用 AppControl Manager 管好 Windows 应用控制：3 步开启 WDAC 白名单
【免费下载链接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store✨项目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security
Windows 默认模式下，双击安装包就会运行，同样路径下载的木马也能运行。Windows 应用控制（WDAC，Windows Defender Application Control）反过来处理这个问题：它是白名单机制，只有名单上允许的文件才能运行，其余一律拦截。AppControl Manager 把这项企业级能力变成图形化操作，省掉手改策略文件的步骤。
原理速览：WDAC 白名单是怎么工作的
WDAC 的逻辑不复杂：先告诉系统"哪些文件可以运行"，名单之外的文件在启动前就被拦下，改名、换位置都没用。策略本质上是一份信任条件清单，比如"只允许微软证书签名的文件"，或者"只允许哈希匹配某值的文件"（文件哈希是内容的唯一指纹，改一个字节指纹就变）。
难的地方在于，这份清单原本是一份复杂的 XML 策略文件。AppControl Manager 把它拆成了模板和勾选框：选模板、勾选项、点生成，策略文件就产出，部署路径也有引导。
AppControl Manager 安装教程：两条路径跑起来
- Microsoft Store：在 Store 搜索 "AppControl Manager" 直接安装，后续更新也由 Store 接管，是最省事的路径。
- GitHub Releases：离线或隔离网络环境，可从 Harden-Windows-Security 仓库的发布页下载
.msixbundle离线安装包；仓库内AppControl Manager/MSIXBundleDownloadURL.txt记录了当前下载地址。 - 想用命令行安装的话，一条 winget 命令即可（走 Store 源）：
winget install --id 9PNG1JDDTGP8 --exact --accept-package-agreements --accept-source-agreements --force --source msstore3 步创建第一个 Windows 应用控制策略
- 进入 Create App Control Policy 页面，选Allow Microsoft模板——规则是只放行微软证书签名（电子印章，证明文件出处）的文件；
- 保持开启Audit模式：审计模式下策略只记录"哪些文件会被拦"，不实际拦截，先观察几天是否影响正常使用；
- 生成策略并部署到系统，观察无误后再切换为强制拦截。
💡 各模板（默认 Windows、签名且信誉良好、微软推荐拦截规则等）的说明，见仓库文档：Create AppControl Policy。
按使用旅程拆解 Windows 应用控制能力
个人设备：日常加固与下载文件夹防护
内置的"下载文件夹防护"会生成一条策略，拦截 Downloads 文件夹里任何可执行文件的运行。对你的意义：误下载的病毒，双击不会再启动，必须挪到别的目录才可能运行。还可以为wscript.exe、mshta.exe、cscript.exe这类危险脚本宿主添加拦截规则——它们是脚本类攻击的常见入口。
策略调优：先模拟，再补充，最后验证
- 补充策略（Supplemental Policy）：主策略上线后，新装软件不必推翻重建主策略，单独加一份补充策略放行该应用即可，白名单不被反复拆改；
- 模拟（Simulation）：强制启用前，让系统现有文件跑一遍策略，预览"哪些会被拦、哪些能过"，避免先启用再发现系统被锁；
- 验证（Validate）：检查策略文件本身的格式与规则冲突。流程细节见 Simulation。
企业：用 Intune 批量部署 WDAC 安全策略
策略在一台机器上配好后，可通过 Intune（微软的企业设备云端管理服务）批量推送到全部设备，应用内也有专门的 Intune 部署细节页，并支持合并、对比多份策略。对 IT 的意义：一次配好模板，统一分发，不用逐台手工操作。
信任验证：你可以自己核验什么
不直接采信"安全"的说法，以下各项都可以逐项核验：
- 构建链：构建全部由 GitHub Actions 完成，打开仓库 Actions 页可查每次发布的构建记录；
- Artifact Attestation（来源证明）：每个发布包都带证明，表明它由本仓库源码编译，attestations 记录可公开查看；
- SBOM：软件物料清单（软件组件清单）对整个仓库生成，配合证明与构建隔离达到 SLSA L3（供应链安全标准等级）；
- VirusTotal：每次发布或 PR 合并都会由 GitHub Action 自动上传扫描，扫描历史可查；
- 零第三方依赖：README 声明不依赖任何第三方组件，可翻阅源码自行确认；AppControl Manager 也被微软官方文档提及。
适用边界：适合谁，不做什么
适合：Windows 11 24H2 及以上系统（另支持 Windows Server 2025），想"锁住"个人设备的用户，以及需要统一管理一批设备策略的企业。
它不做的事：
- 不替代杀毒软件：WDAC 管"文件能不能运行"，Defender 之类管"文件是否恶意"，两者是分层关系，不是替换关系；
- 策略配错会限制正常使用：白名单过严时，合法软件也会打不开——所以第一步务必从 Audit 模式开始；
- 需要理解白名单逻辑："证书签名放行"和"哈希放行"是两种不同思路，选模板前先想清楚，不存在一键完美。
先把 Audit 模式开起来：用 AppControl Manager 建一份 Allow Microsoft 策略，观察日志一周，确认系统无异常再切强制拦截。
【免费下载链接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store✨项目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
