启用ntfs磁盘配额可强制拦截恶意填充，需满足三前提：ntfs格式、未启用bitlocker、管理员权限操作；关键设“拒绝超限写入”，并为高风险账户手动绑定严格配额。
要通过存储配额策略限制恶意填充磁盘，核心是启用并正确配置 windows ntfs 卷的原生磁盘配额功能，使其在用户尝试大量写入时主动拦截，而非仅事后告警。该机制不依赖杀毒软件或行为分析，而是从文件系统层强制约束空间归属，对批量复制、日志刷写、临时文件轰炸等常见恶意填充手段具备直接防御能力。
确认并锁定配额生效前提
配额能否真正起效，取决于三个不可绕过的底层条件：
- 目标磁盘必须为 NTFS 格式——用管理员权限运行 fsutil fsinfo ntfsinfo D: 验证；FAT32/exFAT 卷完全不支持配额
- 该卷不能启用 BitLocker 加密——已加密需先在“控制面板 → BitLocker 驱动器加密”中暂停或解密，否则“配额”选项卡直接消失
- 操作必须使用管理员账户（非标准用户），且右键属性时以提升权限方式打开，否则勾选无效
启用硬性拦截式全局配额
仅设警告无实际防护力；必须激活写入阻断机制，让恶意填充在达到阈值瞬间失败：
- 右键目标盘（如 D:）→“属性”→“配额”→勾选启用配额管理
- 务必勾选拒绝将磁盘空间给超过配额限制的用户——这是防御恶意填充的关键开关
- 在“默认配额限制”中设定合理上限（如 5 GB）和提前预警值（如 4.5 GB）
- 同步勾选两项日志记录：“用户超出配额限制时记录事件”和“用户超过警告等级时记录事件”，便于后续在事件查看器中定位异常写入源头
为高风险账户单独加固配额
全局默认值只对新用户自动生效；已有账户（尤其是被攻陷的普通用户、服务账户、Guest 等）必须手动绑定配额条目，防止绕过：
- 点击“配额设置”窗口中的配额项按钮
- 点“新建配额项”→“高级”→“立即查找”，从列表中精准选取目标用户名或 SID（注意：重命名账户不影响原有配额，新建同名账户也无继承关系）
- 为其设置更严格的限额（如 512 MB）和更低的警告线（如 400 MB），尤其对无人值守终端、公共机房账号、远程桌面用户等场景适用
- 双击已有条目可随时禁用（选“不限制磁盘使用”）或删除，适合临时放行调试
命令行批量封堵与验证
当面临多账户被控、需快速响应或图形界面异常时，PowerShell + fsutil 是最可靠兜底手段：
- 查看当前卷配额状态：fsutil quota query D:
- 查询某用户是否已受控：fsutil quota stats D: S-1-5-21-xxx（SID 可通过 whoami /user 或 Get-WmiObject Win32_UserAccount 获取）
- 为指定 SID 强制设限（512 MB 硬限制 + 480 MB 警告）：fsutil quota modify D: S-1-5-21-xxx 536870912 503316480（单位为字节）
- 所有操作即时生效，无需重启，且绕过 Shell 扩展干扰，适合应急处置
不复杂但容易忽略：配额统计严格按文件所有者（SID）计算，与路径无关；压缩文件、稀疏文件仍按原始大小计入；Administrator 默认不受限，如需管控必须显式添加其配额条目。
