Windows 7 旗艦版/企業版內建的 AppLocker（應用程式控制原則）可建立規則限制特定程式執行，是防禦病毒、木馬、惡意軟體的強大利器。本文示範如何建立「路徑規則」封鎖已知惡意程式執行。

前置作業：啟動 Application Identity 服務

1. Win+R 輸入 services.msc 開啟服務管理員。
2. 找到「Application Identity」，雙擊將「啟動類型」改為「自動」，點擊「啟動」。

建立封鎖規則步驟

1. Win+R 輸入 secpol.msc 開啟「本機安全性原則」。

2. 左側展開：「應用程式控制原則」→「AppLocker」→「執行檔規則」，右鍵選擇「建立新規則」。
3. 「建立執行檔規則精靈」→「下一步」→「權限」頁面：
   動作選「拒絕」→ 使用者或群組輸入「Everyone」→ 下一步。

4. 條件類型選「路徑」（最直觀）：點擊「瀏覽檔案」選取病毒/惡意程式完整路徑 → 下一步 → 建立。

5. 首次建立規則會提示建立「預設規則」（允許系統關鍵程式執行），點擊「是」。

6. 規則即時生效，嘗試執行該惡意程式將被阻擋並彈出錯誤訊息。

三種條件類型比較

類型	原理	適用場景
發行者	數位簽章	限制特定廠商簽章的程式（正規軟體管理）
路徑	檔案完整路徑	封鎖特定惡意檔案/資料夾（最常用）
檔案雜湊	SHA-256 雜湊值	即使檔案複製、改名、移動位置仍能封鎖

進階應用

• 建立「允許規則」白名單模式：僅允許核准程式執行，預設拒絕所有其他程式（安全性最高，維護成本較高）。
• 搭配群組原則推廣至網域環境，集中管理企業電腦應用程式執行權限。
• 定期匯出原則備份：右鍵「AppLocker」→「匯出原則」。

善用 AppLocker 能在病毒碼未更新前，以「零信任」方式封鎖已知惡意程式執行，構築纵深防禦體系。