Windows 7停止支持后，这5个安全设置能救你的老电脑

为什么停止支持后的Windows 7更需要安全设置

当微软停止对Windows 7的扩展安全更新（ESU）后，新发现的系统漏洞将不再有官方补丁。但这并不意味着你只能束手无策。事实上，通过合理的本地安全策略配置，可以封堵大部分常见的攻击路径。以下5个设置，是每一台Windows 7老电脑都应当立即执行的保命操作。

设置一：利用EMET（增强缓解体验工具）终结漏洞利用

虽然微软已停止对EMET的单独支持，但对于Windows 7而言，它依然是目前最强悍的漏洞缓解层。EMET能够强制开启系统的DEP（数据执行保护）、ASLR（地址空间布局随机化）等机制，即使系统本身存在未修复的漏洞，攻击者也难以利用这些漏洞执行恶意代码。

• 操作路径：下载EMET 5.5安装包，安装后开启"推荐安全配置"。
• 关键点：将IE浏览器、Office套件（特别是老旧的Office 2010）添加至"应用程序配置"中，并启用强制性DEP和ASLR。
• 预期效果：拦截80%以上针对浏览器和文档型木马的攻击。

设置二：禁用SMBv1协议，阻断永恒之蓝类攻击

2017年的WannaCry勒索病毒令无数Windows 7电脑中招，根源就是SMBv1协议漏洞。即便停止支持，系统自带的SMBv1组件依然存在且默认开启，这无异于给黑客留了一扇后门。禁用该协议不会影响你日常访问共享文件夹（现代路由器及NAS均使用SMBv2或更高版本），但能极大程度提升安全性。

1. 按下 Win + R，输入 regedit 打开注册表编辑器。
2. 定位至 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters。
3. 新建DWORD（32位）值，命名为 SMB1，数值数据修改为 0。
4. 重启电脑使设置生效。

补充建议：在"控制面板 → 程序和功能 → 启用或关闭Windows功能"中，务必取消勾选"SMB 1.0/CIFS文件共享支持"。

设置三：正确配置Windows防火墙高级入站规则

没有补丁修复漏洞时，防火墙就是你的第一道防线。Windows 7自带的防火墙功能实际上并不弱，只是默认规则过于宽松。建议手动修改入站规则，默认阻断所有不明来源的连接。

• 核心设置：在"高级安全Windows防火墙"中，将"入站连接"设置为阻止（显示为"阻止（默认值）"）。
• 例外放行：仅允许必要的端口（如远程桌面3389需限制来源IP，HTTP/HTTPS用于下载更新）。
• 切忌：不要为了"提速"而随意关闭防火墙服务（Windows Defender Firewall Service）。

此举能防止类似MS17-010的漏洞扫描器直接探测到你的端口并尝试攻击。

设置四：启用软件限制策略（SRP）或AppLocker

由于无法依赖云端查杀未知病毒，本地白名单机制就显得尤为重要。Windows 7旗舰版和企业版内建了强大的AppLocker功能（家庭版用户可使用"软件限制策略"）。通过制定规则，仅允许运行C:Windows、C:Program Files目录下的可执行文件，以及你自定义信任的软件路径。这样一来，即便用户误点了下载的病毒exe，系统也会因为"该程序已被管理员禁止运行"而将其拦截。

操作要点：针对.exe、.msi、.scr及.dll后缀文件分别建立路径规则，并注意先将常用软件安装至统一目录后再开启强制模式，避免误伤。

设置五：关闭远程桌面中的智能卡与网络级别认证限制

这不仅仅是一个功能开关，更是一个防暴力破解的关键开关。如果开启了远程桌面，务必在网络级别认证（NLA）中设置为"仅允许运行使用网络级别身份验证的远程桌面的计算机连接"。此选项要求用户在建立完全桌面会话前必须先通过身份验证，这能有效阻止早期暴力破解工具向rdp服务发送恶意负载。

最后的防线：离线更新与账户瘦身

除了以上五个核心设置，还建议将系统账户中的Guest来宾账户彻底禁用，同时为Administrator管理员账号设置一个不少于15位的强密码。定期使用第三方工具（如360安全卫士的系统修复功能）检查已经被修改的系统关键权限，这些都是支撑老电脑稳定运行的必要手段。

在Windows 7停止支持的今天，没有谁是绝对安全的。通过上述五项深度配置，你相当于在系统外层穿了一件自制的"防弹衣"。尽管无法百分百安全，但足以让绝大多数自动化攻击脚本绕道而行，让你的老电脑在完成剩余使命前，尽可能远离恶意软件的侵害。