用 AppControl Manager 管好 Windows 应用控制3 步开启 WDAC 白名单【免费下载链接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store✨项目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-SecurityWindows 默认模式下双击安装包就会运行同样路径下载的木马也能运行。Windows 应用控制WDACWindows Defender Application Control反过来处理这个问题它是白名单机制只有名单上允许的文件才能运行其余一律拦截。AppControl Manager 把这项企业级能力变成图形化操作省掉手改策略文件的步骤。原理速览WDAC 白名单是怎么工作的WDAC 的逻辑不复杂先告诉系统哪些文件可以运行名单之外的文件在启动前就被拦下改名、换位置都没用。策略本质上是一份信任条件清单比如只允许微软证书签名的文件或者只允许哈希匹配某值的文件文件哈希是内容的唯一指纹改一个字节指纹就变。难的地方在于这份清单原本是一份复杂的 XML 策略文件。AppControl Manager 把它拆成了模板和勾选框选模板、勾选项、点生成策略文件就产出部署路径也有引导。AppControl Manager 安装教程两条路径跑起来Microsoft Store在 Store 搜索 AppControl Manager 直接安装后续更新也由 Store 接管是最省事的路径。GitHub Releases离线或隔离网络环境可从 Harden-Windows-Security 仓库的发布页下载.msixbundle离线安装包仓库内AppControl Manager/MSIXBundleDownloadURL.txt记录了当前下载地址。想用命令行安装的话一条 winget 命令即可走 Store 源winget install --id 9PNG1JDDTGP8 --exact --accept-package-agreements --accept-source-agreements --force --source msstore3 步创建第一个 Windows 应用控制策略进入 Create App Control Policy 页面选Allow Microsoft模板——规则是只放行微软证书签名电子印章证明文件出处的文件保持开启Audit模式审计模式下策略只记录哪些文件会被拦不实际拦截先观察几天是否影响正常使用生成策略并部署到系统观察无误后再切换为强制拦截。 各模板默认 Windows、签名且信誉良好、微软推荐拦截规则等的说明见仓库文档Create AppControl Policy。按使用旅程拆解 Windows 应用控制能力个人设备日常加固与下载文件夹防护内置的下载文件夹防护会生成一条策略拦截 Downloads 文件夹里任何可执行文件的运行。对你的意义误下载的病毒双击不会再启动必须挪到别的目录才可能运行。还可以为wscript.exe、mshta.exe、cscript.exe这类危险脚本宿主添加拦截规则——它们是脚本类攻击的常见入口。策略调优先模拟再补充最后验证补充策略Supplemental Policy主策略上线后新装软件不必推翻重建主策略单独加一份补充策略放行该应用即可白名单不被反复拆改模拟Simulation强制启用前让系统现有文件跑一遍策略预览哪些会被拦、哪些能过避免先启用再发现系统被锁验证Validate检查策略文件本身的格式与规则冲突。流程细节见 Simulation。企业用 Intune 批量部署 WDAC 安全策略策略在一台机器上配好后可通过 Intune微软的企业设备云端管理服务批量推送到全部设备应用内也有专门的 Intune 部署细节页并支持合并、对比多份策略。对 IT 的意义一次配好模板统一分发不用逐台手工操作。信任验证你可以自己核验什么不直接采信安全的说法以下各项都可以逐项核验构建链构建全部由 GitHub Actions 完成打开仓库 Actions 页可查每次发布的构建记录Artifact Attestation来源证明每个发布包都带证明表明它由本仓库源码编译attestations 记录可公开查看SBOM软件物料清单软件组件清单对整个仓库生成配合证明与构建隔离达到 SLSA L3供应链安全标准等级VirusTotal每次发布或 PR 合并都会由 GitHub Action 自动上传扫描扫描历史可查零第三方依赖README 声明不依赖任何第三方组件可翻阅源码自行确认AppControl Manager 也被微软官方文档提及。适用边界适合谁不做什么适合Windows 11 24H2 及以上系统另支持 Windows Server 2025想锁住个人设备的用户以及需要统一管理一批设备策略的企业。它不做的事不替代杀毒软件WDAC 管文件能不能运行Defender 之类管文件是否恶意两者是分层关系不是替换关系策略配错会限制正常使用白名单过严时合法软件也会打不开——所以第一步务必从 Audit 模式开始需要理解白名单逻辑证书签名放行和哈希放行是两种不同思路选模板前先想清楚不存在一键完美。先把 Audit 模式开起来用 AppControl Manager 建一份 Allow Microsoft 策略观察日志一周确认系统无异常再切强制拦截。【免费下载链接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store✨项目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考