修改策略，让系统只运行信任程序

    　如果我们能够防患未然，提前在计算机系统做好安全防范设置，将启动运行权限只授予那些值得信任的少数几个应用程序，那么计算机系统日后即使不小心被感染了网络病毒，病毒程序也会因为无权运行而无法发作，那样计算机系统就不会遭受到安全攻击麻烦。现在，就让我们将启动运行权限授予少数几个值得信任的应用程序吧，下面就是具体的授权操作步骤：

    　首先以超级管理员身份登录进本地计算机系统，并依次执行“开始”/“运行”命令，在其后出现的系统运行文本框中输入字符串命令“gpedit.msc”，单击回车键后，进入到本地系统的组策略编辑界面；

    　其次将鼠标定位于组策略编辑界面左侧显示区域的“用户配置”分支上，然后用鼠标依次选中该分支下面的“管理模板”、“系统”选项，在“系统”选项所在的右侧显示区域中找到“只运行许可的Windows应用程序”策略，并用鼠标双击该策略选项；

    　在随后弹出的策略属性界面中选中“已启用”选项，这样一来“显示”按钮将被自动激活，单击该“显示”按钮，进入到“显示内容”窗口，如图1所示；  

    　单击该窗口中的“添加”按钮，在其后出现的添加项目对话框中，输入可信任应用程序的具体路径信息，并单击“确定”按钮返回到如图1所示的窗口，这时我们就能从“显示内容”窗口中看到刚刚添加的可信任应用程序了。按照相同的操作办法，可以将其他可信任应用程序逐一添加到“显示内容”窗口中，添加操作完毕后，再单击“确定”按钮，这样一来在本地计算机系统中除了我们指定的可信任应用程序外，其他任何程序包括病毒或木马程序都将无权自动启动运行，那样一来网络病毒或木马程序由于无法发作，而导致其攻击力和破坏力全部丧失。

   　设置权限，阻止加入注册表启动项

    　我们知道，一般的网络病毒或木马程序相当狡猾，它们常常会强行修改本地计算机系统的注册表启动项，以便能够让自己随系统一起启动运行。为了防止病毒强行加入到注册表启动项，我们可以将注册表启动项的访问权限设置成“只读”状态，那样一来网络病毒或木马程序就无法随系统启动而运行发作了：

    　首先以系统管理员身份登录进本地计算机系统，并在该系统桌面中打开“开始”菜单，选择其中的“运行”命令，在弹出的运行对话框中，输入字符串命令“regedit”，单击“确定”按钮后，打开本地计算机的注册表编辑窗口；

    　在该编辑窗口的左侧显示区域，用鼠标依次展开注册表子项“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”，然后选中注册表子项“Run”；

　　接着依次单击注册表编辑窗口菜单栏中的“编辑”/“权限”命令，打开“Run”子项的权限设置窗口；在该设置窗口的“组或用户名称”列表中，将除了“everyone”之外的其他帐号全部删除，然后选中“everyone”帐号，在对应该帐号下面的权限列表中，将“读取”权限设置为“允许”，将其他权限全部设置为“拒绝”（如图2所示），再单击“确定”按钮返回到注册表主编辑窗口；  

　　按照相同的办法，找到注册表分支“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce”，打开“RunOnce”子项的权限设置窗口，在该设置窗口中将除了“everyone”之外的其他帐号全部删除，然后将“everyone”帐号权限设置成“只读”，最后重新启动一下计算机系统就能使设置生效了。

[1] [2] 下一页