Windows 7 组策略安全使用全攻略.doc

1、Windows 7 组 策 略 安 全 使 用 全 攻 略组 策 略 是 管 理 员 为 用 户 和 计 算 机 定 义 并 控 制 程 序 、 网 络 资 源 及 操 作 系 统行 为 的 主 要 工 具 。 通 过 使 用 组 策 略 可 以 设 置 各 种 软 件 、 计 算 机 和 用 户 策 略 。考 虑 到 安 全 方 面 的 原 因 ， Windows 7 已 经 开 发 了 许 多 新 的 和 增 强 的 组 策 略 功能 和 服 务 ， 帮 助 您 更 好 地 保 护 计 算 机 上 驻 留 的 数 据 、 功 能 和 服 务 。 这 些 功 能的 配 置 取 决 于 您 的

2、 具 体 要 求 和 使 用 环 境 ， 本 文 将 主 要 介 绍 Windows 7 组 策略 的 安 全 使 用 技 巧 ， 介 绍 如 何 配 置 组 策 略 功 能 和 服 务 来 更 好 地 满 足 您 的 系 统安 全 、 网 络 安 全 、 数 据 保 护 及 个 性 化 需 求 。 一 、 系 统 设 置 安 全 篇1. 禁 止 运 行 指 定 程 序系 统 启 动 时 一 些 程 序 会 在 后 台 启 动 ， 这 些 程 序 通 过 “系 统 配 置 实 用 程序 ”(msconfig)的 启 动 项 无 法 阻 止 ， 操 作 起 来 非 常 不 便 ， 通 过 组 策

3、 略 则 非 常方 便 ， 这 对 减 少 系 统 资 源 占 用 非 常 有 效 。 通 过 启 用 该 策 略 并 添 加 相 应 的 应 用程 序 ， 就 可 以 限 制 用 户 运 行 这 些 应 用 程 序 。 具 体 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 左 边 的 窗 格 依 次 单 击 “用 户 配 置 管 理 模 板 系 统 ”， 然 后 在 右边 的 窗 格 双 击 “不 要 运 行 指 定 的 Window

4、s 应 用 程 序 ”(如 图 1 所 示 )。 图 1 双 击 “不 要 运 行 指 定 的 Windows 应 用 程 序 ” (3)选 中 “已 启 用 ”， 单 击 “显 示 ”按 钮 (如 图 2 所 示 )， 添 加 要 阻 止 的程 序 如 “Wgatray.exe”即 可 。 图 2 添 加 要 阻 止 的 程 序 当 用 户 试 图 运 行 包 含 在 不 允 许 运 行 程 序 列 表 中 的 应 用 程 序 时 ， 系 统 会 提示 警 告 信 息 。 把 不 允 许 运 行 的 应 用 程 序 复 制 到 其 他 的 目 录 和 分 区 中 ， 仍 然 是不 能 运 行

5、 的 。 要 恢 复 指 定 的 受 限 程 序 的 运 行 能 力 ， 可 以 将 “不 要 运 行 指 定的 Windows 应 用 程 序 ”策 略 设 置 为 “未 配 置 ”或 “已 禁 用 ”， 或 者 将 指 定的 应 用 程 序 从 不 允 许 运 行 列 表 中 删 除 （ 这 要 求 删 除 后 列 表 不 会 成 为 空 白 的 ） 。这 种 方 式 只 阻 止 用 户 运 行 从 Windows 资 源 管 理 器 中 启 动 的 程 序 ， 对 于由 系 统 过 程 或 其 他 过 程 启 动 的 程 序 并 不 能 禁 止 其 运 行 。 该 方 式 禁 止 应 用

6、 程 序的 运 行 ， 其 用 户 对 象 的 作 用 范 围 是 所 有 的 用 户 ， 不 仅 仅 是 受 限 用 户 ，Administrators 组 中 的 账 户 甚 至 是 内 建 的 administrator 帐 户 都 将 受 到 限制 ， 因 此 给 管 理 员 带 来 了 一 定 的 不 便 。 当 管 理 员 需 要 执 行 一 个 包 含 在 不 允 许运 行 列 表 中 的 应 用 程 序 时 ， 需 要 先 通 过 组 策 略 编 辑 器 将 该 应 用 程 序 从 不 运 行运 行 列 表 中 删 除 ， 在 程 序 运 行 完 成 后 ， 再 将 该 程 序

7、 添 加 到 不 允 许 运 行 程 序列 表 中 。 需 要 注 意 的 是 ， 不 要 将 组 策 略 编 辑 器 （ gpedit.msc） 添 加 到 禁 止运 行 程 序 列 表 中 ， 否 则 会 造 成 组 策 略 的 自 锁 ， 任 何 用 户 都 将 不 能 启 动 组 策 略编 辑 器 ， 也 就 不 能 对 设 置 的 策 略 进 行 更 改 。 提 示 ： 如 果 没 有 禁 止 运 行 “命 令 提 示 符 ”程 序 的 话 ， 用 户 可 以 通 过cmd 命 令 ， 从 “命 令 提 示 符 ”运 行 被 禁 止 的 程 序 ， 例 如 ， 将 记 事 本 程 序

8、(notepad.exe)添 加 不 运 行 列 表 中 ， 通 过 桌 面 和 菜 单 运 行 该 程 序 是 被 限 制 的 ，但 是 在 “命 令 提 示 符 ”下 运 行 notepad 命 令 ， 可 以 顺 利 的 启 动 记 事 本 程 序 。因 此 ， 要 彻 底 的 禁 止 某 个 程 序 的 运 行 ， 首 先 要 将 cmd.exe 添 加 到 不 允 许 运行 列 表 中 。 如 果 禁 止 程 序 后 组 策 略 无 法 使 用 可 以 通 过 以 下 方 法 来 恢 复 设 置 ： 重 新 启动 计 算 机 ， 在 启 动 菜 单 出 现 时 按 F8 键 ， 在

9、Windows 高 级 选 项 菜 单 中 选 择“带 命 令 行 提 示 的 安 全 模 式 ”选 项 ， 然 后 在 命 令 提 示 符 下 运 行 mmc.exe。 在 打 开 的 “控 制 台 ”窗 口 中 ， 依 次 点 击 “文 件 添 加 /删 除 管 理 单 元 添 加 组 策 略 添 加 完 成 关 闭 确 定 ”， 添 加 一 个 组 策 略 控 制 台 ， 接 下来 把 原 来 的 设 置 改 回 来 ， 然 后 重 新 进 入 Windows 即 可 。 2. 锁 定 注 册 表 编 辑 器注 册 表 编 辑 器 是 系 统 设 置 的 重 要 工 具 ， 为 了 保

10、证 系 统 安 全 ， 防 止 非 法 用户 利 用 注 册 表 编 辑 器 来 篡 改 系 统 设 置 ， 首 先 必 须 将 注 册 表 编 辑 器 予 以 禁 用 。具 体 操 作 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)依 次 展 开 “用 户 配 置 管 理 模 板 系 统 ”。 (3)在 右 侧 窗 格 中 双 击 “阻 止 访 问 注 册 表 编 辑 工 具 ”策 略 (如 图 3 所 示 )。图 3 阻 止 访 问 注

11、 册 表 编 辑 工 具 (4)在 弹 出 的 对 话 框 中 ， 选 择 “启 用 ”， 将 “是 否 禁 用 无 提 示 regedit?”选 择 “是 ”(如 图 4 所 示 )， 按 “确 定 ”即 可 。 图 4 双 击 “阻 止 访 问 注 册 表 编 辑 工 具 ” 此 策 略 被 启 用 后 ， 用 户 试 图 启 动 注 册 表 编 辑 器 (Regedit.exe 及 Regedt32.exe)的 时 候 ， 系 统 会 禁 止 这 类 操 作 并 弹 出 警 告 消 息 。 若 要 防 止 用 户 使 用 其 他 管 理 工 具 ， 请 使 用 “只 运 行 指 定 的

12、Windows 应 用 程 序 ”设 置 。 提 示 ： 解 除 注 册 表 锁 定 与 禁 用 注 册 表 编 辑 器 方 法 步 骤 相 同 ， 双 击 右 侧 窗格 中 的 “阻 止 访 问 注 册 表 编 辑 器 ”， 在 弹 出 的 窗 口 中 选 择 “已 禁 用 ”或“未 配 置 ”， 点 击 “确 定 ”按 钮 后 退 出 组 策 略 编 辑 器 ， 即 可 为 注 册 表 解 锁 。 这 项 设 置 是 一 把 双 刃 剑 ： 如 果 设 为 “已 启 用 ”， 则 有 一 些 正 常 软 件（ 大 部 分 软 件 需 要 与 注 册 表 打 交 道 ） 有 可 能 不 能

13、使 用 ， 甚 至 无 法 安 装 ； 如 果设 置 为 “已 禁 用 ”， 则 在 杀 毒 软 件 的 监 护 之 外 ， 为 恶 意 程 序 留 下 隐 患 。 3. 阻 止 访 问 命 令 提 示 符命 令 提 示 符 下 有 许 多 危 险 的 操 作 ， 要 阻 止 非 法 用 户 使 用 命 令 提 示 符 窗 口(Cmd.exe)， 远 离 各 种 不 可 预 料 的 风 险 ， 具 体 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。

14、 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “用 户 配 置 管理 模 板 系 统 ”， 在 右 侧 窗 格 中 双 击 “阻 止 访 问 命 令 提 示 符 ”(如 图 5 所 示 )，打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 5 双 击 “阻 止 访 问 命 令 提 示 符 ” (3)在 “阻 止 访 问 命 令 提 示 符 ”属 性 对 话 框 中 勾 选 已 启 用 (如 图 6 所 示 )，按 “确 定 ”即 可 。 图 6 “阻 止 访 问 命 令 提 示 符 ”属 性 对 话 框 如 果 启 用 这 个 设 置

15、 ， 用 户 试 图 打 开 命 令 窗 口 ， 系 统 会 显 示 一 个 消 息 ， 解释 设 置 阻 止 这 种 操 作 。 这 个 设 置 还 决 定 批 处 理 文 件 (.cmd 和 .bat)是 否 可 以在 计 算 机 上 运 行 。 提 示 ： 如 果 计 算 机 使 用 登 录 、 注 销 、 启 动 或 关 闭 批 文 件 脚 本 ， 不 能 防 止计 算 机 运 行 批 处 理 文 件 ； 也 不 能 防 止 使 用 终 端 服 务 的 用 户 运 行 批 处 理 文 件 。 4. 禁 止 修 改 系 统 还 原 配 置“系 统 还 原 ”是 Windows 7 的 一

16、 项 很 重 要 的 功 能 ， 如 果 您 对 计 算 机 的 安全 性 要 求 很 高 ， 或 是 计 算 机 是 一 台 公 用 的 计 算 机 ， 有 很 多 人 会 去 使 用 ， 那 么为 了 保 证 系 统 的 可 操 作 性 ， 将 “系 统 还 原 ”所 占 用 的 磁 盘 空 间 设 置 得 大 一些 很 有 必 要 。 但 是 如 果 这 个 设 置 被 人 更 改 ， 就 会 造 成 以 前 创 建 的 还 原 点 中 信息 的 丢 失 。 您 可 以 在 “组 策 略 ”中 禁 止 对 “系 统 还 原 ”的 配 置 进 行 修 改 。 具 体 操作 步 骤 如 下

17、： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “计 算 机 配 置 管 理 模 板 系 统 系 统 还 原 ”， 在 右 侧 窗 格 中 双 击 “关 闭 配 置 ”(如 图 7 所示 )， 打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 7 双 击 “关 闭 配 置 ” (3)在 “关 闭 配 置 ”属 性 对 话 框 中 勾 选 “已 启 用 ”， 按

18、“确 定 ”。 “系统 还 原 ”配 置 界 面 上 配 置 系 统 还 原 的 选 项 就 会 消 失 。 如 果 选 择 “已 禁 用 ”(如 图 8 所 示 )， 则 仍 可 看 见 配 置 界 面 ， 但 是 ， 所 有 系 统 还 原 配 置 默 认 值 都 有效 。 图 8 “关 闭 配 置 ”属 性 对 话 框 注 意 ： 该 配 置 必 须 重 新 启 动 计 算 机 才 会 生 效 。 5. 保 护 虚 拟 内 存 页 面 文 件 中 的 秘 密对 于 重 要 文 件 ， 您 可 以 通 过 加 密 和 设 置 权 限 以 禁 止 其 他 无 关 人 员 访 问 ，不 过 您

19、 可 知 道 ， 如 果 真 的 有 必 要 ， 他 人 完 全 可 以 通 过 其 他 途 径 获 得 您 的 机 密信 息 ， 那 就 是 虚 拟 内 存 页 面 文 件 。 虚 拟 内 存 页 面 文 件 作 为 物 理 内 存 的 补 充 ，用 途 是 在 硬 盘 和 内 存 之 间 交 换 数 据 ， 而 虚 拟 内 存 页 面 文 件 本 身 就 是 硬 盘 上 的一 个 文 件 ， 它 位 于 系 统 所 在 硬 盘 分 区 的 根 目 录 中 ， 文 件 名 为pagefile.sys。 一 般 情 况 下 ， 当 您 运 行 程 序 时 ， 这 些 程 序 的 一 部 分 内

20、 容 可 能会 被 临 时 保 存 到 分 页 文 件 上 ， 而 如 果 您 编 辑 完 这 个 文 件 后 立 刻 就 关 闭 了 系 统 ，那 么 文 件 的 一 些 内 容 仍 然 有 可 能 被 保 存 在 虚 拟 内 存 页 面 文 件 中 。 在 这 种 情 况下 ， 如 果 有 人 得 到 了 这 台 电 脑 的 硬 盘 ， 那 么 只 要 把 硬 盘 拆 出 来 ， 利 用 特 殊 的软 件 ， 就 可 以 将 虚 拟 内 存 页 面 文 件 中 的 机 密 信 息 读 取 出 来 。 通 过 配 置 组 策 略 ，您 可 以 避 免 这 种 潜 在 的 危 险 。 (1)打

21、 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “计 算 机 配 置 Windows 设 置 安 全 设 置 本 地 策 略 安 全 选 项 ”， 在 右 侧 窗 格 中 双 击“关 机 ： 清 除 虚 拟 内 存 页 面 文 件 ” (如 图 9 所 示 )， 打 开 目 标 策 略 属 性 设 置对 话 框 。 图 9 双 击 “关 机 ： 清 除 虚 拟 内 存 页 面 文 件

22、 ” (3)在 “关 机 ： 清 除 虚 拟 内 存 页 面 文 件 ”属 性 对 话 框 中 勾 选 “已 启 用 ”(如 图 10 所 示 )， 按 “确 定 ”即 可 。 图 10 “关 机 ： 清 除 虚 拟 内 存 页 面 文 件 ”属 性 对 话 框 启 用 这 个 策 略 后 ， 关 机 的 时 候 系 统 会 将 分 页 文 件 中 的 所 有 内 容 都 用“0”或 者 “1”写 满 ， 这 样 所 有 的 信 息 自 然 也 都 会 消 失 。 提 示 ： 这 样 做 会 减 慢 系 统 的 关 闭 速 度 ， 如 果 不 是 非 常 必 要 ， 不 建 议 您 启用 这

23、个 策 略 。 6. 防 止 菜 单 泄 漏 隐 私在 开 始 菜 单 中 有 一 个 “我 最 近 的 文 档 ”菜 单 项 ， 可 以 记 录 您 曾 经访 问 过 的 文 件 。 这 个 功 能 可 以 方 便 用 户 再 次 打 开 该 文 件 ， 但 别 人 也 可 通 过 此菜 单 访 问 您 最 近 打 开 的 文 档 ， 为 安 全 起 见 ， 可 屏 蔽 此 项 功 能 。 具 体 操 作 步 骤如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器

24、 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “用 户 配 置 管理 模 板 开 始 菜 单 和 任 务 栏 ”， 分 别 在 右 侧 窗 格 中 双 击 “不 要 保 留 最近 打 开 文 档 的 历 史 ”和 “退 出 时 清 除 最 近 打 开 的 文 档 的 历 史 ”(如 图 11 所示 )， 打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 11 双 击 “退 出 时 清 除 最 近 打 开 的 文 档 的 历 史 ” (3)分 别 在 “不 要 保 留 最 近 打 开 文 档 的 历 史 ”和 “退 出 时 清 除

25、最 近 打 开的 文 档 的 历 史 ”属 性 对 话 框 中 勾 选 “已 启 用 ”， 按 “确 定 ”即 可 。 如 果 启 用 “退 出 时 清 除 最 近 打 开 的 文 档 的 历 史 ”设 置 ， 系 统 就 会 在 用户 注 销 时 删 除 最 近 使 用 的 文 档 文 件 的 快 捷 方 式 。 因 此 ， 用 户 登 录 时 ， 开始 菜 单 上 的 “最 近 的 项 目 ”菜 单 总 是 空 的 。 如 果 禁 用 或 不 配 置 此 设 置 ， 系统 就 会 保 留 文 档 快 捷 方 式 ， 这 样 用 户 登 录 时 ， “最 近 的 项 目 ”菜 单 中 的 内

26、容 与 用 户 注 销 时 一 样 。 提 示 ： 系 统 在 “系 统 驱 动 器 Documents and Settings用 户 名 我 最 近的 文 档 ”文 件 夹 中 的 用 户 配 置 文 件 中 保 存 文 档 快 捷 方 式 。 当 没 有 选 择 “从 开 始 菜 单 删 除 最 近 的 项 目 菜 单 ”和 “不 要 保 留 最 近 打开 的 文 档 的 历 史 ”策 略 任 何 一 个 相 关 设 置 时 ， 此 项 设 置 才 能 使 用 。 7. 别 让 搜 索 泄 露 隐 私快 捷 搜 索 框 是 Windows 7 的 一 大 特 色 ， 尤 其 在 执 行

27、文 件 夹 搜 索 时 非 常 方便 。 不 过 这 一 功 能 有 时 也 特 别 令 人 尴 尬 ， 那 就 是 会 自 动 保 存 下 所 有 历 史 搜 索 ，而 且 并 没 有 提 供 清 除 功 能 ， 其 中 一 些 隐 私 内 容 就 会 挥 之 不 去 。 使 用 组 策 略 随 时 清 空 搜 索 历 史 是 一 个 很 好 的 补 救 措 施 ， 具 体 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对

28、 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “用 户 配 置 管理 模 板 Windows 组 件 Windows 资 源 管 理 器 ”， 在 右 侧 窗 格 中 双 击 “在Windows 资 源 管 理 器 搜 索 框 中 关 闭 最 近 搜 索 条 目 的 显 示 ”(如 图 12 所 示 )，打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 12 双 击 “在 Windows 资 源 管 理 器 搜 索 框 ” (3)选 择 “已 启 用 ”(如 图 13 所 示 )， 按 “确 定 ”之 后 搜 索 历 史 即 被 清空 ， 当 然 以 后 也

29、就 不 会 自 动 保 存 了 。 图 13 选 择 “已 启 用 ” 8. 拒 绝 使 用 没 有 签 证 的 桌 面 小 工 具现 在 的 病 毒 和 木 马 真 是 十 分 的 狡 猾 ， 竟 然 能 够 利 用 桌 面 小 工 具（ Windows Vista 中 称 边 栏 小 工 具 ） 入 侵 系 统 ， 虽 然 系 统 能 够 检 测 到 如 ：“天 气 与 生 活 ”这 款 小 工 具 没 有 得 到 微 软 认 可 的 有 效 数 字 签 名 ， 但 用 户 只要 单 击 “安 装 ”按 钮 ， 即 可 顺 利 完 成 安 装 进 程 。 如 何 防 止 这 些 没 有 签

30、 证 的 桌面 小 工 具 给 系 统 可 能 带 来 的 潜 在 危 险 呢 ？ 通 过 组 策 略 可 以 拒 绝 使 用 没 有 签 证的 桌 面 小 工 具 ， 具 体 操 作 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “计 算 机 配 置 管 理 模 块 windows 组 件 桌 面 小 工 具 ”， 在 右 侧 窗 格 中 双 击 “限

31、 制 未 经数 字 签 名 的 小 工 具 的 解 包 和 安 装 ”(如 图 14 所 示 )， 打 开 目 标 策 略 属 性 设 置对 话 框 。 图 14 双 击 “限 制 未 经 数 字 签 名 的 小 工 具 的 解 包 和 安 装 ” (3)在 “限 制 未 经 数 字 签 名 的 小 工 具 的 解 包 和 安 装 ”属 性 对 话 框 中 勾 选“已 启 用 ”(如 图 15 所 示 )， 按 “确 定 ”， 则 Windows 桌 面 小 工 具 不 会 提取 未 经 数 字 签 名 的 任 何 小 工 具 。 图 15 “限 制 未 经 数 字 签 名 的 小 工 具 的

32、 解 包 和 安 装 ” 提 示 ： 默 认 情 况 下 ， Windows 桌 面 小 工 具 是 可 以 安 装 未 签 名 的 工 具 软 件 ，但 是 如 果 启 用 上 述 设 置 ， Windows 桌 面 小 工 具 将 不 会 再 允 许 用 户 安 装 未 经 签名 的 软 件 ， 包 括 一 些 压 缩 文 件 。 这 将 给 用 户 的 系 统 带 来 一 定 的 安 全 保 障 。 9. 完 全 禁 止 使 用 U 盘现 在 U 盘 已 经 相 当 普 及 ， 电 脑 里 面 的 资 料 很 容 易 被 复 制 ， 这 对 电 脑 中 的资 料 无 疑 是 一 种 威

33、胁 。 如 果 您 的 电 脑 中 有 一 些 重 要 的 资 料 ， 那 就 要 小 心 了 。难 道 要 把 USB 端 口 给 拆 下 来 吗 ？ 当 然 不 是 。 其 实 运 用 Windows 7 系 统 本 身的 禁 止 使 用 USB 设 备 的 功 能 ， 就 能 彻 底 解 决 这 一 问 题 。 具 体 操 作 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形

34、 图 中 依 次 展 开 “计 算 机 配 置 管 理 模 板 系 统 可 移 动 存 储 访 问 ”， 在 右 侧 窗 格 中 双 击 “所 有 可 移 动 存储 类 ： 拒 绝 所 有 权 限 ”， 打 开 目 标 策 略 属 性 设 置 对 话 框 （ 如 图 16 所 示 ） 。 图 16 打 开 “所 有 可 移 动 存 储 类 ： 拒 绝 所 有 权 限 ” (3)在 “所 有 可 移 动 存 储 类 ： 拒 绝 所 有 权 限 ”属 性 对 话 框 中 勾 选 “已 启用 ”(如 图 17 所 示 )， 按 “确 定 ”按 钮 就 可 以 完 全 禁 止 USB 存 储 类 设

35、备 了 。 图 17 “所 有 可 移 动 存 储 类 ： 拒 绝 所 有 权 限 ”属 性 框 10. 禁 止 数 据 写 入 U 盘如 果 您 不 准 备 完 全 禁 止 USB 设 备 ， 希 望 能 读 取 U 盘 的 内 容 ， 只 是 禁 止数 据 写 入 U 盘 。 具 体 操 作 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “计 算 机

36、 配 置 管 理 模 板 系 统 可 移 动 存 储 访 问 ”， 在 右 侧 窗 格 中 双 击 “可 移 动 磁 盘 ：拒 绝 写 入 权 限 ”(如 图 18 所 示 )， 打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 18 双 击 “可 移 动 磁 盘 ： 拒 绝 写 入 权 限 ” (3)在 “可 移 动 磁 盘 ： 拒 绝 读 取 权 限 ”属 性 对 话 框 中 勾 选 “已 启 用 ”(如 图 19 所 示 )， 按 “确 定 ”按 钮 即 可 。 图 19 “可 移 动 磁 盘 ： 拒 绝 读 取 权 限 ”属 性 对 话 框 提 示 ： 以 上 对 U 盘 进

37、 行 了 禁 止 写 入 设 置 。 如 果 要 U 盘 禁 止 读 取 ， 而 允许 写 入 数 据 ， 那 可 以 启 用 “可 移 动 磁 盘 ： 拒 绝 读 取 权 限 ”来 实 现 。 11. 允 许 识 别 指 定 U 盘以 上 “禁 止 使 用 U 盘 ”和 “禁 止 数 据 写 入 U 盘 ”两 项 设 置 ， 在 保 护 自己 电 脑 资 料 的 同 时 也 给 自 己 带 来 了 很 大 的 不 便 ， 如 何 让 系 统 只 能 使 用 指 定 的U 盘 或 者 移 动 硬 盘 呢 ？ 通 过 组 策 略 “允 许 识 别 指 定 U 盘 ”可 能 解 决 这 一 问 题

38、 。操 作 步 骤 如 下 ： (1)把 U 盘 插 入 到 Windows 7 系 统 的 USB 接 口 中 ， 让 系 统 可 以 正 常 使 用U 盘 ， 接 着 进 入 “控 制 面 板 ”， 双 击 “硬 件 和 声 音 ”、 “设 备 管 理 器 ”(如图 20 所 示 )。 图 20 双 击 “硬 件 和 声 音 ”、 “设 备 管 理 器 ” (2)展 开 “便 携 设 备 ”， 可 以 看 见 里 面 有 您 刚 刚 插 入 的 U 盘 ， 在 上 面 点击 鼠 标 右 键 来 选 择 “属 性 ”(如 图 21 所 示 )。 图 21 展 开 “便 携 设 备 ” (3)

39、在 弹 出 的 “属 性 ”窗 口 中 点 击 “详 细 信 息 ”标 签 ， 然 后 在 设 备 “属性 ”下 拉 框 中 选 择 “硬 件 ID”， 下 面 的 “值 ”中 会 出 现 字 符 串 ， 这 个 就 是您 的 U 盘 的 硬 件 ID， 把 它 复 制 出 来 保 存 好 。 (4)复 制 “通 用 串 行 总 线 控 制 器 ”中 “USB 大 容 量 存 储 设 备 ”的 硬 件ID， 在 “设 备 管 理 器 ”中 展 开 “通 用 串 行 总 线 控 制 器 ”列 表 ， 找 到 “USB大 容 量 存 储 设 备 ”(如 图 22 所 示 )。 图 22 找 到 “

40、USB 大 容 量 存 储 设 备 ” (5)在 它 的 “属 性 ”窗 口 中 点 击 “详 细 信 息 ”标 签 ， 复 制 出 它 的 硬 件ID(如 图 23 所 示 )。 图 23 复 制 出 U 盘 硬 件 ID (6)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 依 次 展 开 “计 算 机 配 置 管 理 模 板 系 统 设 备 安 装 设 备 安 装 限 制 ”(如 图 24 所 示 )。 图 24 双 击 “禁 止 安 装 未 由 其 他 策 略 设

41、置 描 述 的 设 备 ” (7)双 击 右 侧 的 “禁 止 安 装 未 由 其 他 策 略 设 置 描 述 的 设 备 ”， 在 弹 出 的窗 口 中 选 择 “已 启 用 ”， 再 点 击 “确 定 ”按 钮 ， 设 置 它 可 以 来 禁 止 策 略 没 描述 的 USB 设 备 (如 图 25 所 示 )。 图 25 禁 止 安 装 未 由 其 他 策 略 设 置 描 述 的 设 备 (8)双 击 右 侧 的 “允 许 安 装 与 下 列 设 备 ID 相 匹 配 的 设 备 ”(如 图 26 所示 )， 在 弹 出 的 窗 口 中 选 择 “已 启 用 ”， 单 击 “显 示 ”按

42、 钮 ， 将 允 许 安 装 的U 盘 的 硬 件 ID 粘 贴 到 其 中 ， 再 点 击 “确 定 ”按 钮 。 图 26 允 许 安 装 与 下 列 设 备 ID 相 匹 配 的 设 备 12. 禁 止 光 盘 自 动 播 放光 盘 自 动 播 放 虽 然 能 给 您 带 来 了 许 多 便 利 ， 但 有 些 时 候 也 会 带 来 不 少 麻烦 。 默 认 状 态 下 ， 当 您 将 光 盘 插 入 光 驱 时 ， 系 统 就 会 自 动 读 取 光 驱 ， 并 启 动autorun.inf 指 定 的 应 用 程 序 。 这 一 默 认 状 态 对 系 统 来 说 是 极 不 安

43、全 的 ， 说不 定 自 动 运 行 的 是 一 个 木 马 程 序 。 有 时 插 入 光 盘 仅 仅 是 想 查 看 一 下 光 盘 中 的内 容 ， 自 动 播 放 功 能 会 使 您 这 一 简 单 想 法 的 实 现 变 得 复 杂 。 关 闭 光 盘 自 动 播放 实 属 明 智 之 举 。 用 组 策 略 可 以 关 闭 光 盘 自 动 播 放 功 能 ， 具 体 操 作 步 骤 如 下 ：(1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策

44、 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “用 户 配 置 管理 模 板 windows 组 件 自 动 播 放 策 略 ”， 在 右 侧 窗 格 中 双 击 “关 闭 自 动播 放 ”(如 图 27 所 示 )， 打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 27 双 击 “关 闭 自 动 播 放 ” (3)在 “关 闭 自 动 播 放 ”属 性 对 话 框 中 勾 选 “已 启 用 ”(如 图 28 所 示 )，在 “关 闭 自 动 播 放 ”框 中 选 择 “CD-ROM 启 动 器 ”或 “所 有 驱 动 器 ”项 按“确 定 ”即 可

45、 。 图 28 “关 闭 自 动 播 放 ”对 话 框 注 意 ： 插 入 光 盘 时 按 住 shift 键 可 禁 止 光 盘 自 动 播 放 。 这 种 方 式 最 好 能成 为 使 用 陌 生 光 盘 时 的 一 种 操 作 习 惯 。 此 设 置 不 阻 止 自 动 播 放 音 乐 CD。 13. 禁 止 安 装 移 动 设 备如 果 不 希 望 其 他 人 在 您 的 电 脑 上 随 便 使 用 移 动 设 备 ， 则 可 以 通 过 组 策 略禁 止 安 装 可 移 动 设 备 。 具 体 操 作 步 骤 如 下 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文

46、 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “计 算 机 配 置 管 理 模 块 系 统 设 备 安 装 设 备 安 装 限 制 ”， 在 右 侧 窗 格 中 双 击 “禁 止安 装 可 移 动 设 备 ”(如 图 29 所 示 )， 打 开 目 标 策 略 属 性 设 置 对 话 框 。 图 29 双 击 “禁 止 安 装 可 移 动 设 备 ” (3)在 属 性 对 话 框 中 勾 选 “已 启 用 ”并 按 “确 定 ”。 如

47、 果 启 用 了 此 设 置 ，则 不 会 安 装 可 移 动 设 备 ， 而 且 无 法 更 新 现 有 可 移 动 设 备 的 驱 动 程 序 。 如 果 未 配 置 或 禁 用 了 此 设 置 ， 那 么 ， 只 要 其 他 策 略 设 置 允 许 安 装 设 备 ，就 可 以 安 装 可 移 动 设 备 和 更 新 现 有 的 可 移 动 设 备 。 提 示 ： 此 策 略 设 置 比 允 许 安 装 设 备 的 任 何 其 他 策 略 设 置 的 优 先 级 都 高 。如 果 此 策 略 设 置 禁 止 安 装 某 个 设 备 ， 那 么 ， 即 使 该 设 备 与 允 许 安 装

48、它 的 其 他策 略 设 置 相 匹 配 ， 也 将 无 法 安 装 或 更 新 该 设 备 。 对 于 此 策 略 ， 当 设 备 所 连 接 到 的 设 备 驱 动 程 序 该 设 备 可 移 动 时 ， 设 备 被认 为 是 可 移 动 设 备 。 例 如 ， 设 备 连 接 到 的 USB 集 线 器 的 驱 动 程 序 报 告 某 个通 用 串 行 总 线 (USB)设 备 是 可 移 动 设 备 。 如 果 此 计 算 机 是 一 台 终 端 服 务 器 ， 则 启 用 此 策 略 还 会 影 响 指 定 的 设 备 从终 端 服 务 客 户 端 重 定 向 到 此 计 算 机 。

49、 注 意 ： 禁 止 安 装 可 移 动 设 备 对 提 高 系 统 安 装 性 能 非 常 有 效 ， 使 用 此 设 置可 防 止 可 移 动 设 备 如 盘 的 使 用 。 14. 防 止 用 户 访 问 所 选 驱 动 器若 要 防 止 用 户 使 用 “我 的 电 脑 ”访 问 所 选 驱 动 器 的 内 容 ， 可 按 以 下 步 骤操 作 ： (1)打 开 开 始 菜 单 ， 在 “搜 索 程 序 和 文 件 ”搜 索 框 中 输 入“gpedit.msc”并 回 车 ， 打 开 组 策 略 对 象 编 辑 器 。 (2)在 组 策 略 对 象 编 辑 器 窗 格 左 侧 的 树 形 图 中 依 次 展 开 “用 户 配 置 管理 模 板 Windows 组 件 Windows 资 源 管 理 器 ”， 在 右 侧 窗 格 中 双 击 “防 止用 户 使 用 我 的 电 脑 访 问 所 选 驱 动 器 的 内 容 ”， 打 开 目 标 策 略 属