Windows 7 安全架構大幅強化，但預設值多為「兼容優先」，必須主動啟用/調整關鍵功能，才能發揮最大防護效力。本文詳細說明三大核心安全優化：BitLocker 磁碟加密、軟體限制原則阻擋漏洞利用、UAC 滑桿調整。

一、BitLocker To Go：保護 USB/行動硬碟隱私資料

Win 7 企業版/旗艦版支援 **BitLocker To Go**，可對非系統磁碟（USB 隨身碟、外接硬碟、SD 卡）進行全磁碟加密，遺失也不洩密。

啟用步驟

1. 控制台 → 系統與安全性 → BitLocker 磁碟機加密。
2. 選取目標磁碟機 → 點選「開啟 BitLocker」。
3. 選「使用密碼解鎖磁碟機」→ 輸入強密碼（建議 12 字元以上、大小寫數字符號混合）。
4. 備份復原金鑰：存成檔案（另存他處）、列印、或存入 Microsoft 帳戶雲端。**務必妥善保管**，遺失金鑰資料永不可解密。
5. 選擇加密範圍：「僅加密已使用磁碟空間」（快，新資料自動加密）或「加密整個磁碟機」（慢，含已刪除空間，較安全）。
6. 選擇加密模式：新式加密模式（Win 10/8.1+ 相容）或相容模式（需在舊版 Windows 讀取）。
7. 「開始加密」，等待完成。加密期間可正常使用電腦，唯拔除磁碟會暫停。

日後插入該磁碟需輸入密碼才能存取，資料在磁碟上始終保持 AES-128/256 加密狀態。

二、軟體限制原則 (SRP)：阻擋已知漏洞程式執行/聯網

針對無法立即修補的軟體（舊版瀏覽器、Office、PDF 閱讀器等），透過 SRP 限制其執行權限或網路存取，降低被駭風險。

建立「禁止執行」規則範例

1. Win+R → gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 軟體限制原則。
2. 右鍵「軟體限制原則」→ 「建立新原則」（若已存在則略過）。
3. 展開「其他規則」→ 右鍵空白處 → 「新雜湊規則」或「新路徑規則」。
4. 雜湊規則：針對特定檔案版本（如有漏洞的 AcroRd32.exe v9.3.0），瀏覽選取該檔 → 安全性等級設「不允許」。
5. 路徑規則：針對整個資料夾（如 C:\LegacyApps\），路徑設 C:\LegacyApps\* → 安全性等級「不允許」。
6. 右鍵「強制執行」→ 選「所有使用者（本機系統管理員除外）」→ 確定。

此後該程式/資料夾下的執行檔雙擊無反應、排程工作也無法啟動，有效封鎖漏洞利用鏈。

進階：搭配「網路存取保護 (NAP)」限制特定程式出網

需網域環境與 NAP 伺服器，本文不展開。獨立工作站可改用 Windows 防火牆「輸出規則」封鎖特定程式連網。

三、UAC 使用者帳戶控制：四級滑桿找平衡點

控制台 → 使用者帳戶 → 變更使用者帳戶控制設定：

等級	行為	適用場景
一律通知（最高）	程式變更系統設定、使用者變更設定皆彈出 UAC，安全桌面模式	高安全需求、共用電腦
預設（僅程式變更通知）	使用者變更 Windows 設定不彈出，程式變更系統設定彈出	**大多數使用者推薦**
僅通知不切換安全桌面	同預設但不切換安全桌面（較快、稍低安全）	追求流暢、接受較低安全
永不通知（關閉）	UAC 完全關閉，標準使用者也能寫入系統區域，**極不建議**	相容極舊軟體、測試環境

建議保持「預設」或「一律通知」，配合標準使用者帳戶日常操作，需管理權限時再透過 UAC 提權，兼顧安全與便利。

四、補充建議：多層防護策略

• 啟用 Windows Update 自動更新：修補 0-day 漏洞第一道防線。
• 安裝可信防毒軟體：MSE/Defender + 定期掃描，或第三方完整套裝。
• 使用標準使用者帳戶日常操作：僅管理員帳戶維護系統。
• 啟用防火牆「輸出規則」監控：阻擋不明程式外連。
• 定期建立系統還原點/映像備份：遭遇勒索軟體可快速回滾。

結語

Windows 7 提供 BitLocker、SRP、UAC、防火牆、Windows Update 等多層防護工具，**預設值不等於最佳安全態**。花 30 分鐘依本文啟用 BitLocker 保護行動裝置、部署 SRP 封鎖高風險舊軟體、調整 UAC 至適當等級，即可構建較完整的主機防護體系，大幅降低資料外洩與惡意代碼執行風險。