系统全局环境变量白名单的核心是“控源、限域、可验”，聚焦PATH等关键变量，通过可信路径声明、注册表固化、禁用嵌套引用、阻断用户级叠加及监控告警实现参数污染防御。
配置系统全局环境变量审计白名单，核心不是“加白”，而是“控源、限域、可验”——重点防的是通过PATH劫持、变量覆盖、动态路径注入等手段实施的参数污染类入侵（如命令劫持、提权执行、隐蔽持久化）。白名单在此场景中，本质是可信路径与可信变量的显式声明清单，而非简单放行规则。
明确白名单管控对象：只管PATH和关键启动变量
全局环境变量中真正影响命令解析与进程启动安全的，主要是PATH，其次为JAVA_HOME、NODE_ENV（若被服务级脚本直接引用）、PYTHONPATH等少数几个。其他如USER、HOSTNAME、PWD等属只读系统变量，无需也不应纳入白名单管理。
白名单需聚焦以下两类实体：
- 绝对可信的二进制路径：如C:\Windows\System32、C:\Windows\SysWOW64、C:\Program Files\Git\cmd（需确认签名与权限）
- 受控且静态的关键变量值：如JAVA_HOME=C:\Program Files\Java\jdk-17.0.1（禁止含%USERPROFILE%或环境变量嵌套）
构建PATH白名单的实操四步法
不依赖图形界面“添加”，而用可审计、可回滚的方式落地：
-
导出当前有效PATH：管理员 PowerShell 中运行
$env:Path -split ';' | ForEach-Object { if (Test-Path $_ -PathType Container) { $_ } else { "⚠️ 无效: $_" } } > C:\audit\path_baseline.txt -
人工逐项核验三要素：是否存在、是否只读（
icacls "$_"查 Users 组无写权限）、是否由可信软件安装（查官网/安装包哈希） - 生成最小化白名单列表：保留系统路径 + 确认合规的第三方路径（如C:\Program Files\Docker\Docker\resources\bin），剔除所有用户目录、Temp、Downloads、含空格/中文路径
-
用注册表键值固化白名单：新建注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment\SafePath（字符串值），填入审核后的路径，用分号连接；后续审计脚本可比对Path与SafePath是否一致
阻断参数污染的关键加固动作
白名单本身不自动拦截，必须配合策略生效：
- 禁用变量嵌套引用：PATH中不得出现%JAVA_HOME%\bin，必须展开为完整绝对路径；否则JAVA_HOME被篡改即导致PATH污染
- 关闭用户级PATH自动叠加：组策略中启用“阻止用户环境变量继承系统PATH”（路径：计算机配置 → 管理模板 → 系统 → 用户配置文件）
- 监控非白名单路径加载行为：用Sysmon事件ID 3（网络连接）+ ID 1（进程创建）关联分析，当新进程从非白名单路径启动时触发告警
-
定期快照比对：每日任务调用
reg export "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Environment" C:\audit\env_snapshot.reg，与基线diff
验证是否真生效：三个必检信号
配置后不能只看“能运行命令”，要看防御逻辑是否闭环：
- 在非白名单路径下放一个calc.exe，重命名成ipconfig.exe，打开新CMD——应调用系统原生ipconfig，而非该伪造文件
- 尝试在PowerShell中执行
$env:Path = "C:\bad\path;" + $env:Path，再运行whoami——应成功；但随后启动的服务（如Windows Update）仍使用原始系统PATH，不受会话级污染影响 - 用Process Explorer查看任意系统进程（如svchost.exe）的环境块，其PATH值应与注册表
Environment\Path完全一致，不含用户临时拼接内容
