Protecting Windows PCs from Ransomware via Controlled Folder Access

•「受控資料夾存取」是 Windows Defender Exploit Guard (WDEG) 的四大核心組件之一，與攻擊面縮小 (ASR)、網路保護和漏洞防護共同構成多層次防禦體系。
•此功能透過比對已知且受信任的應用程式清單來運作，並根據應用程式的普及率和聲譽自動將其加入信任清單。
•「受控資料夾存取」主要防範惡意軟體對受保護資料夾內的檔案進行變更或刪除，但無法阻止惡意軟體查看或複製這些資料。
•除了本機資料夾外，此功能還能保護網路共用和對應磁碟機，並支援環境變數來指定受保護路徑。
•在全面啟用前，管理員可以利用「稽核模式」來評估「受控資料夾存取」對業務應用程式的影響，並透過事件檢視器追蹤潛在的封鎖事件。

「受控資料夾存取」是 Windows Defender Exploit Guard (WDEG) 的一個組件，旨在防止未經授權的應用程式修改受保護的資料夾和檔案。
其核心機制是基於白名單模型，只允許被識別為「受信任」的應用程式對受保護資料夾進行寫入、修改或刪除操作。
應用程式的信任度會根據其普及率和聲譽自動評估並加入信任清單；管理員也可手動新增或移除應用程式。
該功能需要 Microsoft Defender 防毒軟體處於主動模式 (Active Mode) 且即時保護 (Real-Time Protection, RTP) 必須啟用才能運作。
預設保護的資料夾包括文件、圖片、影片、音樂和收藏夾等常見使用者資料夾，但使用者可以新增其他本機資料夾、網路共用或對應磁碟機進行保護。
當有應用程式被封鎖時，系統會在 Windows 事件檢視器中記錄相關事件，事件 ID 包括 1124 (稽核模式下的事件)、1123 (封鎖事件) 和 5007 (設定變更事件)。
該功能支援透過 Windows 安全性應用程式、群組原則 (Group Policy)、Microsoft Intune、Microsoft Configuration Manager 或 PowerShell 指令碼進行配置和部署。
在某些情況下，特別是當受保護的共享網路資料夾被不受信任的程序存取時，啟用此功能可能會導致網路效能顯著下降。

勒索軟體防護將更深度整合至作業系統核心。

隨著勒索軟體攻擊日益複雜，像「受控資料夾存取」這類基於行為分析的內建防護功能將持續強化，減少對第三方解決方案的依賴。

AI 和機器學習將在應用程式信任評估中扮演更關鍵角色。

為了更精準地識別合法與惡意應用程式，自動化信任清單的建立將更多地依賴先進的 AI 模型來分析應用程式行為和聲譽。

企業級端點防護將更側重於統一管理和事件響應。

透過 Microsoft Defender for Endpoint 等平台，企業將能更有效地集中管理「受控資料夾存取」等安全策略，並將其事件與其他威脅情報整合，以實現更快的偵測和響應。

2017-10

Windows 10 Fall Creators Update 引入「受控資料夾存取」功能

2019-10

Windows Defender Exploit Guard (WDEG) 被分析為 Windows 10 中一系列主機型入侵防禦和偵測功能，其中包含「受控資料夾存取」

2026-01

Microsoft Defender for Endpoint 文件更新，強調「受控資料夾存取」在保護重要資料免受勒索軟體侵害的重要性，並詳細說明其運作方式和必要條件

透過受控資料夾存取保護 Windows 電腦免受勒索軟體攻擊