Microsoft Office XP安全设置
请使用组策略对象编辑器在位于以下位置的管理模板中配置 Office XP 计算机设置：
计算机配置管理模板Microsoft Office XP安全设置
Office XP 的一项关键功能是宏安全性。为环境中的客户端设置宏安全性时，有几点需要考虑。宏安全性取决于与 Office 数据文件关联的证书，或者附加到文档、工作簿、演示文稿或电子邮件中的可执行代码。要验证证书，需要验证在证书中签名的作者的身份，以及为作者创建的数字签名。真品证书会附加到可执行代码、Microsoft ActiveX控件或动态链接库 （DLL） 文件中。作者必须从证书颁发机构获取证书。证书颁发机构既可以是组织设立的内部颁发机构，也可以是由其他公司管理的外部颁发机构。
术语“宏”还暗示使用了 ActiveX 控件、组件对象模型 （COM） 对象、OLE 对象以及可以附加到文档、工作表或电子邮件中的其他可执行程序。本模块上下文中的术语“宏”明确用于 Microsoft Visual Basicfor Applications （VBA） 使用的宏。
宏安全级决定了 Office 应用程序如何响应宏。现将宏类别的安全级别归纳如下：
未签名的宏。
高：当打开文档、工作簿、演示文稿或电子邮件时，禁用宏。
中：提示用户启用或禁用宏。
来自具有有效证书的可靠来源的已签名宏。
高和中：当打开文档、工作簿、演示文稿或电子邮件时，启用宏。
来自具有有效证书的未知源的已签名宏。
高和中：出现包含证书信息的对话框。然后，用户必须基于证书的内容决定是否启用宏。要启用宏，用户必须接受证书。
来自具有无效证书的任何来源的已签名宏。
高和中：警告用户可能有病毒。宏被禁用。
当无法验证证书时来自任何来源的已签名宏。
当缺少公钥或者使用了不兼容的加密方法时，会出现这种情况。
高：警告用户无法验证证书。宏被禁用。
中：警告用户无法验证证书。允许用户选择启用还是禁用宏。
来自证书已到期、且已被证书颁发机构吊销的任何来源的已签名宏。
高：警告用户证书已到期或者已被吊销。宏被禁用。
中：警告用户证书已到期或者已被吊销。允许用户选择启用还是禁用宏。
表 4.27：Microsoft Office XP 计算机安全设置
UI 中的设置名称
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
Access： 信任所有安装的加载项和模板
已禁用
已禁用
已禁用
已禁用
对 Office 应用程序禁用 VBA
已禁用
已禁用
已禁用
已禁用
Excel： 宏安全级
中
中
高
高
Excel： 信任对于“Visual Basic 项目”的访问
已禁用
已禁用
已禁用
已禁用
Excel： 信任所有安装的加载项和模板
已禁用
已禁用
已禁用
已禁用
Outlook： 宏安全级
高
高
高
高
PowerPoint： 宏安全级
中
中
高
高
PowerPoint： 信任对于“Visual Basic 项目”的访问
已禁用
已禁用
已禁用
已禁用
PowerPoint： 信任所有安装的加载项和模板
已禁用
已禁用
已禁用
已禁用
Publisher： 宏安全级
中
中
高
高
Publisher： 信任所有安装的加载项和模板
已禁用
已禁用
已禁用
已禁用
不安全的 ActiveX 初始化
已启用
已启用
已启用
已启用
Word： 宏安全级
中
中
高
高
Word： 信任对于“Visual Basic 项目”的访问
已禁用
已禁用
已禁用
已禁用
Word： 信任所有安装的加载项和模板
已禁用
已禁用
已禁用
已禁用
Access： 信任所有安装的加载项和模板
表 4.28：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
可以将 Office XP 中的所有产品配置为自动信任安装的 COM 加载项。禁用“Access： 信任所有安装的加载项和模板”设置会导致 Access 确信所有加载项都经过可靠来源的数字签名。然后，可以在任何安全级别加载已签名的组件。未签名的组件或不可靠来源签名的组件会导致 Access 基于“安全级”对话框中当前的宏安全级对其进行响应，宏安全级的值如下：
高：无法加载加载项和模板组件。
中：警告用户使用未签名的组件所具有的潜在安全风险。
低：在无用户交互的情况下加载并运行加载项和模板组件。
因此，在本指南定义的两种环境中，应将“Access： 信任所有安装的加载项和模板”设置配置为“禁用”。
注意：如果将“Access： 信任所有安装的加载项和模板”设置配置为“禁用”，将导致 Access 从安全的角度将加载项和模板作为宏处理。
对 Office 应用程序禁用 VBA
表 4.29：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已启用
已启用
VBA 通常被错误地认为是 Office 应用程序中所有安全风险的根源。但是，认为禁用 VBA 可完全防止应用程序安全缺口是一种常见的错误观念。这不完全正确，因为 ActiveX 控件在没有 VBA 的情况下仍然可以运行。
启用“对 Office 应用程序禁用 VBA”设置会禁用 Office XP 内部许多有用的功能。这些功能包括网上 Office 工具、许多向导、COM 加载项和宏。任何依赖于宏的自定义项目（如按钮或菜单命令）都将不再起作用。如果文档包含宏或 ActiveX 控件，用户必须首先在只读的基础上将其打开，然后将对它的更改保存到新文档中。但是，启用此设置确实会使 Office 应用程序更安全一些。
因此，只有在“高安全级”环境中，才应当将“对 Office 应用程序禁用 VBA”设置配置为“启用”。但是，Microsoft 建议在“企业客户端”环境中，将此设置配置为“禁用”。
要点：禁用 VBA 会导致用户无法打开包含宏的 Office 数据文件。有关如何处理包含宏的 Office 数据文件的详细信息，请参阅上述有关宏安全性的讨论。
Excel： 宏安全级
表 4.30：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
中
中
高
高
永久地禁用环境中的所有宏功能可能是一件很有诱惑的事情。虽然您可以在 Office XP 中做到这一点，但由于 Office 中宏的管理和安全性得到了改善，从而使得这样做没有必要。如果将“Excel： 宏安全级”设置配置为“中”安全级别，用户将可以选择是否运行可能不安全的宏。此设置的“高”安全级别只允许运行来自可靠来源的已签名宏，并自动禁用未签名的宏。
因此，在本指南定义的两种环境中，应将“Excel： 宏安全级”设置在“企业客户端”环境中配置为“中”；在本指南定义的“高安全级”环境中则配置为“高”。
Excel： 信任对于“Visual Basic 项目”的访问
表 4.31：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
使用“Excel： 信任对于‘Visual Basic 项目’的访问”设置可以控制是否信任 Excel 对文档所附的 VBA 代码进行访问。对此设置强制采用“禁用”默认值，以确保附加到您打开的任何文件或文档中的宏无法访问核心 Visual Basic 对象、方法和属性。默认情况下，此设置的宏安全级配置为“高”。默认设置以这种方式消除了可能的安全风险。
因此，在本指南定义的两种环境中，应将“Excel： 信任对于‘Visual Basic 项目’的访问”设置配置为“禁用”。
Excel： 信任所有安装的加载项和模板
表 4.32：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
可以将 Office XP 中所有产品配置为自动信任所安装的 COM 加载项。禁用“Excel： 信任所有安装的加载项和模板”设置将导致 Excel 保证加载项由可靠来源进行数字签名。然后，被信任的组件和模板可以以任何安全级别加载到计算机中。未签名的组件或者不可靠来源签名的组件将导致 Excel 基于“安全级”对话框中当前的宏安全级对其进行响应，宏安全级的值如下：
高：无法加载加载项和模板组件。
中：警告用户使用不安全的组件所具有的潜在安全风险。
低：在无用户提示的情况下加载并运行加载项和模板组件。
因此，在本指南定义的两种环境中，应将“Excel： 信任所有安装的加载项和模板”设置配置为“禁用”。
注意：如果“Excel： 信任所有安装的加载项和模板”设置配置为“禁用”，将导致 Excel 从安全的角度将加载项和模板作为宏处理。
Outlook： 宏安全级
表 4.33：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
高
高
高
高
永久禁用环境中的所有宏可能是一件很有诱惑的事情。虽然您可以在 Office XP 中做到这一点，但由于 Office 中宏的管理和安全性得到了改善，因此这样做没有必要。“Outlook： 宏安全级”设置的“高”安全级别只允许运行来自可靠来源的已签名宏，并自动禁用未签名的宏。通过电子邮件附件将恶意代码引入环境中的风险是非常高的。因此，Microsoft Outlook推荐的宏安全级比其他 Office 应用程序更高。
因此，在本指南定义的两种环境中，应将“Outlook： 宏安全级”设置配置为“高”。
PowerPoint： 宏安全级
表 4.34：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
中
中
高
高
永久禁用环境中的所有宏可能是一件很有诱惑的事情。虽然您可以在 Office XP 中做到这一点，但由于 Office 中宏的管理和安全性得到了改善，因此这样做没有必要。如果将“PowerPoint： 宏安全级”设置配置为“中”安全级别，用户可以选择是否运行可能不安全的宏。此设置的“高”安全级别只允许运行来自可靠来源的已签名宏，并自动禁用未签名的宏。
因此，“PowerPoint： 宏安全级”设置在“企业客户端”环境中配置为“中”；在本指南定义的“高安全级”环境中则配置为“高”。
PowerPoint： 信任对于“Visual Basic 项目”的访问
表 4.35：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
“PowerPoint： 信任对于‘Visual Basic 项目’的访问”设置使您可以控制是否允许 PowerPoint 访问附加到文件和文档中的 VBA 代码。如果将此设置配置为默认的“禁用”，将防止任何打开文件和文档中的宏访问核心 Visual Basic 对象、方法和属性。默认设置以这种方式消除了可能的安全风险。
因此，在本指南定义的两种环境中，应将“PowerPoint： 信任对于‘Visual Basic 项目’的访问”设置配置为“禁用”。
PowerPoint： 信任所有安装的加载项和模板
表 4.36：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
可以将 Microsoft Office XP 中的所有产品配置为自动信任安装的 COM 加载项。将“PowerPoint： 信任所有安装的加载项和模板”设置配置为“禁用”将要求 PowerPoint 确保所有加载项都由可靠来源进行数字签名。然后，已签名的组件可以以任何安全级别加载到计算机中。未签名的组件或者不可靠来源签名的组件将导致 PowerPoint 基于“安全级”对话框中当前的宏安全级对其进行响应，宏安全级的值如下：
高：无法加载加载项和模板组件。
中：警告用户使用不安全的组件所具有的潜在安全风险。
低：在无用户交互的情况下加载并运行加载项和模板组件。
因此，在本指南定义的两种环境中，应将“PowerPoint： 信任所有安装的加载项和模板”设置配置为“禁用”。
注意：如果将“PowerPoint： 信任所有安装的加载项和模板”设置配置为“禁用”，将使 PowerPoint 从安全角度视加载项和模板为宏。
Publisher： 宏安全级
表 4.37：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
中
中
高
高
永久禁用环境中的所有宏可能是一件很有诱惑的事情。虽然您可以在 Office XP 中做到这一点，但由于 Office 中宏的管理和安全性得到了改善，因此这样做没有必要。如果将“Publisher： 宏安全级”设置配置为“中”安全级别，用户可以选择是否运行可能不安全的宏。此设置的“高”安全级别只允许运行来自可靠来源的已签名宏，并自动禁用未签名的宏。
因此，在本指南定义的两种环境中，应将“Publisher： 宏安全级”设置在“企业客户端”环境中配置为“中”；在本指南定义的“高安全级”环境中则配置为“高”。
Publisher： 信任所有安装的加载项和模板
表 4.38：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
可以将 Office XP 中的所有产品配置为自动信任安装的 COM 加载项。如果禁用“Publisher： 信任所有安装的加载项和模板”设置，将要求 Publisher 确保所有加载项都由可靠来源进行数字签名。然后，已签名的组件可以以任何安全级别加载到计算机中。未签名的组件或者不可靠来源签名的组件将导致 Publisher 基于“安全级”对话框中当前的宏安全级对其进行响应，宏安全级的值如下：
高：无法加载加载项和模板组件。
中：警告用户使用不安全的组件所具有的潜在安全风险。
低：在无用户交互的情况下加载并运行加载项和模板组件。
因此，在本指南定义的两种环境中，应将“Publisher： 信任所有安装的加载项和模板”设置配置为“禁用”。
注意：如果将“Publisher： 信任所有安装的加载项和模板”设置配置为“禁用”，将使 Publisher 从安全角度视加载项和模板为宏。
不安全的 ActiveX 初始化
表 4.39：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已启用
已启用
已启用
已启用
ActiveX 控件在 Office XP 和 Internet Explorer 内部提供了大量有用的功能。ActiveX 控件实际是可执行的代码片段，恶意开发人员可以用它来窃取或破坏您环境计算机上的信息。为了提供必要的安全性，以防止恶意使用 ActiveX 控件，Office XP 允许您指定最终用户只能使用经过创建人数字签名的 ActiveX 控件，从而使您可以在一定程度上确信其来源和安全性。
启用“不安全的 ActiveX 初始化”设置可能导致在查看或使用包含 ActiveX 控件的文档或表单时出现问题，因为它去掉了控件所存储的数据，并强制控件在每次激活时都重新初始化自身。因此，最佳的做法是，在为环境中计算机部署 Office XP 之前，先测试早期版本 Office 所使用的所有应用程序和表单。
可以对此设置使用下列选项：
使用控件默认值进行初始化
询问用户： 持久性数据或控件默认值
因此，在本指南定义的两种环境中，应将“不安全的 ActiveX 初始化”设置配置为“启用”，并设置为“使用控件默认值进行初始化”选项。建议设置“使用控件默认值进行初始化”选项，以阻止 ActiveX 控件使用可能用于攻击您的客户端的持久性数据。
Word： 宏安全级
表 4.40：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
中
中
高
高
永久禁用环境中的所有宏可能是一件很有诱惑的事情。虽然您可以在 Office XP 中做到这一点，但由于 Office XP 中宏的管理和安全性得到了改善，因此这样做没有必要。如果将“Word： 宏安全级”设置配置为“中”安全级别，用户可以选择是否运行可能不安全的宏。此设置的“高”安全级别只允许运行来自可靠来源的已签名宏，并自动禁用未签名的宏。
因此，在本指南定义的两种环境中，应将“Word： 宏安全级”设置在“企业客户端”环境中配置为“中”；在本指南定义的“高安全级”环境中则配置为“高”。
Word： 信任对于“Visual Basic 项目”的访问
表 4.41：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
“Word： 信任对于‘Visual Basic 项目’的访问”设置使您可以控制是否允许 Word 访问附加到文档中的 VBA 代码。如果将此设置配置为“禁用”，将防止任何打开文档中的宏访问核心 Visual Basic 对象、方法和属性。禁用此设置将消除可能的安全风险。
因此，在本指南定义的两种环境中，应将“Word： 信任对于‘Visual Basic 项目’的访问”设置配置为“禁用”。
Word： 信任所有安装的加载项和模板
表 4.42：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
已禁用
已禁用
已禁用
已禁用
可以将 Microsoft Office XP 中的所有产品配置为自动信任安装的 COM 加载项。禁用“Word： 信任所有安装的加载项和模板”设置，将要求 Word 确保所有加载项都由可靠来源进行数字签名。然后，已签名的组件可以以任何安全级别加载到计算机中。未签名的组件或来自不可靠来源的组件将导致 Word 基于“安全级”对话框中当前的宏安全级对其进行响应，宏安全级的值如下：
高：无法加载加载项和模板组件。
中：警告用户使用不安全的组件所具有的潜在安全风险。
低：在无用户交互的情况下加载并运行加载项和模板组件。
因此，在本指南定义的两种环境中，应将“Word： 信任所有安装的加载项和模板”设置配置为“禁用”。
注意：如果将“Word： 信任所有安装的加载项和模板”设置配置为“禁用”，将使 Word 从安全角度视加载项和模板为宏。
系统
请使用组策略对象编辑器在位于以下位置的管理模板中配置“系统”计算机设置：
计算机配置管理模板系统
表 4.43：系统计算机设置
UI 中的设置名称
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
关闭“自动播放”
未配置
未配置
启用 ― 所有驱动器
启用 ― 所有驱动器
关闭“自动播放”
表 4.44：设置
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
未配置
未配置
启用 ― 所有驱动器
启用 ― 所有驱动器
将媒体插入驱动器之后，“自动播放”便开始读取驱动器中的内容，从而导致程序或音频媒体的设置文件立即启动。攻击者可以借此功能启动程序，以破坏客户端或计算机上的数据。启用“关闭自动播放”设置将关闭“自动播放”功能。默认情况下，在可移动驱动器（如软盘和网络驱动器）上禁用“自动播放”。但在 CD ― ROM 驱动器上例外。如果启用此设置，那么最佳的做法是，禁用环境中计算机所有驱动器的“自动播放”功能。
因此，只有在“高安全级”环境中，才将“关闭自动播放”设置配置为“启用”。但是，Microsoft 建议在本指南定义的“企业客户端”环境中，将“关闭自动播放”设置为“未配置”。
注意：您不能使用此设置在默认禁用此设置的计算机驱动器（如软盘和网络驱动器）上启用“自动播放”。
系统登录
请使用组策略对象编辑器在位于以下位置的管理模板中配置“登录”计算机设置：
计算机配置管理模板系统登录
表 4.45：系统计算机登录安全设置
UI 中的设置名称
企业客户端台式计算机
企业客户端便携式计算机
高安全级台式计算机
高安全级便携式计算机
不处理旧的运行列表
未配置
未配置
已启用
已启用
不处理只运行一次列表
未配置
未配置
已启用
已启用
