防止软件自动篡改防火墙的方法

　　win7防火墙规则设定相当强大，与xp相比先进很多，对于个人用户来说，了解win7防火墙设定，可以完全甩开杀毒/安全软件那些功能差，占用系统资源多的第三方防火墙。

　　然而，虽然使用防火墙规则可以把系统完全和网络隔离阻断开来，只对个别用户运行的程序放行(比如QQ，浏览器)，但是防火墙规则本身也是可以被一些程序更改的。学习啦小编的win7防火墙是白名单工作模式，然而，总有一些程序会在后台把自己添加进白名单里(比如百度电脑专家在线安装程序)，从而在用户不知情的情况下进行联网，如何避免这一问题呢?请看学习啦小编的介绍。

　　防止软件自动篡改防火墙的方法

　　解决这一问题，学习啦小编利用了win7的防火墙设置权限的分级。

　　修改win7的防火墙设置的权限可以分为两级，一层在组策略(开始->运行->gpedit.msc->本机设置->windows设置->安全策略->windows防火墙)(如图1)，一层在普通用户(网络与共享中心->windows防火墙->高级设置)(如图2)。

　　两层使用同一套设置规则，分别工作。区别在于，在组策略设置一些规则之后，普通用户只能读取，不能修改。只有组策略没有设定部分，普通用户才可以在"windows防火墙"中修改。而在防火墙启动后，两套规则同时筛选。

　　在组策略中更改的设置，在"windows防火墙"只会显示成灰色，不可更改。(如图3)

　　由于只有系统管理员才可以修改组策略，而一般软件是没有系统管理员权限。因此如果禁止一般用户账户、系统服务账户等对"windows防火墙设置"的读写，那么保持原来的两套防火墙规则仍然运行的情况下，软件和普通用户将无法通过控制面板配置防火墙，只留下组策略中的防火墙配置供管理员修改，问题就解决了。

　　由于控制面板中的"windows防火墙"是储存在注册表中的，因此修改注册表相应位置的读写权限就可以达到目的。

　　开始->运行->regedit，打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy处，右击FirewallPolicy(如下图1)，打开权限对话框。

　　点击高级，点击添加，在弹出的用户账户列表中，点击查找，找到Users用户组，点击确定，在Users的权限列表中，把"设置键值"，"修改子键"，"删除"对应的"拒绝"框勾上，点确定。(如下图2)

　　继续添加，在用户账户列表中查找LOCAL SERVICE用户，把它对防火墙设置的修改权限也禁掉(如下图3)

　　连点确定(弹出的警告框也点击确定)，退出注册表编辑器。

　　4经过这样的操作，一般软件和用户都无法更改控制面板的防火墙规则了。而组策略中的规则，只有管理员可以更改。这样，就不必担心软件篡改防火墙规则，未经授权的情况下与互联网通信了。

　　再次进入控制面板->网络与共享中心->windows防火墙->高级设置，页面中显示已经没有权限操作防火墙规则，如图。