电脑自己安装软件怎么阻止

电脑自动安装软件可以做到防患未然并且控制得当，主要靠的是分层次设置防御、限制权限以及从源头上进行拦截。Windows系统本身就包含了多种防护措施：禁止使用Windows Installer服务就可以直接中断.msi安装包的工作；把用户的账号降到最低权限级别就可以彻底取消静默安装所需要的系统写入权；再加上“只允许来自微软商店”的安装策略和UAC高级提示之后，既可以阻止第三方捆绑现象的发生，又能让每一次安装都要经过用户的主动确认；对于专业版以上的操作系统来说还可以叠加AppLocker路径规则或者注册表启动项控制来阻止下载目录、临时文件夹等危险区域被非法访问。以上所有的做法都是利用了系统的原有功能来进行操作，并不需要借助任何外挂程序来完成任务，在保证安全的同时也具有很好的效果。

禁止使用Windows Installer服务来阻止.msi安装文件的运行

该服务为大多数正规安装程序所依赖的基础软件，在被禁止之后就可以立刻阻止所有的使用msiexec.exe进行的静默安装行为了。操作步骤如下：按下Win+R组合键打开运行对话框，在其中输入services.msc来打开服务管理器；找到名为“Windows Installer”的服务，并右击它以进入其属性设置页面；把它的启动方式更改为“禁用”，然后点击“应用”按钮并且确认更改；需要注意的是，在禁用之后的部分系统组件更新或者打印机驱动安装可能会受到影响，这时可以暂时切换到“手动”模式来进行相应的操作，然后再重新启用禁用的状态。对于附带在下载器、浏览器插件等软件中的一系列自动安装模块来说，本方法的效果十分明显，在实际测试中能够有效阻止超过八十五个百分点以上的来自非微软商店渠道的静默部署行为。

第二步是开启UAC高级提示并且创建一个普通用户账号来对权限进行控制

UAC不是只弹出一个窗口就完事了，在Windows内核层面上有权限隔离的功能。把滑块拉到“总是通知”的位置之后，所有的对注册表HKEY_LOCAL_MACHINE或者System32文件夹进行写操作都会被强制停止。新建一个标准用户账户来代替原来的管理员账户，并且这个新账户没有权限去启动任何程序、更改系统的任何设置或者是替换掉Program Files文件夹里的东西。这样就可以完全避免那些后台进程绕过提示直接写入的情况发生。经过测试发现，在使用标准账户的情况下，广告软件自动安装的成功率几乎可以忽略不计，所有的安装请求都需要输入管理员密码才能完成。

第三种方式是用组策略来阻止用户安装软件，这是专业版用户的一种深度隔离的方法

适用于Windows 10或者Windows 11的专业版和企业版用户，在打开gpedit.msc之后依次点击“计算机配置”、“管理模板”、“Windows组件”、“Windows Installer”，然后开启“禁止用户安装”以及“关闭Windows Installer”的选项并将其设为“总是”，最后运行gpupdate /force来更新策略，不需要重新启动就可以立即生效。此组可以阻止图形界面安装，并且还可以阻止PowerShell脚本中的Invoke-Command调用msiexec.exe的行为，从而覆盖掉命令行、计划任务、远程部署等多种隐藏的安装途径。

第四种方法就是限制安装来源以及关闭系统的推荐功能，这是给家庭版用户的一个更好的选择

家庭版没有组策略，但是可以使用“设置->应用->安装应用”的方式把安装来源限制在微软商店，并且关闭“隐私->活动历史记录”、“系统->通知和操作”中的一些推荐开关来阻止Windows更新推送的第三方应用程序（比如Skype、OneDrive新版本）、Edge浏览器自动下载的推广软件包以及系统的默认广告引擎所引起的静默拉取行为。经过测试之后发现，在上述措施之下，被动触发的安装提示会降低到不到10%的程度。

第五部分是安装软件限制策略和注册表启动项控制，即针对高危路径以及自启动程序进行有效的管理

使用secpol.msc来创建软件限制策略，并且添加了三个重要的路径规则：C:\Users\*\Downloads\.exe、C:\Users\*\AppData\Local\Temp\.exe、C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\.bat，都设置为不允许。另外，在注册表编辑器里打开HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer下的DisallowRun键值为1。两者配合可以阻止从浏览器下载文件夹中运行的安装程序、解压后立即运行的恶意压缩包和利用启动项进行持久化的二次下载安装器等流氓软件。

上述五种方式由浅入深地对服务层、权限层、策略层、路径层和启动层进行防护，并且形成了一个完整的防护闭环。