AutoRun 与自动播放
自动运行（AutoRun）会在插入可移动介质或挂载网络位置时自动执行介质上预设的动作，自动播放（Autoplay）则会在检测到介质内容时弹出处理程序。两者叠加构成了成本极低的攻击通道：介质一旦接入被识别，后续动作不再完全由用户决定。服务器上没有任何场景需要这个能力，企业终端也建议从策略层统一关闭。
基本信息
| 加固项 | 自动运行通道关闭 |
|---|---|
| 适用平台 | Windows Server / Windows 10 及以上 |
| 基线取值 | NoDriveTypeAutoRun = 255，DisableAutoplay = 1 |
| 生效范围 | 所有驱动器类型，含未知类型介质 |
| 用户侧影响 | 需手动打开介质内容 |
| 风险等级 | 中 |
典型使用场景
- 服务器：没有任何场景需要自动播放，直接关闭
- 办公终端：减少“插上介质就执行”的路径，降低一次误操作就中招的概率
- 生产车间与工控终端：介质交接频繁、终端老旧，更需要策略兜底
- 基础镜像制作：把设置打进镜像，避免新机器漏配
- 域环境统一治理：用 GPO 下发，覆盖用户自行改动的本地值
设置与核查
设置与核查
# 所有驱动器类型都取消自动运行（255）
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer' -Name NoDriveTypeAutoRun -Value 255 -Type DWord
# 插入介质时不弹出自动播放处理程序
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers' -Name DisableAutoplay -Value 1 -Type DWord
# 核查实际生效值
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer' -Name NoDriveTypeAutoRun
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers' -Name DisableAutoplay取值与效果对照
| 设置项 | 取值 | 效果 |
|---|---|---|
| NoDriveTypeAutoRun | 255 | 所有驱动器类型都不自动运行 |
| NoDriveTypeAutoRun | 0x95（149） | 仅对网络驱动器关闭自动运行，微软给出的折中值 |
| DisableAutoplay | 1 | 插入介质不弹出自动播放处理程序 |
| 两项关系 | 需同时配置 | 只配一项时另一条触发路径仍然开放 |
服务器上自动播放本无使用场景，直接关闭即可；企业终端镜像建议同样默认关闭，把判断权从用户手里收回来。
关闭自动运行只挡住“自动执行”，不阻止用户手动双击：LNK、快捷方式与压缩包诱导仍需终端防护与用户意识配合。
域环境中本地注册表值可能被 GPO 覆盖或反过来被本地值遮挡，核查要以 gpresult 与实际生效值为准。