Impedir que usuários não administrativos executem o console é uma maneira eficiente de estabelecer ou reforçar um ambiente controlado. Se você tiver acesso de administrador e quiserdesativar o Prompt de Comando , este guia irá orientá-lo ao longo do processo e fornecer informações adicionais sobre como aplicar políticas de segurança.
O Prompt de Comando é uma ferramenta poderosa utilizada para executar diversas tarefas administrativas e de solução de problemas por meio de comandos baseados em texto.
Métodos para desativar o Prompt de Comando
Existem duas maneiras de impedir que os usuários finais abram o console do Prompt de Comando. Esses programas são:
✔️ Usando o Editor de Política de Grupo Local
✔️ Usando o Editor do Registro
O Registro do Windows “ ” ( está disponível em todos os dispositivos Windows, mas a edição de seus valores pode causar danos ao sistema se for realizada de forma inadequada. Recomendamos que você crie um backup e um ponto de restauração para o Registro do Windows antes de prosseguir.
Por outro lado, embora aPolítica de Grupo Local(GPO)“ ” seja menos arriscada, ela está disponível apenas para as edições Pro, Enterprise e Education do Windows. Pensando nisso, confira as etapas abaixo para começar.
Opção 1: Usando o Editor de Política de Grupo Local (recomendado)
- Pressione Win + R, digite “gpedit.msc” na caixa de diálogo e toque em OK.
- NoEditor de Política Local do , navegue até Configuração do Usuário → Modelos Administrativos → Sistema.
- Localize a política“ (Impedir acesso ao prompt de comando ) ,clique duas vezes nela e defina-a como“ ” (Ativado).
🥷 Dica: (Opcional) Após ativar a política, você também encontrará a política“ : Desativar o processamento de scripts no prompt de comando” ( ). A aplicação desta política impedirá que os usuários executemarquivos em lote do para contornar a restriçãodo Prompt de Comando .
Opção 2: Usando o Editor do Registro (para usuários avançados)
- Pressione Win + R, digite “regedit” na caixa de diálogo e toque em OK para abrir o Editor do Registro.
- Navegue até este diretório ou cole o caminho na barra de endereços do Registro:
- HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows
- Se a chave“ System” não estiver em“ no Windows, clique com o botão direito do mouse em“ no Windows, selecione“ ” →“New” →“ Key” e nomeie-acomo “ System”. Caso contrário, clique em System para continuar.
- Nosistema “ ”, selecione“ ” >“New” > “ ” →“ ” >“DWORD (32-bit)” > “ ”, e nomeie-ocomo “ DisableCMD”.
- Clique duas vezes em DisableCMD e defina o valor como:
- 1 → Desativa o Prompt de Comando e os scripts .bat e .cmd
- 2 → Desativa o Prompt de Comando
Medidas de segurança alternativas ou complementares a serem consideradas
Desativar o Prompt de Comando é uma boa medida inicial para reforçar o controle de acesso para usuários não administrativos, mas isso por si só pode não ser suficiente para impedir a execução de scripts não autorizados em outros consoles (por exemplo, o PowerShell).
Aqui estão algumas camadas adicionais de segurança a serem consideradas.
Restrição do acesso ao PowerShell por meio da Política de Grupo Local
Você deve considerar bloquear o acesso não autorizado aoPowerShell , uma vez que o console pode executar diversos utilitários de linha de comando e outros mais avançados, semelhantes aos do Prompt de Comando. Além disso, alguns usuários podem utilizá-lo para contornar as restrições aplicadas ao Prompt de Comando.
Nesse sentido, eis os passos para desativar o PowerShell na Política de Grupo Local:
- Pressione Win + R, digite “gpedit.msc” na caixa de diálogo e toque em OK.
- Acesse Configuração do usuário → Modelos administrativos → Sistema.
- Encontre a política“ : Não executar aplicativos especificados do Windows” ( ) e clique duas vezes nela.
- Em seguida, acesse“ Options” (Opções de exibição do PowerShell), clique em“ Show” (Mostraropções de exibição do PowerShell) e digite“ powershell.exe na seleção“ Value” (Valor do ) .
- Cliqueem “ (OK), depoisem “ ” (Aplicar) e, por fim, em “ (Confirmar as alterações).
Você também pode considerar adicionar powershell_ise.exe (interface do PowerShell ISE) e pwsh.exe (PowerShell 7) na coluna “Valor” para impedir que os usuários contornem as restrições.
Usando o AppLocker para bloquear a execução de scripts não autorizados
O AppLocker , recurso integrado ao Windows , também possui seus próprios parâmetros eficazes para impedir a execução de scripts e arquivos em lote não autorizados. No entanto, lembre-se de que o AppLocker, por si só, não impedirá que alguns scripts sejam executados nomodo “ ” do PowerShell.
Por isso, é recomendável bloquear completamente o PowerShell e o Prompt de Comando caso o computador do usuário não precise dessas funcionalidades.
Ativação do Controle de Conta de Usuário (UAC) para limitar as permissões de execução de comandos
ConfiguraroControle de Acesso doUsuário (UAC) para restringir uma conta de usuário padrão é outra excelente maneira de promover um ambiente seguro.
Basicamente, os usuários que não tiverem privilégios elevados receberão uma mensagem sempre que tentarem acessar um programa restrito. Os administradores serão notificados, ou o usuário terá que solicitar autorização antes de poder prosseguir.
Solução de problemas comuns ao ativar ou desativar o Prompt de Comando
Embora desativar o console não seja, por si só, um processo complicado, alguns pequenos desafios e aspectos a serem considerados tendem a ser ignorados. Aqui estão algumas dicas básicas de solução de problemas que você pode usar caso encontre algum erro.
Erro: Não é possível abrir o Editor de Política de Grupo (gpedit.msc não encontrado)
O Editor de Política de Grupo Local está disponível apenas nas seguintes edições do Windows:
- Pro
- Educação
- Grande porte
Se o seu dispositivo estiver rodando o Windows Home, você pode usar o Editor do Registro.
Erro: O Prompt de Comando ainda pode ser acessado pelo PowerShell
Alguns usuários podem contornar a restrição do Prompt de Comando colocando um prefixo nos comandos no PowerShell. Além disso, muitos comandos e utilitários do Prompt de Comando podem ser executados ou têm um equivalente que pode ser executado no PowerShell. Por isso, os administradores de TI costumam restringir o PowerShell e o Prompt de Comando ao limitar o acesso dos usuários.
Erro: É preciso reativar o Prompt de Comando
Você pode reativar o Prompt de Comando definindo a política“ : Impedir acesso ao prompt de comando” ( Prevent access to the command prompt) para“ ” (Não configurado) ou“ ” (desativado). Se você já utilizou o Registro do Windows para definir as restrições, poderá excluir a chave“ ” do sistema “ ”, caso ela não contenha nenhum outro valor.
Você também pode reverter o valor DWORD de“ DisableCMD para“ 0 ” para reativar totalmente o Prompt de Comando.
Perguntas frequentes sobre como ativar ou desativar o Prompt de Comando
Desativar o cmd.exe afeta o desempenho do sistema?
Desativar o Prompt de Comando não afetará o desempenho do sistema. Isso apenas limitará a capacidade dos usuários não administrativos de executar comandos no console.
Os administradores ainda podem acessar o Prompt de Comando?
Não. Os administradores também não poderão acessar o Prompt de Comando neste dispositivo. Somente o sistema poderá executar os scripts necessários por meio deste console.
Desativar o cmd.exe afetará os arquivos em lote e os scripts?
Existem muitas perguntas relacionadas a este assunto, como“Como desativar o CMD .bat?” ou“Como desativar o processamento de scripts no Prompt de Comando? ”, mas, para esclarecer, desativar o Prompt de Comando não bloqueará os arquivos em lote, a menos que você aplique essa política simultaneamente.
Procure a política“ ” (Desativar o processamento de scripts no prompt de comando) em para gerenciar essa opção.
Desativar o Prompt de Comando também bloqueia o PowerShell?
Não, o PowerShell deve ser desativado separadamente. Confira as dicas adicionais em Medidas de segurança adicionais para saber como impedir que usuários acessem o PowerShell.
Considerações finais sobre como desativar o Prompt de Comando no Windows 10
A decisão de desativar o processamento de scripts no prompt de comando é um bom ponto de partida para estabelecer um ambiente de TI seguro. No entanto, essa política por si só pode não ser suficiente para impedir que usuários mal-intencionados contornem as restrições. Por isso, você pode considerar desativar o PowerShell para preencher essas lacunas.
Quando você decidir desativar o console do Prompt de Comando, poderá usar o Editor do Registro ou o GPO para aplicar a nova política. Na maioria dos casos, recomendamos a segunda opção se você tiver um dispositivo com as edições Windows Pro, Enterprise e Education. Caso contrário, os usuários domésticos podem editar o Registro do Windows, desde que tomem todas as precauções de segurança necessárias.
💡 Se você preferir uma explicação visual, confira o artigo “Como desativar o Prompt de Comando”.
