針對公共電腦、教學機房、網咖等需高度管控的環境，本文提供五大登錄表/群組原則硬化方案，從移除危險指令、凍結桌面配置、隱藏系統敏感設定、限制磁碟機存取到移除 NetBEUI 等舊協定，構建多層防護基線。

絕招一：刪除高風險系統指令

刪除 C:\Windows 下列可執行檔，防止使用者誤觸或惡意破壞：

• FDISK.EXE — 硬碟分區 (極度危險)
• FORMAT.EXE — 磁碟格式化
• DELTREE.EXE — 遞刪目錄樹
• MSCONFIG.EXE — 系統組態工具 (可關閉關鍵服務)

注意：僅適用於深度凍結/還原卡環境，一般使用者環境刪除可能影響系統修復能力。

絕招二：鎖定桌面與任務列介面 (登錄表)

機碼：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

DWORD 值	設為 1 的效果
NoChangeStartMenu	禁止修改開始功能表 (移動/刪除項目)
NoSetTaskbar	禁止修改任務列屬性
NoSaveSettings	禁止儲存桌面圖示排列、任務列寬度/位置等設定

機碼：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System

• NoDispCPL = 1：禁止開啟「顯示內容」 (解析度、螢幕保護程式等)。

絕招三：隱藏系統敏感設定 (登錄表)

機碼：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System

• NoDevMgrPage = 1：隱藏「裝置管理員」索引標籤。
• NoConfigPage = 1：隱藏「硬體設定檔」索引標籤。
• NoFileSysPage = 1：隱藏「檔案系統」效能設定。
• NoVirtMemPage = 1：隱藏「虛擬記憶體」設定。

絕招四：限制磁碟機存取 (群組原則)

1. gpedit.msc → 使用者設定 → 系統管理範本 → Windows 元件 → Windows 檔案總管。
2. 啟用 「隱藏『我的電腦』中這些指定的磁碟機」，選擇欲隱藏磁碟 (如 C:、D:)。
3. 啟用 「防止存取『我的電腦』中的磁碟機」，同樣選擇磁碟。

限制：命令提示字元、網路磁碟機對映、第三方檔案管理器仍可繞過，需配合軟體限制原則 (SRP) 或 AppLocker。

絕招五：移除/封鎖 NetBEUI 等舊協定

XP 光碟 \VALUEADD\MSFT\NET\NETBEUI 仍含 NetBEUI，但現代網路純 TCP/IP 環境不需此協定。
建議：勿安裝；若已安裝，於「網路連線內容」移除。
群組原則可禁止安裝新網路協定：電腦設定 → 系統管理範本 → 網路 → 網路連線 → 禁止安裝網路協定。

部署建議

1. 先在測試機驗證所有限制不影響正常業務流程。
2. 將上述登錄值匯出為 .reg 檔，配合登入腳本或 GPO 推送至全網。
3. 保留系統管理員帳號不受限制 (透過 GPO 安全性篩選)。
4. 記錄所有變更，建立還原基線。