IE 浏览器安全设置最佳实践指南

IE 11 的安全体系建立在"安全区域"（Security Zones）这个概念之上——这是微软在 IE 4（1997年）中引入的设计。核心思路是把所有网站按信任等级分成几个区域，每个区域有独立的权限策略。你访问的银行网站和随机弹出的广告页面，在同一个浏览器中拥有完全不同的代码执行权限。二十多年过去了，这个设计思路被所有主流浏览器继承（Chrome 的 Site Isolation、Edge 的安全区域策略），但在 IE 中它仍然是安全配置的核心入口。

一、安全区域（Security Zones）全解析

IE 将网站分为五个安全区域，每个区域有预设的安全级别。打开 IE → 工具（齿轮图标）→ Internet 选项 → "安全"标签页，可以看到其中四个可见区域（第五个是隐藏的）：

区域	默认安全级别	包含的网站	典型用途
Internet	中-高	所有未分配到其他区域的网站	日常公共互联网浏览
本地 Intranet	中-低	企业内网、本地网络、绕过代理的地址	公司内部 OA、ERP、HR 系统
受信任的站点	中	手动添加的可信外部网站	银行、政府、供应商门户
受限制的站点	高	手动添加的可疑网站	已知风险网站、广告域名
本地计算机	（隐藏，不可配置）	本地文件系统（file:// 协议）	本地 HTML/HTA 文件、嵌入式帮助文档

这个设计有一个容易被忽略的细节：IE 判断网站属于哪个区域是实时计算的。每个 URL 在加载前都会被依次与四个区域的规则匹配——先检查受限制的站点列表，再检查受信任的站点，然后是 Intranet 检测（自动检测本地网络），最后匹配不上的全部归入 Internet 区域。这意味着如果你把一个网站同时加入多个区域，只会有一个区域生效（以优先级最高的为准）。

1.1 企业环境推荐配置

对于企业内网环境，建议通过组策略（GPO）统一配置，而不是让每个用户自己调整。推荐配置如下：

• Internet 区域：保持"中-高"（默认）。如果企业网络有完善的边缘防护（防火墙 + IPS + SWG），可以考虑设为"中"，但不要低于"中"。
• 本地 Intranet 区域：可以设为"中"或"中-低"，勾选"自动检测 Intranet 网络"。通过组策略将企业内部域名（如 *.corp.company.com）加入此区域。
• 受信任的站点：仅添加必要的银行、政府等外部合作伙伴网站。建议将安全级别提高到"中-高"，不要使用"低"——"低"级别会允许几乎所有 ActiveX 控件自动运行。
• 受限制的站点：设为"高"。更进一步，可以通过代理或防火墙直接阻止 IE 访问该区域的网站。

1.2 通过 GPO 配置站点到区域分配列表

大批量管理安全区域最可靠的方式是通过组策略的"站点到区域分配列表"。这个策略可以将数百个网站批量分配到指定区域，避免手动在每个客户端上配置。

1. 打开组策略编辑器（gpedit.msc）→ 计算机配置 → 管理模板 → Windows 组件 → Internet Explorer → Internet 控制面板 → 安全页。
2. 找到"站点到区域分配列表"策略，双击打开，设为"已启用"。
3. 点击"显示"按钮，在弹出的列表中逐条添加：值名称列输入网站 URL（如 https://erp.corp.com，注意必须带协议前缀），值列输入区域编号：
   • 1 = Intranet 区域
   • 2 = 受信任的站点区域
   • 3 = Internet 区域
   • 4 = 受限制的站点区域
4. 策略生效后（gpupdate /force 或等待下一次组策略刷新），IE 会自动将配置的网站映射到对应区域。

二、ActiveX 控件安全管控

ActiveX 是 IE 安全体系中最敏感、也最具争议的部分。从技术上讲，一个 ActiveX 控件可以执行任意系统命令——它可以读写注册表、访问文件系统、创建网络连接、甚至安装驱动程序。这不是 bug，这是 1996 年的设计意图：ActiveX 的前提是完全信任控件开发者。这个前提在当年的企业内网中还勉强成立，但在公共互联网上完全行不通。

二十多年来，ActiveX 相关的漏洞（CVE）占据了 IE 所有安全漏洞的 60% 以上。如果你管理的环境中必须使用 IE，ActiveX 的管控就是安全工作的核心。

2.1 ActiveX 筛选（ActiveX Filtering）

IE 9 及以上版本提供了 ActiveX 筛选功能——这是一个全局开关，可以一键禁用所有网站的 ActiveX 控件，然后仅对可信网站单独开放。相比逐个配置安全区域权限，这种方式更简单也更安全。

开启方法：工具 → 安全 → ActiveX 筛选（勾选）。开启后，地址栏会出现一个蓝色的禁止图标。访问某个网站时，如果网站上的 ActiveX 内容无法加载，点击地址栏的禁止图标 → "关闭 ActiveX 筛选"，即可为该网站单独放行。

2.2 按区域精细控制 ActiveX

如果需要更精细的控制粒度，可以在 Internet 选项 → 安全 → 自定义级别中逐个配置 ActiveX 相关选项。以下是关键配置项及推荐值：

• 对标记为可安全执行脚本的 ActiveX 控件执行脚本：Internet 区域建议设为"提示"或"禁用"。Intranet 区域可按需设为"启用"。
• 对未标记为可安全执行脚本的 ActiveX 控件初始化并执行脚本：所有区域均设为"禁用"——这一项是大量恶意软件入侵的入口。如果一个控件开发者自己都没有声明"安全"，那它就是真的不安全。
• 下载未签名的 ActiveX 控件：所有区域均设为"禁用"。数字签名是 ActiveX 安全模型的基础——没有签名的控件无法追溯来源，无法验证完整性。
• 下载已签名的 ActiveX 控件：Internet 区域设为"提示"，Intranet 区域可按需设为"启用"，受限制的站点设为"禁用"。
• 运行 ActiveX 控件和插件：Internet 区域设为"提示"或"启用"，受限制的站点设为"禁用"。

2.3 通过 Kill Bit 阻止特定 ActiveX 控件

每个 ActiveX 控件都有一个唯一的 CLSID（类标识符，形如 {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}）。当微软或第三方厂商发现某个版本的 ActiveX 控件存在安全漏洞时，可以通过设置"Kill Bit"（终止位）来阻止 IE 加载该控件：

1. 在注册表 HKLM\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{CLSID} 下创建 DWORD 值 Compatibility Flags，设为 0x00000400。
2. 也可以通过 GPO 批量部署：管理模板 → Windows 组件 → Internet Explorer → 安全功能 → 加载项管理 → 拒绝加载特定 CLSID 的 ActiveX 控件。
3. 微软定期通过 Windows Update 发布已知有漏洞的 ActiveX 控件的 Kill Bit 更新——确保 Windows Update 正常运行，这些阻断会自动生效。

三、增强保护模式（EPM）

增强保护模式（Enhanced Protected Mode，EPM）是 IE 10 引入的沙箱机制，IE 11 中默认为桌面版开启（Metro 版 IE 强制开启且不可关闭）。

EPM 的核心原理并不复杂：将 IE 的渲染进程运行在 AppContainer 沙箱中。AppContainer 是 Windows 8 引入的进程隔离机制——运行在 AppContainer 中的进程，其权限级别实际上低于标准用户。即使攻击者利用了 IE 的远程代码执行漏洞控制了渲染进程，他能做的事情也非常有限：

• 无法读写用户的文档、桌面、下载文件夹（AppContainer 默认只能访问自己的沙箱目录）
• 无法修改注册表（HKCU 在 AppContainer 下被虚拟化）
• 无法向其他进程注入代码（AppContainer 禁止跨进程操作）
• 网络访问受限于 IE 声明的网络能力（Capabilities）

检查 EPM 状态：Internet 选项 → 高级 → 安全 → 勾选"启用增强保护模式"。重启 IE 后生效。可以通过任务管理器中 iexplore.exe 进程的"完整性级别"来验证——EPM 开启后，渲染进程的完整性级别会显示为"AppContainer"而非"中"。

四、SmartScreen 筛选器

SmartScreen 是微软运营的云声誉分析系统。当你用 IE 下载一个文件时，SmartScreen 会计算文件的哈希值并发送到微软服务器进行比对——如果这个哈希匹配已知的恶意软件数据库，IE 会阻止下载并显示红色警告。如果文件是全新的（之前从未在任何 IE 用户处出现过），SmartScreen 会显示黄色警告："此程序不是通常下载的程序，可能危害你的计算机"。

建议设置：Internet 选项 → 高级 → 安全 → 勾选"启用 SmartScreen 筛选器"。在受信任的企业内网环境（通过代理/防火墙已经做了流量过滤和恶意软件扫描）中，可以禁用 SmartScreen 以减少首次下载未知文件时的网络延迟。但对外部互联网区域的下载，SmartScreen 仍然是值得保留的一层防护。

SmartScreen 的一个重要特性是：即使 IE 11 本身已经停止安全更新，SmartScreen 的云端数据库仍在持续维护——因为 Edge 和 Windows Defender 也在使用同一个后端服务。

五、SSL/TLS 协议配置

IE 11 的 SSL/TLS 协议支持在发布时是完整的，但以 2026 年的标准来看已经陈旧。以下表格整理了各协议的支持状态和安全建议：

协议	发布年份	IE 11 支持	安全状态	建议操作
SSL 2.0	1995	支持（默认关闭）	1996年已破解，使用已被弃用的 MD5 和弱加密	必须关闭
SSL 3.0	1996	支持（默认开启）	POODLE 漏洞（CVE-2014-3566），2014年公布	必须关闭
TLS 1.0	1999	支持（默认开启）	PCI DSS 自 2018 年停止接受；BEAST 攻击（已有限缓解）	Internet 区域关闭，企业内网如有老旧系统可暂时保留
TLS 1.1	2006	支持（默认开启）	2021年各大浏览器和主要平台停止支持	建议关闭
TLS 1.2	2008	支持（默认开启）	当前主流，安全性良好	保持开启
TLS 1.3	2018	不支持	最新标准，握手更快、加密更强	IE 无法支持，需升级到 Edge

配置路径：Internet 选项 → 高级 → 安全 → 勾选/取消勾选对应的 SSL 和 TLS 选项。也可以通过组策略批量配置：管理模板 → Windows 组件 → Internet Explorer → Internet 控制面板 → 高级页 → 关闭加密支持。

六、企业环境安全加固 Checklist

以下 8 项是企业 IE 安全加固的核心要点，按优先级排列：

1. 通过 GPO 限制 IE 的互联网访问：将 Internet 区域安全级别设为"高"，仅允许 Intranet 和受信任站点使用中低级别。更彻底的做法是配置代理服务器仅允许 IE 访问内网地址。
2. 配置站点到区域分配列表：将企业内部系统的域名全部加入 Intranet 或受信任站点区域，避免它们被按 Internet 区域的高安全级别处理。
3. 全局关闭 SSL 2.0 和 SSL 3.0：通过 GPO 或 IISCrypto 工具统一关闭，并确保证书更新。
4. 管控 ActiveX 下载和执行：Internet 区域禁用未签名的 ActiveX 控件；对所有区域设置下载已签名 ActiveX 为"提示"而非自动"启用"。
5. 开启增强保护模式（EPM）：全局开启；如有兼容性问题，通过 GPO 中的 EPM 例外列表针对特定网站关闭，而非全局关闭。
6. 保持 SmartScreen 启用：即使 IE 停止安全更新，SmartScreen 的云端数据库仍在维护。这层防护对零日威胁有一定缓解作用。
7. 实施网络层防护：通过防火墙规则或代理 ACL 限制 IE 的出站连接目标，减少攻击面。IE 不需要访问整个互联网——它只需要访问几个固定的内网站点。
8. 通过 GPO 锁定 IE 界面选项：禁用"Internet 选项"对话框中的安全页、隐私页等（防止用户自行降低安全级别）；禁用开发人员工具（F12）；禁用 InPrivate 浏览（如果企业策略要求记录浏览行为）。