在 2007 Office system 中规划 ActiveX 控件、加载项和宏的安全设置

在所有文档中禁用 ActiveX 控件

如果您的安全体系结构受到非常大的限制，而您又希望将来自 ActiveX 控件的潜在风险降到最低，则可以禁用 ActiveX 控件。通过禁用 ActiveX 控件，可以阻止文件中的所有 ActiveX 控件在文件打开时进行初始化（即进行加载）。在某些情况下，虽然已禁用的 ActiveX 控件在文件中可能以红色 x 或其他一些符号的形式出现，但由于此控件已被禁用，因此在用户单击该符号时将不会发生任何操作。另外，在您禁用 ActiveX 控件时，不会通知用户 ActiveX 控件已被禁用。

若要禁用 ActiveX 控件，请配置下表中所推荐的任一设置。

注意
在受信任位置保存的文件中不能禁用 ActiveX 控件。当从受信任位置打开文件时，即使您禁用了 ActiveX 控件，该文件中的所有活动内容也会进行初始化并被允许运行，而且不会发出通知。

如果禁用 ActiveX 控件，请确保：

• 通知用户 ActiveX 控件已被禁用，并且在用户打开包含已禁用的 ActiveX 控件的文件时将不显示任何通知。

• 测试禁用 ActiveX 控件可能会对组织产生的影响。由于许多 Office 解决方案都是使用 ActiveX 控件构建的，因此禁用 ActiveX 控件可导致意外行为并阻止应用程序正常工作。

• 在安全规划文档和安全操作文档中记录设置。

允许初始化并运行所有 ActiveX 控件而不发出通知

您可以配置 2007 Office system 以初始化和运行所有 ActiveX 控件而不发出通知。这在某些测试和开发环境以及具有辅助安全机制（例如防火墙、病毒检测程序和入侵检测程序）来帮助确保文件不包含恶意内容的独立环境中很有用。

重要信息
在生产环境中，不推荐您允许初始化和运行 ActiveX 控件而不发出警告。允许初始化和运行 ActiveX 控件而不发出警告可能会极大地增加受到攻击的风险，并可能削弱组织的安全性。

若要允许初始化和运行 ActiveX 控件而不发出通知，请配置下表推荐的任一设置。

更改此设置后，将在施加最小限制（即使用持续值）的情况下初始化 SFI 和 UFI 控件。如果持续值不可用，则会通过 InitNew 方法用默认值对控件进行初始化。将在安全模式下初始化 SFI 控件，并且不会通知用户 ActiveX 控件已被启用。只能使用 2007 Office system 管理模板（.adm 文件）配置此设置。此设置适用于 2007 Office system 和早期版本的 Office。

有关所有配置的列表，请参阅 2007 Microsoft Office 安全指南（威胁和对策：2007 Office System 中的安全设置） （该链接可能指向英文页面） (https://technet.microsoft.com/zh-cn/library/cc500475.aspx)。

如果允许初始化和运行所有 ActiveX 控件而不发出通知，请确保：

• 通知用户 ActiveX 控件已被启用，并且在用户打开包含 ActiveX 控件的文件时将不显示任何通知。

• 在安全规划文档和安全操作文档中记录设置。

修改基于 SFI 和 UFI 参数初始化 ActiveX 控件的方式

2007 Office system 提供了多种设置，使您能够控制基于 SFI、UFI 和安全模式参数初始化 ActiveX 控件的方式。SFI、UFI 和安全模式是开发人员在创建 ActiveX 控件时可以配置的参数。标记为 SFI 的 ActiveX 控件将使用安全的数据源进行初始化。安全的数据源是一个受信任的、已知的且不会导致出现安全漏洞的数据源。未标记为 SFI 的控件将被视为 UFI。

安全模式是另一种安全机制，开发人员可以用来帮助确保 ActiveX 控件的安全。当开发人员创建实现安全模式的 ActiveX 控件时，可以通过两种方式初始化这类控件：在安全模式下和在不安全模式下。在安全模式下初始化 ActiveX 控件时，将会对控件施加一些对功能的限制。相反，在不安全模式下初始化 ActiveX 控件时，对其功能没有任何限制。例如，如果读写文件的 ActiveX 控件是在安全模式下初始化的，则可能仅允许该控件读取文件，而在不安全模式下初始化控件时，该控件则可能能够读写文件。只有属于 SFI 的 ActiveX 控件才能在安全模式下初始化。属于 UFI 的 ActiveX 控件始终在不安全模式下进行初始化。

默认情况下，在 2007 Office system 中将按如下所示方式初始化 ActiveX 控件：

• 如果文件包含 VBA 项目，则系统将提示用户启用或禁用该文件中的 ActiveX 控件。如果用户选择启用 ActiveX 控件，则将在施加最小限制（即，使用持续值）的情况下初始化所有 SFI 和 UFI 控件。如果持续值不可用，则会通过 InitNew 方法用默认值对控件进行初始化。将在安全模式下初始化 SFI 控件。

• 如果文件不包含 VBA 项目，而仅包含 SFI 控件，则将在施加最小限制（即，使用持续值）的情况下初始化 SFI 控件。如果持续值不可用，则会通过 InitNew 方法用默认值对控件进行初始化。将在安全模式下初始化 SFI 控件。

• 如果文件不包含 VBA 项目，但包含 SFI 和 UFI 控件，则将提示用户启用或禁用该文件中的 ActiveX 控件。如果用户选择启用 ActiveX 控件，则将在施加最小限制（即，使用持续值）的情况下初始化 SFI 控件，并且使用 InitNew 方法用默认值初始化 UFI 控件。将在安全模式下初始化 SFI 控件。

如果此默认行为不能满足组织需要，但您不希望禁用 ActiveX 控件，则可以在文件包含 VBA 项目时，通过强制使用默认值初始化 UFI 控件而不是通过施加最小限制，来加强初始化 ActiveX 控件的方式。为此，请配置下表推荐的以下设置之一。

您可以配置 ActiveX 控件设置以适应更多的安全方案。有关 2007 Office system 中 ActiveX 控件设置的详细信息（包括各个设置的说明以及 OCT、组策略与信任中心设置之间的比较），请参阅 ActiveX 控件设置。有关配置 ActiveX 控件设置的详细信息，请参阅配置 ActiveX 控件的设置。

基于每个应用程序禁用加载项

如果安全体系结构受到非常大的限制，并且您要帮助最大限度地减少来自加载项的潜在风险，则您可以禁用加载项。禁用加载项时，将阻止加载项运行，并且不会通知用户加载项已被禁用。

不能全局性禁用加载项。只能基于每个应用程序对下列应用程序禁用加载项：

• Microsoft Office Access 2007

• Microsoft Office Excel 2007

• Microsoft Office PowerPoint 2007

• Microsoft Office Publisher 2007

• Microsoft Office Visio 2007

• Microsoft Office Word 2007

若要禁用加载项，请配置下表中所推荐的设置之一。

如果禁用加载项，请确保：

• 通知用户加载项已被禁用。

• 在安全规划文档和安全操作文档中记录设置。

要求由受信任的发布者签署加载项

如果您不希望禁用加载项但仍想提高加载项的安全性，则可以要求由受信任的发布者签署加载项。这样做之后，将发生以下行为：

• 运行受信任加载项 而不发出通知。受信任加载项是保存在受信任位置的加载项或由受信任发布者列表中的发布者签署的加载项。

• 禁用未签署的加载项，但会提示用户启用或禁用加载项。

• 禁用由不是受信任发布者列表中的发布者签署的加载项，但会提示用户启用或禁用加载项。

不能全局性配置要求由受信任发布者签署加载项的设置。必须基于每个应用程序配置此设置，并且只能为下列应用程序配置此设置：

• Office Access 2007

• Office Excel 2007

• Office PowerPoint 2007

• Office Publisher 2007

• Office Visio 2007

• Office Word 2007

若要要求由受信任发布者签署加载项，请配置下表中所推荐的设置之一。

确保在安全规划文档和安全操作文档中记录这些设置。

禁用未签署加载项通知

即使您要求由受信任发布者签署加载项，用户也仍可以通过消息栏启用未签署的加载项。如果您不希望用户启用未签署的加载项，则可以对未签署的加载项禁用通知。只能基于每个应用程序执行此操作，并且只能为下列应用程序配置该设置：

• Office Access 2007

• Office Excel 2007

• Office PowerPoint 2007

• Office Publisher 2007

• Office Visio 2007

• Office Word 2007

为此，请配置下表中所推荐的设置之一。

如果对未签署的加载项禁用通知，请确保：

• 通知用户以无提示方式禁用未签署的加载项。

• 在安全规划文档和安全操作文档中记录设置。

有关 2007 Office system 中加载项设置的详细信息（包括各个设置的说明以及 OCT、组策略与信任中心设置之间的比较），请参阅 Office system 中的安全策略和设置。有关配置加载项设置的详细信息，请参阅在 2007 Office system 中配置 ActiveX 控件、加载项和宏的安全设置。

更改宏的默认安全设置

2007 Office system 提供了多种设置，使您能够更改宏的默认行为。默认情况下，允许运行受信任的宏而不发出通知。受信任的宏包括保存在受信任位置的文档中的宏以及满足下列条件的宏：

• 开发人员已使用数字签名对这个宏进行了签名。

• 该数字签名有效。

• 该数字签名没有过期。

• 与该数字签名关联的证书是由信誉良好的证书颁发机构 (CA) 颁发的。

• 对宏进行签名的开发人员是受信任的发布者。

在用户单击消息栏并选择启用宏之前，将不允许运行不受信任的宏。（有些应用程序不提供消息栏；在这些情况下，将在对话框中显示通知。）

注意
在 Microsoft Office Outlook 2007 中，宏的默认安全设置有所不同。有关详细信息，请参阅 Office Outlook 2007 安全文档。

如果宏的默认安全设置不能满足组织的需要，则可以执行下列操作之一：

• 禁用不受信任的宏且不发出通知。

• 对未签署的宏禁用通知，但允许对已签署的宏发出通知。

控制 VBA 的行为方式

2007 Office system 提供了两项设置，使您能够控制 VBA 的行为方式。默认情况下，将启用 VBA（如果已安装）并且自动化客户端不具有对 VBA 项目的编程访问权限。您可以按以下方式更改此行为：

• 可以向自动化客户端提供对 VBA 项目的编程访问权限。

• 可以禁用 VBA。

除了 2007 Office system 中的这些安全设置之外，Office Visio 2007 还提供多种设置，使您可以控制 VBA 在 Office Visio 2007 中的行为方式。有关详细信息，请参阅 Office system 中的安全策略和设置。

向自动化客户端提供对 VBA 项目的编程访问权限

向自动化客户端提供对 VBA 项目的编程访问权限后，自动化客户端即可以使用 VBA 对象模型。

若要向自动化客户端提供对 VBA 项目的编程访问权限，请配置下表中所述的设置。必须基于每个应用程序配置此设置，并且可以为下列应用程序进行配置：

• Office Excel 2007

• Office PowerPoint 2007

• Office Word 2007

设置名称	推荐的配置	说明
信任对 Visual Basic 项目的访问	选择此选项：禁用	默认情况下，自动化客户端不具有对 VBA 项目的编程访问权限。选择此选项时，自动化客户端可以按编程方式访问 VBA 对象模型。可以在 OCT 中使用 2007 Office system 管理模板（.adm 文件）配置此设置。

重要信息
如果向自动化客户端提供对 VBA 项目的编程访问权限，则会增加受到生成自我复制代码的未经授权程序攻击的风险。

更改宏在通过自动化以编程方式启动的应用程序中的行为方式。

2007 Office system 提供了一种设置，使您能够控制宏在通过自动化 以编程方式启动的应用程序中运行时的行为方式。自动化是一种编程工具，它是使开发人员能够从一个应用程序访问另一个应用程序的功能。例如，开发人员可以创建使用 Office Outlook 2007 的电子邮件功能和日程排定功能的项目管理应用程序。默认情况下，当一个应用程序使用自动化启动 2007 Office system 中的应用程序时，将启用宏并允许其运行，而不执行任何安全检查。可通过以下两种方式更改此行为：

• 可以禁用以编程方式启动的应用程序中的宏。这样做时，将不会通知用户宏已被禁用，并且不会提示用户启用或禁用宏。当组织具有受限制的安全模型并且您不希望用户运行宏时，此设置将很有用。

• 可以根据在以编程方式启动的应用程序中配置的安全设置运行宏。这样做时，宏行为将由在以编程方式启动的应用程序中配置的安全设置指定。例如，如果您要求在 Office Excel 2007 中对所有宏进行数字签名，那么，当一个应用程序使用自动化来启动 Office Excel 2007 时，将不会运行没有进行数字签名的宏。如果要将组织的宏安全设置扩展到通过自动化启动的应用程序，则此设置将非常有用。

若要更改宏在通过自动化以编程方式启动的应用程序中的默认行为，请使用下表中推荐的设置之一。可以在 OCT 中使用 2007 Office system 管理模板（.adm 文件）对这些设置进行配置。这些设置为全局设置并且适用于下列应用程序：

• Office Excel 2007

• Office PowerPoint 2007

• Office Word 2007

如果更改自动化安全设置，请确保：

• 全面测试所有的应用程序，以确保所做的更改不会导致不可预知的行为或限制应用程序中的功能。某些应用程序会使用自动化以无提示方式启动 2007 Office system 中的应用程序。

• 在安全规划文档和安全操作文档中记录配置设置。

除了 2007 Office system 中的这些安全设置之外，Office Publisher 2007 还提供了一种设置，使您能够在 Office Publisher 2007 中配置宏的自动化安全。有关详细信息，请参阅 Office system 中的安全策略和设置。

防止对加密的宏执行病毒扫描

2007 Office system 提供了多种设置，使您能够防止对加密的宏执行病毒扫描。这对于病毒扫描程序不支持 Microsoft Antivirus 应用程序编程接口 (API) 的情况非常有用。

默认情况下，当使用 Office Open XML 格式文件格式加密和保存文件时将对宏进行加密。如果病毒扫描程序不支持 Microsoft Antivirus API，则病毒扫描程序将无法扫描加密的宏，因此，将会禁用加密的宏。若要防止防病毒程序扫描加密的宏，请配置下表中所推荐的设置。

如果更改用于扫描加密的宏的默认设置，请确保：

• 在安全规划文档中记录设置。

• 在安全操作文档中记录设置。