企业官网建设流程全解析

AppControl Manager 实战指南：从零部署 Windows 应用控制策略

【免费下载链接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store✨项目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security

AppControl Manager 是 Harden-Windows-Security 仓库中的图形化管理工具，解决的核心问题只有一个：让非微软官方签名的程序跑不跑进你的系统。个人安全爱好者、IT 管理员、以及有内核级驱动管控需求的场景都能直接上手，全程只使用 Windows 系统自带、微软官方支持的能力。

一句话定位：白名单逻辑，不是查杀逻辑

AppControl Manager 基于微软官方的 Application Control for Business（WDAC）技术——Windows 内建的应用控制引擎，由 Code Integrity（代码完整性）组件在系统启动早期就开始强制执行策略。它与杀毒软件的思路正好相反：不是"发现坏的就拦"，而是"没被策略允许的一律不运行"。这意味着它对 0-day、新型勒索软件天然免疫，因为威胁根本不需要先被"发现"。

能力全景：从生成策略到企业分发

能配置什么

• 创建基础策略（Create AppControl Policy）：扫描已安装应用，按发布者证书、文件路径、哈希等规则自动生成 XML 策略文件
• 创建补充策略（Supplemental Policy）：在基础策略之外追加细粒度规则，不动主策略
• 内核模式严格策略（Strict Kernel-mode）：仅放行可信内核驱动，用于防御 BYOVD（自带漏洞驱动）攻击
• 从事件日志、MDE Advanced Hunting 查询结果反向生成策略，把排查过程直接变成规则

能验证什么

• 策略编辑器（Policy Editor）：可视化查看、修改已有策略的每条规则
• 策略对比与合并：两份策略差异一目了然，可合并后重新签名
• 策略验证（Validate Policies）+ 查看文件证书（View File Certificates）：确认签名链条与规则匹配

能部署到哪

• 本地/远程设备直接下发，策略签名后部署
• 上传至 Intune 对整台设备群批量分发，配合 Microsoft Store 自动更新保持工具本身最新

最短上手路径：三步开始

第一步，在 Microsoft Store 搜索安装 AppControl Manager（仓库文档同时提供winget install --id 9PNG1JDDTGP8一条命令完成安装）。第二步，读 Application Control WDAC 入门文档——约 10 分钟讲清楚"应用控制是什么、和杀毒的区别、Base Policy / Supplemental Policy 等核心概念"，这是仓库给出的官方起步阅读。第三步，跑通第一个场景：用创建策略页面扫描本机已装应用，在模拟（Simulation）模式下测试策略效果——模拟只演练不生效，确认无误后再部署，避免误锁自己的软件。


技术底牌：三件值得一提的事

• 界面用 WinUI 3 / XAML / C# 构建，遵循 Windows 11 Fluent 设计规范，支持 Mica 材质背景
• MSIX 格式打包，安装可逆、卸载无残留；同时构建 x64 与 ARM64 原生包
• 零第三方库、零遥测、零注册表写入——策略引擎本身只调用 Windows 官方接口

可验证的信任点

• MSIX 包由 GitHub Actions 公开构建，附带 Artifact Attestation（证明包确实出自仓库源码）和 SBOM（软件物料清单），仓库声明达到 SLSA L3 供应链安全级别
• 每次发版或合并 PR 都会自动提交 VirusTotal 扫描，扫描记录随仓库公开
• 所有发布包数字签名并上架 Microsoft Store；源码全部开放，可逐行审阅

谁适合用它，谁不必

适合：想动手做纵深防御的安全爱好者；需要用白名单策略锁死工作站的 IT 管理员；要防内核级驱动投毒（BYOVD）的高安全场景。不必选它：只想要"装个杀毒就完事"的普通用户——系统自带的 Smart App Control 已覆盖基础场景；非 Windows 平台用户；以及只需要批量打常规加固脚本、没有应用白名单诉求的团队。

AppControl Manager 是 Harden-Windows-Security 仓库中的图形化组件，源码位于 AppControl Manager 目录，配套教程在 Wiki posts/App Control for Business 与 Wiki posts/AppControl Manager 下，文档与代码同仓库维护，可直接对照源码验证每一项能力。

【免费下载链接】Harden-Windows-SecurityHarden Windows Safely, Securely using Official Supported Microsoft methods and proper explanation | Always up-to-date and works with the latest build of Windows | Provides tools and Guides for Personal, Enterprise, Government and Military security levels | SLSA Level 3 Compliant for Secure Development and Build Process | Apps Available on MS Store✨项目地址: https://gitcode.com/GitHub_Trending/ha/Harden-Windows-Security