針對Windows 7(以下簡稱Win7)的優(yōu)化設(shè)置方法也層出不窮，用戶往往是東拼西湊，沒個頭緒，而且這些方法更是真?zhèn)坞y辨，效果到底如何也無從知曉。其實利用Win7的系統(tǒng)組策略功能，就可以實現(xiàn)Win7的系統(tǒng)優(yōu)化。本文為大家講解如何利用組策略，讓Win7變得更安全。注：組策略功能只在Win7專業(yè)版、旗艦版和企業(yè)版中提供。

文件保密 給驅(qū)動器穿上隱身衣

驅(qū)動器主要包括硬盤、光驅(qū)和移動設(shè)備等，主要用于存儲數(shù)據(jù)等。因此，限制驅(qū)動器的使用，可以有效防止重要和機密的信息外泄，阻擊病毒和木馬的入侵，十分必要。驅(qū)動器不同，限制方法也不同，而且同一種驅(qū)動器也有不同的限制級別。就說硬盤吧，一般有隱藏和禁止訪問兩種級別。隱藏級別比較初級，只是讓驅(qū)動器不可見，一般用于防范小孩和初級用戶，而禁止訪問則可徹底阻止驅(qū)動器的訪問。對于移動設(shè)備，可以選擇設(shè)置讀、寫和執(zhí)行權(quán)限，不過病毒和木馬一般通過執(zhí)行惡意程序來傳播，因此禁止執(zhí)行權(quán)限才最有效。

初級防御 普通用戶看不到

家里電腦硬盤上有一些重要文件，不想讓別人看到，最簡單的辦法就是把文件所在的驅(qū)動器隱藏起來。點擊“開始，在搜索框中輸入“gpedit.msc，確認后即打開了組策略編輯器，依次展開“用戶配置→管理模板→Windows組件→Windows資源管理器，在右邊設(shè)置窗口中，進入“隱藏‘我的電腦’中這些指定的驅(qū)動器，選擇“已啟用，在下面的下拉列表中選擇需要隱藏的驅(qū)動器，然后確定。再進入“計算機，剛才選擇的驅(qū)動器圖標就不見了。

提示：這個方法只是隱藏驅(qū)動器圖標，用戶仍可使用其他方法訪問驅(qū)動器的內(nèi)容，如在地址欄中直接鍵入驅(qū)動器上的目錄路徑。另外，此設(shè)置不會阻止用戶使用程序訪問這些驅(qū)動器或其內(nèi)容。

高級防御 特權(quán)用戶才能用

系統(tǒng)盤里面有重要的系統(tǒng)文件，不能讓別人隨便修改或移動。特別是有些分區(qū)存有重要文件時，如果只是隱藏驅(qū)動器，別人還是能夠訪問，這樣當然不行!最安全的方法就是把相關(guān)驅(qū)動器保護起來，禁止無權(quán)限的用戶訪問。

同樣，在組策略管理器當中依次展開“用戶配置→管理模板→Windows組件→Windows資源管理器，進入“防止從‘我的電腦’訪問驅(qū)動器，選擇“已啟用，在下面的下拉列表中選擇需要禁止訪問的驅(qū)動器，確定后即可生效(如圖1所示)。別人再想訪問相關(guān)驅(qū)動器時，會出現(xiàn)“限制的提示窗口!當自己需要查看時，只要把相關(guān)的策略設(shè)置從“已啟用改成“未配置即可。

提示：如何阻止其他人使用組策略編輯呢？很簡單，通過建立不同權(quán)限的用戶，讓其他人使用普通User類型的賬戶(無權(quán)開啟組策略編輯器)就可以了。

禁用移動設(shè)備執(zhí)行權(quán)限 斷木馬病毒后路

移動設(shè)備(例如閃存、移動硬盤等)已經(jīng)成為不少用戶的標準配置，使用也最為廣泛。正因如此，它也成了病毒和木馬傳播的主要途徑。而普通的限制讀寫權(quán)限并不能阻止病毒和木馬入侵，因為病毒傳播都是通過執(zhí)行病毒和木馬程序來實現(xiàn)的，因此禁用執(zhí)行權(quán)限就能切斷病毒傳播途徑。

依次展開“計算機配置→管理模板→系統(tǒng)→可移動存儲訪問，進入“可移動磁盤：拒絕執(zhí)行權(quán)限，選擇“已啟用，確定后設(shè)置生效。移動設(shè)備上的可執(zhí)行文件將不能執(zhí)行，計算機也就不會再被病毒感染。而如果需要執(zhí)行，只需要拷貝到硬盤當中即可。

上網(wǎng)沖浪 給瀏覽器穿上鐵布衫

電腦最重要的用途之一就是上網(wǎng)，可是說實話，現(xiàn)在上網(wǎng)一點也不省心，病毒、木馬和流氓軟件橫行，連不少大網(wǎng)站都會被掛馬，用戶真是防不勝防。而很多惡意軟件都會竄改瀏覽器主頁或瀏覽器的其他設(shè)置，一旦中招，打開瀏覽器就會彈出亂七八糟的頁面甚至是木馬網(wǎng)站，讓用戶叫苦不迭!另外，有些用戶利用瀏覽器下載文件毫無規(guī)律，常常搞得文件混亂，病毒文件一旦下載就很難清除。因此如何增強瀏覽器的“免疫力就顯得特別重要。

鎖定主頁

主頁被竄改是最常見的，而利用組策略鎖定后，就可以徹底解決這一問題。不僅不會再彈出亂七八糟的頁面，更是降低了再次中毒和中木馬的幾率。依次展開“用戶配置→管理模板→Windows組件→Internet Explorer，進入“禁用更改主頁設(shè)置，選擇“已啟用，“選項下面輸入默認主頁，確定后，設(shè)置生效(如圖2所示)。

提示：啟用此策略設(shè)置后，用戶將無法對默認主頁進行設(shè)置，因此如果需要，用戶必須在修改設(shè)置前指定一個默認主頁。

冰封IE設(shè)置

如同上文所述，一旦系統(tǒng)中毒或中了木馬，除了IE主頁會被竄改，其他的IE設(shè)置也可能會被竄改。因此給IE設(shè)置加上防護罩也是非常有必要的。特別是IE設(shè)置一旦設(shè)定之后，可能長期都不會改變，因此不如徹底冰封!

依次展開“用戶配置→管理模板→Windows組件→Internet Explorer→Internet控制面板，右邊窗格有“禁用高級頁、“禁用連接頁、“禁用內(nèi)容頁、“禁用常規(guī)頁、“禁用隱私頁、“禁用程序頁和“禁用安全頁，分別對應(yīng)IE里“Internet選項中的七個選項卡(如圖3所示)。如全部啟用，打開“Internet選項將出現(xiàn)“限制的出錯對話框，這就徹底杜絕了對IE瀏覽器設(shè)置的修改。

提示：啟動“禁用常規(guī)頁將會刪除“Internet選項中的“常規(guī)選項卡。如果啟用此策略，則用戶無法查看和更改主頁、緩存、歷史記錄、網(wǎng)頁外觀以及輔助功能的設(shè)置。因為此策略會刪除“常規(guī)選項卡，所以如果設(shè)置此策略，則無須設(shè)置以下Internet Explorer策略――“禁用更改主頁設(shè)置、“禁用更改Internet臨時文件設(shè)置、“禁用更改歷史記錄設(shè)置、“禁用更改顏色設(shè)置、“禁用更改鏈接顏色設(shè)置、“禁用更改字體設(shè)置、“禁用更改語言設(shè)置和“禁用更改輔助功能設(shè)置。

權(quán)限管理 給系統(tǒng)配上火眼金睛

現(xiàn)在有些軟件真流氓，例如很多軟件美其名曰為了方便別人使用，卻會在軟件打包或者綠化的過程中惡意捆綁一些程序或者將一些網(wǎng)頁也打包進去。方法一般很低級，無非是通過批處理文件和手動注入注冊表信息來實現(xiàn)，因此我們可以利用組策略來禁止一些危險類型的文件運行。此外一些公共場所(如辦公室等)，很多軟件都是不允許使用的(如聊天軟件等)，那么管理人員也可以利用組策略來實現(xiàn)有效地管理。

禁止危險文件運行

有些類型的文件(如“.reg注冊表文件和“.bat批處理文件)一般用戶很少用得上，而且又很容易被病毒或木馬利用，因此禁止這些類型的文件運行就可以在一定程度上保障計算機的安全。

依次展開“計算機配置→Windows設(shè)置→安全設(shè)置→軟件限制策略，在彈出的右鍵菜單上選擇“創(chuàng)建軟件限制策略，會自動生成“安全級別、“其他規(guī)則、“強制、“指定的文件類型和“受信任的發(fā)布者五項。進入“指定的文件類型的屬性窗口，只留下需要禁止的文件類型，例如“bat批處理文件，將其他的文件類型全部刪除。如果類型不在列表中，就直接在下面的“文件擴展名文本框中輸入要禁用的文件類型，添加進去即可。再進入“安全級別→不允許，點擊“設(shè)為默認按鈕，此策略即生效。再運行任何批處理文件時，就會被阻止執(zhí)行。

禁用程序 穿上馬甲我也認識你

除此之外，很多公司都不允許使用聊天軟件。以QQ為例，如果直接卸載QQ，使用者還可能再安裝，或者把軟件安裝到其他位置。此時不妨利用組策略來輕松搞定。

依次展開“計算機配置→Windows設(shè)置→安全設(shè)置→軟件限制策略→其他規(guī)則，選擇“新建哈希規(guī)則(如圖4所示)。點擊“瀏覽選擇QQ的執(zhí)行文件“QQ.exe，“文件信息下面第一行就是生成的哈希值，這個值是唯一的，下面還會顯示出文件的基本信息，“安全級別選擇“不允許。確認、注銷后，再次登錄，設(shè)置即可生效。

提示：采用哈希規(guī)則的好處是不管程序被改名或是移動位置或其他任何操作，只要哈希值被驗證一致，那么限制就不會失效!因此可以有效限制某些軟件的運行。