简单辅助杀软 增强防毒效果组策略

简单辅助杀软增强防毒效果组策略这里沿用系统自带，不添加基本用户权限，简单设置一下，以满足传统杀软+防火墙使用者的增强防毒效果的使用要求。

该方案是xp上的，以XP为例。

一、软件限制策略这个是主要部分，所谓的AD部分，需要注意一下路径问题：1、支持系统环境变量，但不是全支持，有效没效，最好自己检验下2、组策略使用通配符时，不支持无限穿越，也就是说**\*.EXE = *\*.EXE = ?:\*.EXE 仅代表磁盘根目录下的exe文件**\**\* = *\*\* =?:\*\* 任何磁盘根目录下的下一层目录比如 D:\音乐\新建文件夹3、表示计算机内任意位置的某文件时，有两种写法a、带通配符 *.EXE 表示任意位置的exe文件b、直接写文件名 QQ.EXE 表示任意位置名为QQ.EXE的文件具体设置，看各人的实际需要进行取舍，以下示例只是简单设置下以满足“辅助加强”的需要：A、主要病毒藏身所留意一下病毒测试报告的话，可以发现，病毒最爱藏身之处有磁盘根目录：?:\*.* 路径不允许的【使用光盘上的安装文件时，有阻挡，自己排除】备份文件夹：?:\System Volume Information\*.* 路径不允许的?:\System Volume Information\*\*.* 路径不允许的?:\System Volume Information\*\*\*.* 路径不允许的回收站：?:\RECYCLE?\*\*.* 路径不允许的windows目录：按照绝对路径优先于通配符路径的关系，先把windows目录下的正常程序放行【根据你的实情写】C:\WINDOWS\_default.pif 路径不受限的C:\WINDOWS\Alcrmv.exe 路径不受限的C:\WINDOWS\alcupd.exe 路径不受限的C:\WINDOWS\explorer.exe 路径不受限的C:\WINDOWS\hh.exe 路径不受限的C:\WINDOWS\notepad.exe 路径不受限的C:\WINDOWS\regedit.exe 路径不受限的C:\WINDOWS\setdebug.exe 路径不受限的C:\WINDOWS\slrundll.exe 路径不受限的C:\WINDOWS\soundman.exe 路径不受限的C:\WINDOWS\TASKMAN.EXE 路径不受限的C:\WINDOWS\winhelp.exe 路径不受限的C:\WINDOWS\winhlp32.exe 路径不受限的然后阻止所有恶意及不明程序从windows目录下运行%windir%\*.* 路径不允许的B、阻止一些正常情况下不可能存在可执行文件而有可能被病毒利用的目录：%CommonProgramFiles%\*.* 路径不允许的%ProgramFiles%\*.* 路径不允许的%ProgramFiles%\Internet Explorer\PLUGINS\*.* 路径不允许的%ProgramFiles%\Internet Explorer\PLUGINS\*\*.* 路径不允许的%windir%\Debug\*.* 路径不允许的%windir%\Debug\*\*.* 路径不允许的%windir%\Downloaded Program Files\*.* 路径不允许的%windir%\Downloaded Program Files\*\*.* 路径不允许的%windir%\Downloaded Program Files\*\*\*.* 路径不允许的?:\Documents and Settings\*\「开始」菜单\程序\启动\*.* 路径不允许的?:\Documents and Settings\*\Local Settings\Application Data\*\*.* 路径不允许的?:\Documents and Settings\*\Local Settings\History\*\*.* 路径不允许的?:\Documents and Settings\*\Local Settings\Temporary InternetFiles\*.* 路径不允许的?:\Documents and Settings\*\Local Settings\Temporary InternetFiles\*\*.* 路径不允许的?:\Documents and Settings\*\Local Settings\Temporary InternetFiles\*\*\*.* 路径不允许的C、防止病毒假冒系统主要进程首先高优先允许系统进程：C:\WINDOWS\system32\csrss.exe 路径不受限的C:\WINDOWS\system32\ctfmon.exe 路径不受限的C:\WINDOWS\system32\lsass.exe 路径不受限的C:\WINDOWS\system32\notepad.exe 路径不受限的C:\WINDOWS\system32\rundll32.exe 路径不受限的C:\WINDOWS\system32\services.exe 路径不受限的C:\WINDOWS\system32\smss.exe 路径不受限的C:\WINDOWS\system32\spoolsv.exe 路径不受限的C:\WINDOWS\system32\svchost.exe 路径不受限的C:\WINDOWS\system32\userinit.exe 路径不受限的C:\WINDOWS\system32\winlogon.exe 路径不受限的然后禁止假冒系统进程的运行ctfm?n.* 路径不允许的csrss.* 路径不允许的exp??rer.exe 路径不允许的lass.exe 路径不允许的lsass.* 路径不允许的lssas.* 路径不允许的n?tepad.* 路径不允许的rund*.* 路径不允许的s?vch?st.* 路径不允许的serv?ces.* 路径不允许的smss.* 路径不允许的sp???sv.* 路径不允许的user?n?t.* 路径不允许的win??g?n.* 路径不允许的如果担心病毒假冒显卡进程，也可以按以上方法进行处理。

D、阻止危险扩展名程序的运行*.*.bat 路径不允许的*.*.cmd 路径不允许的*.*.com 路径不允许*.*.pif 路径不允许的*.com 路径不允许的*.reg 路径不允许的E、为了防止病毒捣乱破坏，禁止调用系统自带的一些危险程序cscript.exe 路径不允许的wscript.exe 路径不允许的at.exe 路径不允许的cacls.exe 路径不允许的debug.exe 路径不允许的format.* 路径不允许的reg*.exe 路径不允许的【影响程序安装及文件注册】taskkill.exe 路径不允许的tftp.exe 路径不允许的F、防止个别病毒及流氓程序kill*.* 路径不允许的*Bar.exe 路径不允许的【可能影响个别程序安装】*Helper.exe 路径不允许的【可能影响个别程序安装】某些广告程序、流氓插件、恶意软件，自己用“散列规则”或者“路径规则”阻止一下即可。

G、可能影响程序安装的【安装程序有影响时请把它们删除，安装好程序再补上】*.*.exe 路径不允许的【应该影响很多安装程序】*.bat 路径不允许的【可能影响一些程序安装】【自己日常使用某些批处理文件请排除，例如?:\Documents and Settings\awei\桌面\系统垃圾清理.bat 路径不受限的】net.exe 路径不允许的【对个别程序安装会有影响，例如CHX防火墙】【影响系统更新】cmd.exe 路径不允许的【应该影响很多程序安装及卸载，安装和卸载程序时请删除】【影响系统更新】sc.exe 路径不允许的【可能影响一些程序安装好后的服务注册】【可能影响系统更新】%windir%\temp\*.* 路径不允许的【可能对极个别程序的安装有影响】%windir%\temp\**\*.* 路径不允许的【可能对极个别的程序安装有影响】使用过程中如果发现有影响，请及时调整处理【排除或删除】。

受阻的问题可以从控制面板-管理工具-事件查看器-应用程序里面黄色三角警告标志：如果要求再严密一点的话，请加上：*.cmd 路径不允许的*.scr 路径不允许的然后自己排除系统目录下的scr及cmd文件。

二、网络威胁防御1、用户权利指派请将本地策略-用户权利指派里的“拒绝从网络访问这台计算机”添加如下用户【对象类型请选择“组”】Administrators Everyone Guest 【有必要的话，所有的都添上，玩远程登录自己的计算机的就不要添 Guest 了，最好保持默认】2、危险com删除请根据自己实情，先备份以下注册表键【导出保存】，然后把它们删掉打开HKEY_CLASSES_ROOT\CLSID，删除以下键后台智能上传 {4991D34B-80A1-4291-83B6-3328366B9097}{69AD4AEE-51BE-439b-A92C-86AE490E8B30}远程桌面 {A6A6F92B-26B5-463B-AE0D-5F361B09C171}{E423AF7C-FC2D-11d2-B126-00805FC73204}{06290BD5-48AA-11D2-8432-006008C3FBFC} 网页恶意代码攻击可能用到的东东回到HKEY_CLASSES_ROOT主键，删除以下键远程帮助 RemoteHelper.RemoteHelper危险脚本 ADODB.Stream 网页恶意代码攻击常用的东东ADODB.Stream.6.0 网页恶意代码攻击常用的东东WScript.Shell 网页恶意代码攻击常用的东东WScript.Shell.1 网页恶意代码攻击常用的东东Scripting.FileSystemObject 网页恶意代码攻击常用的东东以上项目，xp上的，已经备份打包一个（见附件），需要的自己解压导入。

三、其它策略如果有兴趣和耐心，可以顺便再设置一下其它策略，一般可以不必理会。

愿意稍微设置一点点的，请参考：请打开本地策略-安全选项：“设备：防止用户安装打印机驱动程序”如果没有打印机或已经装过打印机驱动，可以考虑“启用”“设备：未签名驱动程序的安装” 可以设成“禁止安装”【某些程序安装受影响时再改回】“域控制器：拒绝更改机器账户密码” 可以考虑启用【自己要改时就“禁用”】“账户：重命名来宾账户”，“账户：重命名管理员账户”，可以改下。