组策略终端应用管控核心是applocker（域环境）或软件限制策略（非域/旧系统），需建白名单/黑名单体系，配合命令行禁用、powershell策略等增强控制，并通过审核模式验证后强制执行。
通过组策略管理终端应用运行策略，核心是利用“软件限制策略”或“applocker”这两类内置机制，结合计算机配置或用户配置路径，实现对程序启动、安装、执行的集中管控。关键不在于简单禁止某个exe，而在于建立可维护、可审计、符合业务逻辑的执行白名单或黑名单体系。
明确适用工具与系统版本
Windows专业版/企业版/教育版支持完整功能；家庭版仅支持部分本地策略（如通过gpedit.msc禁用特定功能），但不支持AppLocker和软件限制策略的高级规则。域环境中优先使用AppLocker，因其支持哈希、发布者、路径、网络区域等多维规则，且日志更详细；非域环境或老旧系统（如Win7/Server 2008 R2）可退选“软件限制策略”，但功能较弱、易被绕过。
配置AppLocker应用控制策略
在域控制器上通过GPMC编辑目标OU关联的GPO：
- 进入计算机配置 → 策略 → Windows设置 → 安全设置 → 应用程序控制策略 → AppLocker
- 右键启用“可执行规则”“脚本规则”“安装程序规则”等——建议先启用“可执行规则”，其他按需开启
- 默认规则中勾选“创建默认规则”，它会自动放行系统目录（如C:Windows、C:Program Files）下的签名程序，避免锁死系统
- 手动添加自定义规则：例如，阻止所有用户运行U盘根目录下的程序，可新建路径规则\?RemovableVolume*.exe并设为“拒绝”；又如，仅允许IT部门发布的内部工具运行，可用发布者规则匹配其数字签名
- 首次部署建议先设为“仅审核模式”，观察事件查看器→应用程序和服务日志→Microsoft→Windows→AppLocker下的日志，确认拦截是否合理，再切换为“强制执行”
补充控制手段与注意事项
单一AppLocker不能覆盖全部场景，需配合其他策略增强实效性：
- 禁用命令行工具：通过用户配置 → 管理模板 → 系统 → 阻止访问命令提示符，防止绕过图形界面执行脚本
- 限制PowerShell执行策略：在计算机配置 → 策略 → 管理模板 → Windows组件 → PowerShell中设为“受限语言模式”或“全部签名”
- 关闭不受信下载源：在用户配置 → 管理模板 → Windows组件 → Internet Explorer → Internet控制面板 → 安全页中，将“Internet区域”安全级别调高，或直接禁用ActiveX控件
- 对已部署的旧应用，若无法签名或路径不固定，可将其打包为MSI并配合组策略“软件安装”策略分发+分配，实现统一部署与卸载控制
验证与日常运维要点
策略生效后必须验证真实效果，而非仅看GPO链接状态：
- 在终端执行gpupdate /force，重启或重新登录后测试典型应用行为
- 检查事件查看器中AppLocker日志（ID 800x系列），确认拦截动作是否记录完整，尤其关注“已允许”与“已被阻止”的数量对比
- 定期导出AppLocker规则集（右键AppLocker节点→“所有任务”→“导出策略”），作为基线备份；更新规则前先导入旧版做差异比对
- 避免在GPO中混用AppLocker与软件限制策略——两者冲突时以AppLocker为准，但共存会增加排错复杂度
