如何阻止 .exe 从可移动媒体（例如 USB 驱动器）运行？

Question

我遇到用户从可移动存储（如记忆棒和 SD 卡）运行 .exe 的问题。

我正在尝试设置阻止从所有可移动存储中运行 exe 以解决此问题，但是在“用户配置 > Windows 设置 > 安全设置 > 软件限制策略 > 附加规则”下的组策略设置下，您可以创建“路径”多变的。我想为所有可移动存储使用系统变量，但不知道是否有一个有效的。我是否必须通过并为所有可能分配给可移动媒体（E:\ 到大约 L:\）的潜在驱动器号创建一个阻止列表，还是有一个真正有效的？我发现%~dp0这显然只适用于 for 循环、if 语句和批处理参数。

如果有其他更好或更可靠的措施，请告诉我。

哦，我看过 AppLocker，但我们的 DC 运行的是 Server 2008，我相信 AppLocker 是 Windows 7 和 2008 R2 的一部分。正如对下面答案的评论中提到的，我认为 Server 2008 没有“拒绝执行访问”设置，那么还有其他选项吗？

Answer 1

您可以通过 GPO 停止在可移动设备上执行软件。该设置位于计算机 > 管理模板 > 系统 > 可移动存储访问 > 可移动磁盘：拒绝执行访问

编辑：

您是否有权访问 Server 2008 R2 系统？如果是这样，您可以创建策略设置，将其备份到磁盘并将其传输到您的 Server 2008 系统，然后将策略导入回来。这不会使您能够修改策略，但您应该能够看到设置，Extra Registry Settings并且它应该可以在您的 Windows 7 客户端上正常工作。

如果有帮助，我刚刚创建了此类策略的备份，并将其放在Dropbox 上供您下载。您自己承担风险等的通常使用适用。