- Windows 勒索軟體防護基於受控資料夾訪問，它只允許受信任的應用程式修改敏感位置的檔案。
- Windows 11 和 Windows 10 都標配了受保護的資料夾，並允許您添加其他受信任的路徑和應用程序，以便為每個用戶自訂安全設定。
- 除了上述功能外，備份、定期更新以及瀏覽和開啟檔案時的良好習慣也是最大限度降低資料被劫持風險的關鍵。
勒索軟體已成為所有 Windows 用戶最頭疼的問題之一：它會加密您的文件、鎖定您的計算機，更糟糕的是，它還會索要贖金才能恢復訪問權限——而這種贖金幾乎從未真正奏效過。 Windows 11（以及 Windows 10）有一個專門的功能來應對這個問題，但預設是停用的，您需要知道如何點擊才能啟用它。
本文將詳細介紹 Windows 勒索軟體防護功能，包括「受控資料夾存取」的工作原理、如何在 Windows 11 和 Windows 10 中逐步啟動該功能、哪些資料夾預設受到保護、如何添加自訂資料夾、如何允許特定應用程式訪問，以及您應該採取哪些其他措施（備份、更新、常識等），以避免資料外洩給您帶來麻煩。
什麼是勒索軟體？為什麼它如此危險？
勒索軟體是一種惡意軟體，旨在鎖定您的電腦或文件，直到您支付贖金為止。它通常會加密文件、照片、視頻，有時甚至會加密作業系統本身，阻止您正常開啟任何內容。
這類威脅可能透過虛假或不可信的網站、盜版下載、可疑的電子郵件附件、社交媒體或聊天訊息中的鏈接，甚至透過受感染的USB傳播。惡意網站或電子郵件通常可以透過拼寫錯誤、劣質的徽標複製或略微更改的公司名稱（例如，“PayePal”而不是“PayPal”）等細節來檢測。
一旦進入系統，勒索軟體就可以在網路中傳播到其他電腦或共享驅動器，因此它不僅會影響您的家用電腦，還會影響公司電腦、伺服器，甚至公共基礎設施，利用Windows 中的安全漏洞。
問題在於，許多勒索軟體變種會在加密前竊取機密信息，然後威脅如果不支付贖金就洩露信息，以此勒索受害者。這使得此類攻擊成為當今個人和組織面臨的最大網路安全威脅之一。
什麼是Windows勒索軟體防護？
Windows 10 和 Windows 11 都內建了Microsoft Defender 防毒軟體和防火牆，它們會在後台掃描檔案、進程和網路流量。在此基礎上，微軟又增加了一層名為「勒索軟體防護」的額外保護，其核心功能是「受控資料夾存取」。
此功能旨在保護某些系統和使用者設定檔資料夾，確保只有受信任的應用程式才能修改它們。這樣，如果勒索軟體或其他惡意軟體試圖加密或刪除文件，Windows 會阻止變更並顯示通知。
實際上，這種保護措施可以防止未知或可疑的應用程式對這些資料夾中的檔案進行未經授權的更改。因此，即使威脅成功實施，您也很難失去重要的文件、照片或項目。
此外，該功能與Microsoft Defender for Endpoint和企業管理工具（Intune、Configuration Manager 等）整合得特別好，從而可以進行大規模配置部署和審核，以及集中審查阻止事件。
受控資料夾存取的工作原理
「受控資料夾存取」是基於一個簡單的理念：只有受信任的應用程式才能修改特定受保護位置的檔案。其他所有操作都會被阻止或以審計模式記錄，具體取決於您的配置。
Windows 會根據應用程式的普及程度和信譽度來維護一個受信任應用程式清單。如果一個程式被廣泛使用，長期運行且未出現惡意行為，且 Microsoft 也未偵測到任何問題，則該程式會被視為受信任，並允許在受保護的資料夾中正常運作。
如果某個應用程式不在清單中，它對受保護資料夾中檔案的寫入、刪除或修改嘗試將被封鎖（如果您使用的是僅日誌模式，則會進行稽核）。您也可以手動為已知安全的特定應用程式新增例外。
此功能對勒索軟體尤其有效，因為攻擊通常集中於加密文件、照片、影片或項目。透過對這些資料夾進行更嚴格的存取權限控制，惡意軟體會遇到一道屏障，從而阻止或極大地阻礙其攻擊目標的實現。
對於企業環境，可以透過Microsoft Intune 、Configuration Manager 或 Microsoft Defender for Endpoint配置受控資料夾存取。在這種情況下，管理員可以集中查看產生的事件，並根據組織的實際需求調整策略。
Windows 中預設受保護的資料夾
啟用受控資料夾存取後，Windows 會自動保護多個使用者設定檔和系統資料夾，這些資料夾通常是您儲存文件和個人內容的地方。
預設受保護的路由包括（例如）：
- c:\Users\文件
- c:\Users\Public\Documents
- c:\Users\圖片
- c:\Users\Public\Pictures
- c:\Users\影片
- c:\Users\Public\Videos
- c:\Users\音樂
- c:\Users\Public\Music
- c:\Users\收藏夾
這些位置通常是你在檔案總管的「此電腦」下看到的位置，它們通常是攻擊者的首要目標，因此 Windows 預設保護它們是有道理的。
另外， 某些系統設定檔 如 LocalService, NetworkService o systemprofile 它們也有各自的受保護資料夾（例如， C:\Windows\System32\config\systemprofile\Documents（如果存在）。這有助於保護作業系統本身的內部進程和服務。
受保護的系統資料夾無法從清單中移除，這正是為了確保不會意外停用這一基本安全層。不過，您可以新增自己的路徑，將保護範圍擴展到其他目錄或磁碟機。
如何在 Windows 11 中啟用勒索軟體防護
在 Windows 11 中，這些設定很容易找到，但並非總是顯而易見。請按照以下步驟操作，即可立即啟用此功能。
1. 開啟 Windows 安全性中心
最快捷的方法是按下 Windows 鍵，然後輸入 “Windows 安全性” 並打開應用程式。您也可以前往 首頁 > 設定 > 隱私權與安全性 > Windows 安全 然後從那裡進入。
2. 前往“防毒和威脅防護”
在應用程式內，你會看到幾個版塊。你感興趣的是… “防病毒和威脅防護”點擊後將開啟一個新窗口，顯示 Microsoft Defender 的狀態和各種選項。
3. 找到“勒索軟體防護”
捲動到螢幕底部，直到找到該方塊。 “防範勒索軟體”下面你會看到一個鏈接，內容大致如下： “勒索軟體防護管理”. 點擊那裡。
4. 啟用“受控資料夾存取”
在新螢幕上，您將看到開關 “控制對資料夾的存取權限” （或根據版本/語言的不同，顯示為「受控資料夾存取」）。此功能通常預設為停用狀態。啟用後，將出現使用者帳戶控制窗口，要求您確認；確認後更改即可生效。
從那一刻起，您的檔案、資料夾和某些記憶體區域將受到保護，免受未知或惡意應用程式的未經授權的修改。
配置受保護資料夾和允許的應用程式
啟用受控資料夾存取後，最好查看資料夾列表和允許的應用程式列表，以便根據您的實際工作方式進行調整。
在同一個勒索軟體防護部分，您會找到：
- 屏蔽歷史記錄查看哪些應用程式嘗試修改檔案但已被封鎖。
- 受保護的文件夾在這裡您可以查看已受保護的資料夾並新增資料夾。
- 允許應用程式存取受控資料夾之一：允許某個被阻止但你認為安全的程式運行。
如果您通常將專案保存在自訂資料夾（例如D:\Projects或外部磁碟機）中，強烈建議您將其新增為受保護資料夾。請注意，該資料夾內的所有子資料夾也將被保護。
關於應用程序，如果您發現某個合法程序（例如視頻編輯器或其他辦公室軟體）無法保存對受保護資料夾的更改，您可以手動將其添加到允許列表中。但是，請務必確保它是可信任軟體，並且始終從官方來源下載。
如何在 Windows 10 中啟用勒索軟體防護
在 Windows 10 中，操作方法相同，但設定路徑略有不同。即便如此，整個過程同樣簡單，只需幾分鐘即可完成。
1. 開啟 Windows 安全性中心
點擊 主頁>設置， 進入 “更新和安全性” 然後在左側面板中選擇 “Windows 安全性”您也可以直接在「開始」功能表中輸入「Windows 安全中心」。
2. 前往“病毒和威脅防護”
進入 Windows 安全性中心後，點選 “抵禦病毒和威脅” 打開帶有內建防毒選項的視窗。
3. 管理勒索軟體防護
在該部分中查找鏈接 “勒索軟體防護管理”它通常顯示在螢幕底部。點擊即可存取具體選項。
4. 啟用受控資料夾訪問
就像在 Windows 11 中一樣，你會看到以下選項： 啟用資料夾存取控制將開關撥到「開啟」位置，並在安全彈出視窗中確認。從那時起，該功能將開始保護您的重要資料夾。
從那裡，您可以添加其他受保護的資料夾、查看鎖定歷史記錄，並像在 Windows 11 中一樣，從同一螢幕上顯示的選項中允許特定應用程式。
使用 OneDrive 和備份作為額外的安全性。
Windows勒索軟體防護功能固然很有幫助，但它並不能取代備份。理想情況下，您應該將此功能與完善的備份系統結合使用，包括雲端備份和離線備份。
如果您使用 Microsoft 帳戶登入並設定OneDrive，Windows 可以自動同步您的文件、圖片、桌面和其他資料夾，並提供內建的勒索軟體偵測和復原功能，包括Windows 檔案記錄，以復原您檔案的先前副本。
除了雲端備份之外，強烈建議定期在離線儲存裝置（例如不使用時斷開連接的外部硬碟）上建立備份。這樣，即使攻擊突破了您的防禦，您仍然可以從勒索軟體無法觸及的位置恢復資料。
懷疑電腦感染病毒該怎麼辦
如果您發現異常行為（例如電腦突然變得非常慢、打開奇怪的視窗、文件無法正常開啟等），或者您聽說過新的惡意軟體攻擊活動，最明智的做法是進行全面掃描。
在 Windows 安全性中心，前往「病毒和威脅防護」，然後使用 Microsoft Defender 執行快速掃描或完整掃描。您也可以選擇離線掃描，該掃描會在系統重新啟動後，在潛在威脅載入之前進行掃描。
如果勒索軟體已經入侵您的電腦，通常會顯示勒索訊息，要求您支付贖金才能解鎖您的電腦或檔案。此時：
- 不要支付贖金無法保證能夠找回數據，而且你還會資助犯罪者。
- 嘗試使用 Windows 安全性中心清理您的電腦。 或使用可信賴的反惡意軟體解決方案。
- 使用備份。 （OneDrive、外部磁碟機等）在系統清除惡意軟體後恢復受影響的檔案。
如果您已經誤付了款，最明智的做法是立即聯絡您的銀行和您所在國家的相關部門（警察、網路安全機構等），嘗試阻止交易並舉報詐欺行為。
查看受控資料夾存取事件
當受控資料夾存取封鎖或審核某個操作時，Windows 會記錄特定事件，這些事件既可以在本機上查看，也可以在企業環境中透過 Microsoft Defender 入口網站查看。
在使用 Microsoft Defender for Endpoint 的組織中，可以執行進階查詢來檢視已封鎖或已審核的違規行為，例如，透過使用ControlledFolderAccessViolationBlocked或ControlledFolderAccessViolationAudited操作類型的篩選器。
在本機，您可以使用Windows 事件檢視器匯入自訂視圖（例如cfa-events.xml檔案），並查看以下事件：
| 事件 ID | 描述 |
|---|---|
| 5007 | 配置變更 微軟Defender |
| 1124 | 已審核的受控資料夾存取權限 |
| 1123 | 已阻止存取受控資料夾 |
| 1127 | 嘗試寫入被阻止的受保護磁區 |
| 1128 | 嘗試在受審計的受保護部門進行寫作 |
這種程度的細節有助於（尤其是在公司中）完善策略並檢測需要權限的合法應用程序，而不會損害系統的整體安全性。
Microsoft Defender 中的排除項目和通配符
除了針對勒索軟體的特定保護外，Microsoft Defender 還允許您定義排除項，以便某些檔案、資料夾、檔案類型或進程不會即時掃描。
在 Windows 安全性中心的防毒保護部分，您可以前往「新增或移除排除項」，然後選擇：
- 檔案排除特定文件。
- 夾：排除整個路由及其所有內容。
- 檔案類型：依檔案副檔名排除，例如 .docx、.pdf 等。
- 過程排除某個可執行文件，使其開啟的文件不被即時分析。
也可以使用 通配符 (*) 和環境變數 在某些排除項中，例如排除所有副檔名以「st」結尾的檔案（使用 *st）或位於特定資料夾中的所有流程（例如， C:\MyProcess\*).
雖然這是一個避免與某些程式發生效能衝突的有用功能，但必須極其謹慎地使用，因為任何被排除的元素都不再受到即時分析的保護，並可能成為惡意軟體的入口點。
避免更多勒索軟體的提示
Windows勒索軟體防護固然重要，但並非唯一需要的防護措施。為了最大程度地降低風險，建議遵循一系列基本最佳實踐。
保持 Windows 和應用程式最新
網路犯罪者不斷利用… 作業系統和日常程序中的漏洞要盡快關閉它們，請前往 開始 > 設定 > Windows 更新 並確保已啟用自動更新並定期安裝。
使用一款好的防毒軟體，不要停用它。
Microsoft Defender 是一款 內建且功能相當強大的防毒軟體當然，如果您願意，也可以選擇第三方解決方案（付費或免費均可），只要它們值得信賴即可。重要的是，您擁有一個活躍且保持更新的即時保護引擎。
外部備份和雲端備份
正如我們之前提到的，擁有以下條件至關重要： 將備份儲存到主電腦以外的位置將雲端儲存（OneDrive、Google Drive、Dropbox 等）與離線外部硬碟結合使用，是應對任何災難（無論是勒索軟體還是硬體故障）的非常可靠的策略。
要謹慎對待電子郵件、連結和下載內容。
大多數感染始於 不小心點擊了連結或附件要警惕來路不明的電子郵件、未知發件人、要求提供緊急信息或付款的危言聳聽的信息，當然還有從盜版或可疑網站下載的軟體。
不時重新啟動電腦
看起來很傻，但是 每周至少重啟一次 它有助於確保系統和應用程式更新正確應用，並提高整體效能和穩定性。
在正確配置所有這些並啟用受控資料夾存取功能後，您的 Windows 11（或 Windows 10）將能更好地應對勒索軟體和其他類似威脅，最大限度地降低重要檔案被劫持或加密到無法修復的地步。
