郵件傳播的病毒和惡意程式防不勝防？其實微軟自帶的工具就挺好的

年前，有客戶反饋，被郵件中的惡意程式或者說是病毒攻擊了，很多臺電腦中招，申請購買郵件閘道器被老闆否決了——公司效益不佳，暫緩採購。

那怎麼辦？問題來了，總不能眼睜睜看著它啊，至少得想辦法抵擋一下，否則IT人員不是要被折騰壞了。

有求必應，能不花錢就不花錢，是我們服務的宗旨——難怪做到現在沒發財啊，哈哈。好了好了，閒話少說，還說說正事兒吧，域環境就是好，萬能的組策略能免費解決很多問題。

今天我們要用到的是：軟體限制策略 （簡稱為SRP） ，能識別和控制計算機上執行的軟體程式，它可以與AD域和組策略整合，也可以在獨立的計算機上進行配置。一般是用於限制使用者執行一些未經許可的軟體，今天拿它來限制郵件中的病毒和惡意程式的執行，效果也是一樣的。

注意：本文適用範圍：Windows Server 2012以上，單機的話，就不是組策略了，而是本地安全策略（配置方法基本上相同），Win10和Win11肯定可以，win7應該沒多少人在用了吧。

開啟“Windows管理工具”，開啟“組策略管理”，依次點選“計算機配置”、“策略”、“Windows設定”、“安全設定”、“軟體限制策略”、然後滑鼠右鍵點選“其他策略”，在彈出的選單中選擇“新建路徑規則”

下面是以Outlook為例做的配置，如果是郵件客戶端是Foxmail，那麼“路徑”需要是Foxmail所在的路徑。

安全級別當然是選擇：“不允許”，意思是不允許病毒或者惡意程式從郵件目錄中執行。

病毒和惡意程式，都是可執行程式，微軟已經把常見的可執行程式碼都給咱們定義好了，一般就保持預設就可以了，當然，如果你發現了某個型別的惡意程式，也可以很方便地新增，輸入副檔名就行了。

預設情況下，軟體限制策略不檢查動態連結庫 （DLL）， 但是，如果你擔心會接收到針對 DLL 的病毒，則可以要求檢查 DLL，但是會降低系統性能。

注意，伺服器端配置完成後，客戶端不會立即生效，一般來說，兩小時左右才會生效，並且，只是簡單地重啟客戶端是沒用的，需要執行gpupdate /force命令，才能強制重新整理組策略，從而立即生效。

除了用組策略（本地安全策略）中的軟體限制策略來阻止郵件中的惡意程式，我們還應該使用防毒軟體來監控郵件附件，下圖以火絨安全軟體為例說明配置方法，一般來說，都是預設開啟的，為保險起見，還是檢查一下防毒軟體為妙。

沒有哪個防毒軟體能保證幫你百分之百扼殺病毒，況且很多人還只用免費的，但是不配置甚至是不安裝防毒軟體，那就是給自己找麻煩了。

企業級的防火牆（包括部分路由器）一般都會有郵件過濾功能，也應該開啟一下，肯定有一定的防護作用，當然了，垃圾郵件並不代表就一定含有病毒和惡意程式，很多時候，它只是垃圾而已，但是就算無害，看上去不也礙眼麼，所以還是必須過濾一下。

如果防火牆購買了安全授權，那就應該配置反病毒策略，其中肯定有郵件方面的監測和防護，這樣才能真正防止病毒和惡意程式藏身於郵件附件中，從而達到保護內網安全的目的。

如果是自建的郵件伺服器，除了硬體防火牆之外，郵件閘道器也是必備的裝置之一，切記不可託大，別等中招了才後悔莫及，這些都是很多人的血淚史換來的經驗教訓，特此與君共勉。