implementing-anti-ransomware-group-policy

用途：在Windows AD环境中通过组策略加固，阻断勒索软件的执行路径与横向移动。前提：Windows Server 2016+ AD与GPMC、域管理员或策略创建者权限、Win10/11企业或教育版、已启用Microsoft Defender、Python 3.8+审计脚本，并准备测试OU。主要能力：用AppLocker对%USERPROFILE%\AppData\Local\Temp、Roaming、Downloads、%TEMP%、Desktop等用户可写路径设DENY规则，保留Windows与Program Files允许路径并启用Application Identity服务；启用Controlled Folder Access并配置受保护文件夹与允许应用；配置ASR规则（如BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550阻止邮件可执行内容、D4F940AB-401B-4EFC-AADC-AD5F3C50688A阻止Office子进程等），可设Block(1)或Audit(2)；限制横向移动，包括禁用SMBv1、限制RDP、阻断WMI入站、关闭AutoPlay、限制PowerShell脚本。用法：经GPMC配置对应路径，测试OU验证后全域部署。验证命令：gpresult /r /scope:computer；Get-AppLockerPolicy -Effective；Get-MpPreference查询CFA与ASR。限制：不能作为唯一勒索防御，需配合终端检测、备份、网络分段与用户培训；SRP在Win11已弃用；具体收费与价格暂未提供。