用 AppControl Manager 管好 Windows 應用控制3 步開啟 WDAC 白名單【免費下載鏈接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store?項目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-SecurityWindows 默認模式下雙擊安裝包就會運行同樣路徑下載的木馬也能運行。Windows 應用控制WDACWindows Defender Application Control反過來處理這個問題它是白名單機制只有名單上允許的文件才能運行其余一律攔截。AppControl Manager 把這項企業(yè)級能力變成圖形化操作省掉手改策略文件的步驟。原理速覽WDAC 白名單是怎么工作的WDAC 的邏輯不復雜先告訴系統(tǒng)哪些文件可以運行名單之外的文件在啟動前就被攔下改名、換位置都沒用。策略本質(zhì)上是一份信任條件清單比如只允許微軟證書簽名的文件或者只允許哈希匹配某值的文件文件哈希是內(nèi)容的唯一指紋改一個字節(jié)指紋就變。難的地方在于這份清單原本是一份復雜的 XML 策略文件。AppControl Manager 把它拆成了模板和勾選框選模板、勾選項、點生成策略文件就產(chǎn)出部署路徑也有引導。AppControl Manager 安裝教程兩條路徑跑起來Microsoft Store在 Store 搜索 AppControl Manager 直接安裝后續(xù)更新也由 Store 接管是最省事的路徑。GitHub Releases離線或隔離網(wǎng)絡環(huán)境可從 Harden-Windows-Security 倉庫的發(fā)布頁下載.msixbundle離線安裝包倉庫內(nèi)AppControl Manager/MSIXBundleDownloadURL.txt記錄了當前下載地址。想用命令行安裝的話一條 winget 命令即可走 Store 源winget install --id 9PNG1JDDTGP8 --exact --accept-package-agreements --accept-source-agreements --force --source msstore3 步創(chuàng)建第一個 Windows 應用控制策略進入 Create App Control Policy 頁面選Allow Microsoft模板——規(guī)則是只放行微軟證書簽名電子印章證明文件出處的文件保持開啟Audit模式審計模式下策略只記錄哪些文件會被攔不實際攔截先觀察幾天是否影響正常使用生成策略并部署到系統(tǒng)觀察無誤后再切換為強制攔截。 各模板默認 Windows、簽名且信譽良好、微軟推薦攔截規(guī)則等的說明見倉庫文檔Create AppControl Policy。按使用旅程拆解 Windows 應用控制能力個人設備日常加固與下載文件夾防護內(nèi)置的下載文件夾防護會生成一條策略攔截 Downloads 文件夾里任何可執(zhí)行文件的運行。對你的意義誤下載的病毒雙擊不會再啟動必須挪到別的目錄才可能運行。還可以為wscript.exe、mshta.exe、cscript.exe這類危險腳本宿主添加攔截規(guī)則——它們是腳本類攻擊的常見入口。策略調(diào)優(yōu)先模擬再補充最后驗證補充策略Supplemental Policy主策略上線后新裝軟件不必推翻重建主策略單獨加一份補充策略放行該應用即可白名單不被反復拆改模擬Simulation強制啟用前讓系統(tǒng)現(xiàn)有文件跑一遍策略預覽哪些會被攔、哪些能過避免先啟用再發(fā)現(xiàn)系統(tǒng)被鎖驗證Validate檢查策略文件本身的格式與規(guī)則沖突。流程細節(jié)見 Simulation。企業(yè)用 Intune 批量部署 WDAC 安全策略策略在一臺機器上配好后可通過 Intune微軟的企業(yè)設備云端管理服務批量推送到全部設備應用內(nèi)也有專門的 Intune 部署細節(jié)頁并支持合并、對比多份策略。對 IT 的意義一次配好模板統(tǒng)一分發(fā)不用逐臺手工操作。信任驗證你可以自己核驗什么不直接采信安全的說法以下各項都可以逐項核驗構建鏈構建全部由 GitHub Actions 完成打開倉庫 Actions 頁可查每次發(fā)布的構建記錄Artifact Attestation來源證明每個發(fā)布包都帶證明表明它由本倉庫源碼編譯attestations 記錄可公開查看SBOM軟件物料清單軟件組件清單對整個倉庫生成配合證明與構建隔離達到 SLSA L3供應鏈安全標準等級VirusTotal每次發(fā)布或 PR 合并都會由 GitHub Action 自動上傳掃描掃描歷史可查零第三方依賴README 聲明不依賴任何第三方組件可翻閱源碼自行確認AppControl Manager 也被微軟官方文檔提及。適用邊界適合誰不做什么適合Windows 11 24H2 及以上系統(tǒng)另支持 Windows Server 2025想鎖住個人設備的用戶以及需要統(tǒng)一管理一批設備策略的企業(yè)。它不做的事不替代殺毒軟件WDAC 管文件能不能運行Defender 之類管文件是否惡意兩者是分層關系不是替換關系策略配錯會限制正常使用白名單過嚴時合法軟件也會打不開——所以第一步務必從 Audit 模式開始需要理解白名單邏輯證書簽名放行和哈希放行是兩種不同思路選模板前先想清楚不存在一鍵完美。先把 Audit 模式開起來用 AppControl Manager 建一份 Allow Microsoft 策略觀察日志一周確認系統(tǒng)無異常再切強制攔截?！久赓M下載鏈接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store?項目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 用 AppControl Manager 管好 Windows 應用控制：3 步開啟 WDAC 白名單
用 AppControl Manager 管好 Windows 應用控制3 步開啟 WDAC 白名單【免費下載鏈接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store?項目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-SecurityWindows 默認模式下雙擊安裝包就會運行同樣路徑下載的木馬也能運行。Windows 應用控制WDACWindows Defender Application Control反過來處理這個問題它是白名單機制只有名單上允許的文件才能運行其余一律攔截。AppControl Manager 把這項企業(yè)級能力變成圖形化操作省掉手改策略文件的步驟。原理速覽WDAC 白名單是怎么工作的WDAC 的邏輯不復雜先告訴系統(tǒng)哪些文件可以運行名單之外的文件在啟動前就被攔下改名、換位置都沒用。策略本質(zhì)上是一份信任條件清單比如只允許微軟證書簽名的文件或者只允許哈希匹配某值的文件文件哈希是內(nèi)容的唯一指紋改一個字節(jié)指紋就變。難的地方在于這份清單原本是一份復雜的 XML 策略文件。AppControl Manager 把它拆成了模板和勾選框選模板、勾選項、點生成策略文件就產(chǎn)出部署路徑也有引導。AppControl Manager 安裝教程兩條路徑跑起來Microsoft Store在 Store 搜索 AppControl Manager 直接安裝后續(xù)更新也由 Store 接管是最省事的路徑。GitHub Releases離線或隔離網(wǎng)絡環(huán)境可從 Harden-Windows-Security 倉庫的發(fā)布頁下載.msixbundle離線安裝包倉庫內(nèi)AppControl Manager/MSIXBundleDownloadURL.txt記錄了當前下載地址。想用命令行安裝的話一條 winget 命令即可走 Store 源winget install --id 9PNG1JDDTGP8 --exact --accept-package-agreements --accept-source-agreements --force --source msstore3 步創(chuàng)建第一個 Windows 應用控制策略進入 Create App Control Policy 頁面選Allow Microsoft模板——規(guī)則是只放行微軟證書簽名電子印章證明文件出處的文件保持開啟Audit模式審計模式下策略只記錄哪些文件會被攔不實際攔截先觀察幾天是否影響正常使用生成策略并部署到系統(tǒng)觀察無誤后再切換為強制攔截。 各模板默認 Windows、簽名且信譽良好、微軟推薦攔截規(guī)則等的說明見倉庫文檔Create AppControl Policy。按使用旅程拆解 Windows 應用控制能力個人設備日常加固與下載文件夾防護內(nèi)置的下載文件夾防護會生成一條策略攔截 Downloads 文件夾里任何可執(zhí)行文件的運行。對你的意義誤下載的病毒雙擊不會再啟動必須挪到別的目錄才可能運行。還可以為wscript.exe、mshta.exe、cscript.exe這類危險腳本宿主添加攔截規(guī)則——它們是腳本類攻擊的常見入口。策略調(diào)優(yōu)先模擬再補充最后驗證補充策略Supplemental Policy主策略上線后新裝軟件不必推翻重建主策略單獨加一份補充策略放行該應用即可白名單不被反復拆改模擬Simulation強制啟用前讓系統(tǒng)現(xiàn)有文件跑一遍策略預覽哪些會被攔、哪些能過避免先啟用再發(fā)現(xiàn)系統(tǒng)被鎖驗證Validate檢查策略文件本身的格式與規(guī)則沖突。流程細節(jié)見 Simulation。企業(yè)用 Intune 批量部署 WDAC 安全策略策略在一臺機器上配好后可通過 Intune微軟的企業(yè)設備云端管理服務批量推送到全部設備應用內(nèi)也有專門的 Intune 部署細節(jié)頁并支持合并、對比多份策略。對 IT 的意義一次配好模板統(tǒng)一分發(fā)不用逐臺手工操作。信任驗證你可以自己核驗什么不直接采信安全的說法以下各項都可以逐項核驗構建鏈構建全部由 GitHub Actions 完成打開倉庫 Actions 頁可查每次發(fā)布的構建記錄Artifact Attestation來源證明每個發(fā)布包都帶證明表明它由本倉庫源碼編譯attestations 記錄可公開查看SBOM軟件物料清單軟件組件清單對整個倉庫生成配合證明與構建隔離達到 SLSA L3供應鏈安全標準等級VirusTotal每次發(fā)布或 PR 合并都會由 GitHub Action 自動上傳掃描掃描歷史可查零第三方依賴README 聲明不依賴任何第三方組件可翻閱源碼自行確認AppControl Manager 也被微軟官方文檔提及。適用邊界適合誰不做什么適合Windows 11 24H2 及以上系統(tǒng)另支持 Windows Server 2025想鎖住個人設備的用戶以及需要統(tǒng)一管理一批設備策略的企業(yè)。它不做的事不替代殺毒軟件WDAC 管文件能不能運行Defender 之類管文件是否惡意兩者是分層關系不是替換關系策略配錯會限制正常使用白名單過嚴時合法軟件也會打不開——所以第一步務必從 Audit 模式開始需要理解白名單邏輯證書簽名放行和哈希放行是兩種不同思路選模板前先想清楚不存在一鍵完美。先把 Audit 模式開起來用 AppControl Manager 建一份 Allow Microsoft 策略觀察日志一周確認系統(tǒng)無異常再切強制攔截?！久赓M下載鏈接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store?項目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考