利用 AppLocker 实施 Windows 可执行文件白名单管理-windows运维-PHP中文网

applocker实施白名单需满足系统版本要求并启用application identity服务，从默认发布者规则起步，优先用签名规则添加业务软件，通过审核模式收集日志分析后转为强制执行。

applocker 实施可执行文件白名单，核心是“默认拒绝、显式允许”，不是靠禁止列表，而是靠精准放行。它不支持一键封禁全部，必须从系统基线出发，逐步覆盖真实业务场景，否则极易导致系统无法登录、办公软件打不开、后台服务中断。

AppLocker 不是所有 Windows 都能用。必须满足以下条件：

操作系统为 Windows 10/11 企业版、教育版，或 Windows Server 2012 及以上标准版/数据中心版；家庭版和专业版不支持
按 Win+R 输入 winver 确认版本，再检查 Application Identity 服务：打开 services.msc，将其启动类型设为“自动”，并确保状态为“正在运行”
域环境中使用 GPMC（组策略管理控制台） 编辑域策略；单机可用 gpedit.msc，但仅限支持版本

不要从零手动写规则。先用系统内置的默认规则建立安全底线：

windows-shell-syntax

在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……

下载

进入【计算机配置 → 策略 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker → 可执行规则】
右键 → “创建默认规则”，自动生成三条发布者规则：分别放行 %WINDIR%\*、%PROGRAMFILES%\*、%PROGRAMFILES(X86)%\* 下由微软签名的程序
这些规则只是起点，不会自动启用——需手动进入各规则属性页，勾选“配置规则强制执行”，并单独启用该规则集
检查是否遗漏关键路径，例如内部系统装在 C:\ERP\Bin\ 或 D:\Tools\，需额外补充对应发布者或路径规则

对业务常用软件（如微信、Chrome、财务系统客户端），推荐按签名而非路径放行：

右键“可执行规则”→“创建新规则”→选择“允许”→下一步→选“发布者”→点击“浏览”，指向已安装的主程序（如 C:\Program Files\WeChat\WeChat.exe）
AppLocker 自动提取证书发行者、产品名、版本号等信息，后续同签名更新自动生效，避免每次升级就拦截
对无签名的内部工具（如 Python 打包的 EXE、PowerShell 脚本封装器），改用哈希规则：向导中选“文件哈希”，再“浏览”选中文件，系统生成唯一 SHA256 值锁定版本
路径规则仅作补充，如 C:\MyApp\*.exe，但避免通配符泛用（如 C:\*\*.exe），防止被恶意文件利用

跳过审核直接启用强制模式，风险极高。必须走“审核→分析→调整→强制”闭环：

在 AppLocker 根节点右键 → “属性”，将“可执行规则”设为“仅审核”模式，保持策略不实际拦截，只记录行为
让终端用户正常使用 3–5 个工作日，覆盖开机、登录、OA、打印、远程桌面、杀毒更新等典型场景
查看日志：事件查看器 → 应用程序和服务日志 → Microsoft → Windows → AppLocker → EXE and DLL，筛选 ID 8003（被阻止） 和 8004（被允许）
导出日志后，用 PowerShell 分析高频被拦路径或发布者，补全白名单；确认无关键误拦后再切换为“强制执行”