下一步。
3. 程式：「所有程式」→ 下一步。
4. 通訊協定類型：「ICMPv4」→「自訂」→ 選擇「特定 ICMP 類型」→ 勾選「回應要求 (類型 8)」→ 確定 → 下一步。
5. 動作：「封鎖連線」→ 下一步。
6. 設定檔：全選 (網域/私人/公用) → 下一步。
7. 名稱：Block_ICMPv4_Echo_Request_From_External → 完成。

防火牆規則防竄改：註冊表 ACL 鎖定

防止攻擊者取得管理員權限後修改防火牆規則：

1. regedit → 定位 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules。
2. 右鍵「FirewallRules」→「權限」→「進階」→「停用繼承」→「將繼承的權限轉換為此物件的明確權限」。
3. 移除「Everyone」、「Users」等非必要主體；對「Administrators」、「SYSTEM」保留「完全控制」；新增「Everyone」→ 勾選「拒絕」→「完全控制」 (拒絕優先於允許)。
4. 確定套用。此後非 SYSTEM/Administrators 進程無法修改防火牆規則。

總結與擴展

防護層面	原生工具	關鍵設定	適用場景
應用程式執行控制	軟體限制原則 (SRP)	路徑規則「不允許」、雜湊規則、憑證規則	禁止 P2P、未簽署腳本、已知惡意樣本
惡意碼執行環境隔離	SRP + 資料夾重導向	封鎖 %TEMP%、%APPDATA%、網路對應磁碟機執行	防勒索軟體、無檔案攻擊落地執行
網路層攻擊緩解	進階防火牆	ICMP 封鎖、連接埠限制、連線安全規則 (IPsec)	Ping 洪水、埠掃描、中間人攻擊
規則完整性保護	註冊表 ACL	拒絕 Everyone 完全控制 FirewallRules	防內部人/提權後竄改防火牆

善用 Windows Server 2008 內建的 SRP 與進階防火牆，配合群組原則集中部署，即可構建「應用程式白名單 + 執行環境隔離 + 網路準入控制」三位一體的零成本主機防護體系。