必须同步禁用任务管理器和命令行才能有效封堵越权行为：通过组策略禁用任务管理器（用户/计算机配置→系统→Ctrl+Alt+Del选项→删除任务管理器），并分层阻断命令行（启用“阻止访问命令提示符”且勾选“也阻止命令脚本”，再用AppLocker对cmd.exe、powershell.exe等设拒绝规则），同时禁用regedit、删除“运行”命令，并启用进程审计以确保防护闭环。
直接禁用任务管理器和命令行，是windows终端管控中最基础也最关键的两步。单独关一个容易被绕过，必须同步配置、相互补位，才能真正封住用户终止进程、执行命令、提权或卸载监控软件等越权行为。
禁用任务管理器（彻底移除入口）
该策略不仅隐藏界面，还阻止taskmgr.exe启动（包括PowerShell中Start-Process调用）：
- 打开组策略管理控制台（GPMC.msc，域环境）或本地组策略编辑器（gpedit.msc，单机）
- 路径选用户配置 → 管理模板 → 系统 → Ctrl+Alt+Del选项
- 双击“删除任务管理器”，设为“已启用”，确定保存
- 若需全设备生效（如所有登录用户都受限），改用计算机配置路径下的同名策略
禁用命令提示符与PowerShell（切断执行链）
只禁CMD不够——PowerShell、批处理、WMI、甚至certutil都可能绕过。应分层阻断：
- 先启用基础拦截：用户配置 → 管理模板 → 系统 → 阻止访问命令提示符，勾选“也阻止命令脚本”
- 再配合AppLocker（推荐）：计算机配置 → Windows设置 → 安全设置 → 应用程序控制策略 → AppLocker，为cmd.exe、powershell.exe、wscript.exe等创建“拒绝”规则或仅放行白名单路径（如仅%SystemRoot%\System32\下的原始文件）
- 注意：PowerShell默认未被“阻止命令提示符”策略覆盖，必须单独在AppLocker中限制其执行权限
增强防护避免策略被绕过
用户可能通过注册表恢复taskmgr、或用其他签名工具替代CMD。需叠加防御：
- 禁用注册表编辑器（regedit.exe）：用户配置 → 管理模板 → 系统 → 阻止访问注册表编辑工具
- 关闭“运行”对话框：用户配置 → 管理模板 → 系统 → 删除运行命令
- 启用进程审计：计算机配置 → Windows设置 → 安全设置 → 高级审核策略 → 进程跟踪 → 启用“进程创建”与“进程退出”，后续可查事件ID 4688/4689定位异常操作
验证与生效要点
策略不是设完就生效，务必确认关键细节：
- GPO需链接到目标OU（如“客服终端”），且无更高优先级GPO覆盖
- 客户端需执行gpupdate /force刷新策略，或注销/重启后生效
- 测试方式：尝试Ctrl+Shift+Esc、右键任务栏、运行taskmgr.exe、cmd.exe、powershell.exe、以及双击.bat文件——全部应失败或提示“已被管理员禁用”
- 域环境下建议先在小范围OU测试，再批量部署
