用 AppControl Manager 管好 Windows 應(yīng)用控制3 步開啟 WDAC 白名單【免費(fèi)下載鏈接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store?項(xiàng)目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-SecurityWindows 默認(rèn)模式下雙擊安裝包就會(huì)運(yùn)行同樣路徑下載的木馬也能運(yùn)行。Windows 應(yīng)用控制WDACWindows Defender Application Control反過來處理這個(gè)問題它是白名單機(jī)制只有名單上允許的文件才能運(yùn)行其余一律攔截。AppControl Manager 把這項(xiàng)企業(yè)級(jí)能力變成圖形化操作省掉手改策略文件的步驟。原理速覽WDAC 白名單是怎么工作的WDAC 的邏輯不復(fù)雜先告訴系統(tǒng)哪些文件可以運(yùn)行名單之外的文件在啟動(dòng)前就被攔下改名、換位置都沒用。策略本質(zhì)上是一份信任條件清單比如只允許微軟證書簽名的文件或者只允許哈希匹配某值的文件文件哈希是內(nèi)容的唯一指紋改一個(gè)字節(jié)指紋就變。難的地方在于這份清單原本是一份復(fù)雜的 XML 策略文件。AppControl Manager 把它拆成了模板和勾選框選模板、勾選項(xiàng)、點(diǎn)生成策略文件就產(chǎn)出部署路徑也有引導(dǎo)。AppControl Manager 安裝教程兩條路徑跑起來Microsoft Store在 Store 搜索 AppControl Manager 直接安裝后續(xù)更新也由 Store 接管是最省事的路徑。GitHub Releases離線或隔離網(wǎng)絡(luò)環(huán)境可從 Harden-Windows-Security 倉(cāng)庫(kù)的發(fā)布頁(yè)下載.msixbundle離線安裝包倉(cāng)庫(kù)內(nèi)AppControl Manager/MSIXBundleDownloadURL.txt記錄了當(dāng)前下載地址。想用命令行安裝的話一條 winget 命令即可走 Store 源winget install --id 9PNG1JDDTGP8 --exact --accept-package-agreements --accept-source-agreements --force --source msstore3 步創(chuàng)建第一個(gè) Windows 應(yīng)用控制策略進(jìn)入 Create App Control Policy 頁(yè)面選Allow Microsoft模板——規(guī)則是只放行微軟證書簽名電子印章證明文件出處的文件保持開啟Audit模式審計(jì)模式下策略只記錄哪些文件會(huì)被攔不實(shí)際攔截先觀察幾天是否影響正常使用生成策略并部署到系統(tǒng)觀察無誤后再切換為強(qiáng)制攔截。 各模板默認(rèn) Windows、簽名且信譽(yù)良好、微軟推薦攔截規(guī)則等的說明見倉(cāng)庫(kù)文檔Create AppControl Policy。按使用旅程拆解 Windows 應(yīng)用控制能力個(gè)人設(shè)備日常加固與下載文件夾防護(hù)內(nèi)置的下載文件夾防護(hù)會(huì)生成一條策略攔截 Downloads 文件夾里任何可執(zhí)行文件的運(yùn)行。對(duì)你的意義誤下載的病毒雙擊不會(huì)再啟動(dòng)必須挪到別的目錄才可能運(yùn)行。還可以為wscript.exe、mshta.exe、cscript.exe這類危險(xiǎn)腳本宿主添加攔截規(guī)則——它們是腳本類攻擊的常見入口。策略調(diào)優(yōu)先模擬再補(bǔ)充最后驗(yàn)證補(bǔ)充策略Supplemental Policy主策略上線后新裝軟件不必推翻重建主策略單獨(dú)加一份補(bǔ)充策略放行該應(yīng)用即可白名單不被反復(fù)拆改模擬Simulation強(qiáng)制啟用前讓系統(tǒng)現(xiàn)有文件跑一遍策略預(yù)覽哪些會(huì)被攔、哪些能過避免先啟用再發(fā)現(xiàn)系統(tǒng)被鎖驗(yàn)證Validate檢查策略文件本身的格式與規(guī)則沖突。流程細(xì)節(jié)見 Simulation。企業(yè)用 Intune 批量部署 WDAC 安全策略策略在一臺(tái)機(jī)器上配好后可通過 Intune微軟的企業(yè)設(shè)備云端管理服務(wù)批量推送到全部設(shè)備應(yīng)用內(nèi)也有專門的 Intune 部署細(xì)節(jié)頁(yè)并支持合并、對(duì)比多份策略。對(duì) IT 的意義一次配好模板統(tǒng)一分發(fā)不用逐臺(tái)手工操作。信任驗(yàn)證你可以自己核驗(yàn)什么不直接采信安全的說法以下各項(xiàng)都可以逐項(xiàng)核驗(yàn)構(gòu)建鏈構(gòu)建全部由 GitHub Actions 完成打開倉(cāng)庫(kù) Actions 頁(yè)可查每次發(fā)布的構(gòu)建記錄Artifact Attestation來源證明每個(gè)發(fā)布包都帶證明表明它由本倉(cāng)庫(kù)源碼編譯attestations 記錄可公開查看SBOM軟件物料清單軟件組件清單對(duì)整個(gè)倉(cāng)庫(kù)生成配合證明與構(gòu)建隔離達(dá)到 SLSA L3供應(yīng)鏈安全標(biāo)準(zhǔn)等級(jí)VirusTotal每次發(fā)布或 PR 合并都會(huì)由 GitHub Action 自動(dòng)上傳掃描掃描歷史可查零第三方依賴README 聲明不依賴任何第三方組件可翻閱源碼自行確認(rèn)AppControl Manager 也被微軟官方文檔提及。適用邊界適合誰不做什么適合Windows 11 24H2 及以上系統(tǒng)另支持 Windows Server 2025想鎖住個(gè)人設(shè)備的用戶以及需要統(tǒng)一管理一批設(shè)備策略的企業(yè)。它不做的事不替代殺毒軟件WDAC 管文件能不能運(yùn)行Defender 之類管文件是否惡意兩者是分層關(guān)系不是替換關(guān)系策略配錯(cuò)會(huì)限制正常使用白名單過嚴(yán)時(shí)合法軟件也會(huì)打不開——所以第一步務(wù)必從 Audit 模式開始需要理解白名單邏輯證書簽名放行和哈希放行是兩種不同思路選模板前先想清楚不存在一鍵完美。先把 Audit 模式開起來用 AppControl Manager 建一份 Allow Microsoft 策略觀察日志一周確認(rèn)系統(tǒng)無異常再切強(qiáng)制攔截?！久赓M(fèi)下載鏈接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store?項(xiàng)目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考