年前，有客戶反饋，被郵件中的惡意程序或者說是病毒攻擊了，很多臺電腦中招，申請購買郵件網(wǎng)關(guān)被老板否決了——公司效益不佳，暫緩采購。
那怎么辦？問題來了，總不能眼睜睜看著它啊，至少得想辦法抵擋一下，否則IT人員不是要被折騰壞了。
有求必應(yīng)，能不花錢就不花錢，是我們服務(wù)的宗旨——難怪做到現(xiàn)在沒發(fā)財啊，哈哈。好了好了，閑話少說，還說說正事兒吧，域環(huán)境就是好，萬能的組策略能免費解決很多問題。
今天我們要用到的是：軟件限制策略 (簡稱為SRP) ，能識別和控制計算機上運行的軟件程序，它可以與AD域和組策略集成，也可以在獨立的計算機上進行配置。一般是用于限制用戶運行一些未經(jīng)許可的軟件，今天拿它來限制郵件中的病毒和惡意程序的運行，效果也是一樣的。
注意：本文適用范圍：Windows Server 2012以上，單機的話，就不是組策略了，而是本地安全策略（配置方法基本上相同），Win10和Win11肯定可以，win7應(yīng)該沒多少人在用了吧。
打開“Windows管理工具”，打開“組策略管理”，依次點擊“計算機配置”、“策略”、“Windows設(shè)置”、“安全設(shè)置”、“軟件限制策略”、然后鼠標(biāo)右鍵點擊“其他策略”，在彈出的菜單中選擇“新建路徑規(guī)則”
下面是以O(shè)utlook為例做的配置，如果是郵件客戶端是Foxmail，那么“路徑”需要是Foxmail所在的路徑。
安全級別當(dāng)然是選擇：“不允許”，意思是不允許病毒或者惡意程序從郵件目錄中運行。
病毒和惡意程序，都是可執(zhí)行程序，微軟已經(jīng)把常見的可執(zhí)行代碼都給咱們定義好了，一般就保持默認(rèn)就可以了，當(dāng)然，如果你發(fā)現(xiàn)了某個類型的惡意程序，也可以很方便地添加，輸入文件擴展名就行了。
默認(rèn)情況下，軟件限制策略不檢查動態(tài)鏈接庫 (DLL)， 但是，如果你擔(dān)心會接收到針對 DLL 的病毒，則可以要求檢查 DLL，但是會降低系統(tǒng)性能。
注意，服務(wù)器端配置完成后，客戶端不會立即生效，一般來說，兩小時左右才會生效，并且，只是簡單地重啟客戶端是沒用的，需要執(zhí)行g(shù)pupdate /force命令，才能強制刷新組策略，從而立即生效。
除了用組策略（本地安全策略）中的軟件限制策略來阻止郵件中的惡意程序，我們還應(yīng)該使用殺毒軟件來監(jiān)控郵件附件，下圖以火絨安全軟件為例說明配置方法，一般來說，都是默認(rèn)打開的，為保險起見，還是檢查一下殺毒軟件為妙。
沒有哪個殺毒軟件能保證幫你百分之百扼殺病毒，況且很多人還只用免費的，但是不配置甚至是不安裝殺毒軟件，那就是給自己找麻煩了。
企業(yè)級的防火墻（包括部分路由器）一般都會有郵件過濾功能，也應(yīng)該打開一下，肯定有一定的防護作用，當(dāng)然了，垃圾郵件并不代表就一定含有病毒和惡意程序，很多時候，它只是垃圾而已，但是就算無害，看上去不也礙眼么，所以還是必須過濾一下。
如果防火墻購買了安全授權(quán)，那就應(yīng)該配置反病毒策略，其中肯定有郵件方面的監(jiān)測和防護，這樣才能真正防止病毒和惡意程序藏身于郵件附件中，從而達到保護內(nèi)網(wǎng)安全的目的。
如果是自建的郵件服務(wù)器，除了硬件防火墻之外，郵件網(wǎng)關(guān)也是必備的設(shè)備之一，切記不可托大，別等中招了才后悔莫及，這些都是很多人的血淚史換來的經(jīng)驗教訓(xùn)，特此與君共勉。
