应组合启用多项组策略：禁用任务管理器（含所有调用方式）、阻止命令提示符与脚本执行、禁用Windows Installer、限制高危路径执行、收紧系统目录权限、禁用非必要服务，并开启进程审计。

直接禁用未授权系统工具和命令提示符，核心是组合启用几项关键组策略，而不是只堵单一入口。重点在于切断用户启动能力、限制执行环境、并防止绕过手段。

禁用任务管理器（彻底屏蔽所有调用方式）

“删除任务管理器”策略最有效，启用后不仅无法通过 Ctrl+Shift+Esc 或右键任务栏打开，运行 taskmgr.exe、PowerShell 中执行 Start-Process taskmgr 也会被拦截，提示“已停用”。

• 路径：用户配置 或 计算机配置 → 管理模板 → 系统 → Ctrl+Alt+Del选项
• 选中“删除任务管理器”，设为“已启用”
• 注意作用范围：计算机配置下影响该设备所有用户；用户配置下按账户生效，适合多用户混合终端

封锁命令提示符与 PowerShell 脚本执行

仅禁任务管理器不够，CMD 和 PowerShell 仍可运行 taskkill、wmic、Stop-Process 等终止进程命令，必须同步阻断。

• 路径：用户配置 → 管理模板 → 系统 → 阻止访问命令提示符
• 启用策略，并勾选“也阻止命令脚本”——这会禁用 .bat、.cmd、.ps1 文件的执行
• 若需更强控制，建议额外部署 AppLocker，仅允许白名单程序运行，避免绕过

限制安装类工具与高危执行路径

很多未授权工具通过安装包（.exe/.msi）或临时目录释放后运行，需从源头控制执行权限。

• 禁用 Windows Installer 服务：路径为 计算机配置 → 管理模板 → Windows 组件 → Windows Installer → “禁用Windows Installer”，设为“已启用”并选“始终”
• 添加软件限制路径规则：如 C:\Users\*\Downloads\*.exe、%TEMP%\*.exe，安全级别设为“不允许”
• 隐藏或禁用“应用和功能”中的安装入口：用户配置 → 管理模板 → 控制面板 → “应用和功能” → 启用“隐藏‘添加新应用’按钮”

增强防护纵深（防绕过与审计）

单点策略易被技术用户绕过，需叠加权限控制、日志审计与服务限制形成闭环。

• 收紧用户对系统目录写入权限：限制对 %windir%\System32、%ProgramFiles% 的修改权，仅保留 Administrators 和 SYSTEM
• 禁用非必要系统服务启动：如 Print Spooler、Remote Registry，使用专用 GPO 策略而非仅改启动类型
• 启用进程创建与退出审计：开启“审核进程跟踪”，关注事件 ID 4688（进程创建）和 4689（进程退出），便于发现异常行为