注意
适用于企业的应用控制的某些功能仅在特定的 Windows 版本上可用。 详细了解 应用控制功能可用性。
组织的数据是其最宝贵的资产之一...威胁行为者想要它。 无论对数据应用何种安全控制措施，都没有任何控制措施可以完全保护最易受攻击的目标：坐在键盘前的受信任用户。 当用户运行进程时，该进程与用户共享对数据的相同访问权限。 因此，当用户有意或无意运行恶意软件时，敏感信息很容易传输、修改、删除或加密。 由于每天都会创建成千上万个新的恶意文件，仅依靠防病毒 (AV) 解决方案等传统方法无法抵御新的攻击。
应用程序控制将 Windows 从所有代码都运行的位置（除非 AV 解决方案自信地预测它不好）更改为仅在策略指示时代码运行的位置。 您面临的网络威胁瞬息万变，您的防御也需要改变。 政府和安全组织（如澳大利亚信号局）经常将应用程序控制视为应对基于可执行文件的恶意软件 (.exe、.dll 等威胁的最有效方法之一 ) 。 它与 AV 解决方案配合使用，通过限制用户可以运行的应用，甚至限制在 System Core (内核) 中运行的代码来帮助缓解安全威胁。
重要提示
虽然应用程序控制可以显著增强计算机以抵御恶意代码，但它不能替代防病毒软件。 为了获得全面的企业安全组合，应继续维护活动的防病毒解决方案和应用控制。
虽然我们称之为应用程序控制，但在系统上运行的代码并不总是应用。 应用程序控制不仅限于应用，还包括脚本和Microsoft安装程序 (MSI) 、命令行批处理文件，甚至在受约束语言模式下运行的 Windows PowerShell 交互式会话。
Windows 包含两种应用程序控制技术，你可以根据组织的特定方案和要求使用：
- 适用于企业的应用控制 (应用控制) ;以及
- AppLocker
应用控制和智能应用控制
从 Windows 11 版本 22H2 开始，智能应用控制为消费者和一些具有更简单应用组合的小型企业提供强大的应用程序控制。 智能应用控制确保仅运行签名代码或由我们的智能云驱动安全服务预测为安全的代码。 如果代码未签名，并且服务无法确信地预测它可以安全运行，那么我们就会阻止它。 随着时间的推移，随着服务处理它收到的新信号，代码的信誉可能会发生变化。 同时，始终阻止确定为不安全的代码。
虽然智能应用控制是为使用者设计的，但我们认为它是大多数组织的理想起点。 由于我们完全基于适用于企业的应用控制构建了它，因此你可以创建一个与智能应用控制具有相同安全性和兼容性的策略，该策略也信任组织所需的业务线 (LOB) 应用。 智能应用控制用于预测安全运行的代码的服务也适用于企业的应用控制中，称为智能安全图 (ISG) 。
智能应用控制在评估模式下启动，并在 48 小时内关闭企业托管设备，除非用户先将其打开。 如果要跨组织的终结点主动关闭智能应用控制，请设置 VerifiedAndReputablePolicyState (DWORD) 注册表值 HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy ，如下表所示。 更改注册表值后，必须运行 CiTool.exe -r 才能使更改生效。
| 值 | 描述 |
|---|---|
| 0 | 关闭 |
| 1 | 强制 |
| 2 | 评估 |
用于智能应用控制的应用控制策略与应用控制向导策略创作工具捆绑在一起，也可在 %windir%/schemas/CodeIntegrity/ExamplePolicies/SmartAppControl.xml中找到作为示例策略。 若要将此示例策略用作自己策略的起点，请参阅 使用智能应用控制策略构建自己的基本策略。 将智能应用控制示例策略用作自己的自定义策略的基础时，必须删除选项 “已启用：条件 Windows 锁定策略 ”，以便它可以用作适用于企业的应用控制策略。
Microsoft Defender 防病毒和应用控制
当打开智能应用控制或使用 ISG 启用应用控制时，Microsoft Defender 防病毒将在使用非 Microsoft 防病毒解决方案进行实时保护的系统上设置为被动或混合模式。 此状态是预期行为，而不是 bug 或配置错误的迹象。 在此状态下，Defender AV 会处理应用控制或智能应用控制的信誉检查，但会为所选的防病毒解决方案留下实时保护。 若要确认状态并了解何时需要调查，请参阅 调试和排查应用控制问题。
Windows 版本和许可要求
下表列出了支持适用于企业的应用控制的 Windows 版本：
| Windows 专业版 | Windows 企业版 | Windows 专业教育版/SE | Windows 教育版 |
|---|---|---|---|
| 是 | 是 | 是 | 是 |
应用控制许可证权利由以下许可证授予：
| Windows 专业版/专业教育版/SE | Windows 企业版 E3 | Windows 企业版 E5 | Windows 教育版 A3 | Windows 教育版 A5 |
|---|---|---|---|---|
| 是 | 是 | 是 | 是 | 是 |
有关 Windows 许可的详细信息，请参阅 Windows 许可概述。
接下来应阅读的内容
若要了解有关 Windows 中可用的两种应用程序控制技术的详细信息，请阅读 适用于企业的应用控制 和 AppLocker 概述。
若要直接开始创建策略，请重新访问智能应用控制，并 使用智能应用控制策略构建自己的入门策略。