啟用 AppLocker 前置作業

1. 右鍵「電腦」→「管理」→「服務」，找到「Application Identity」設為「自動」並啟動（關鍵步驟）。
2. Win+R 輸入 gpedit.msc 開啟群組原則編輯器。
3. 展開：「電腦設定」→「Windows 設定」→「安全性設定」→「應用程式控制原則」→「AppLocker」。

三類規則類型

• 執行檔規則：控制 .exe、.com 檔案執行權限。
• Windows 安裝程式規則：控制 .msi、.msp 安裝套件。
• 指令碼規則：控制 .ps1、.bat、.cmd、.vbs、.js 指令碼。

右鍵各規則類別選「建立新規則」，依精靈設定「允許」或「拒絕」、適用使用者/群組、條件（發行者、路徑、檔案雜湊）。

注意：首次設定完成需重新開機生效。

實戰案例：封鎖 USB 自動執行病毒

USB 病毒關鍵在 AutoRun.inf。建立「指令碼規則」→「拒絕」→「Everyone」→ 條件選「路徑」→ 輸入 ?:\AutoRun.inf → 完成。插入 USB 即不會自動執行惡意程式。

進階技巧：可使用環境變數（%WINDIR%、%TEMP%）或相對路徑，彈性定義規則範圍。

AppLocker 是 Windows 7 企業版/旗艦版內建的強大應用程式白名單機制，善用可大幅提升主機安全性。