AppLocker不支持全局黑名单，必须采用“默认拒绝+白名单”分阶段实施：先确认系统版本与Application Identity服务，再通过审核模式采集日志生成发布者优先的精准规则。
applocker 本身不支持“全网软件禁运”这种绝对化管控——它没有全局黑名单开关，也不允许先禁止一切再逐个放行。实际策略必须基于“白名单思维”：默认拒绝所有，只显式允许受信程序运行。这需要系统性准备和分阶段实施，否则会导致系统瘫痪或业务中断。
确认环境与启用基础服务
AppLocker 仅在 Windows Server 2012 及以上（标准版/数据中心版）或 Windows 10/11 企业版、教育版中可用，家庭版和专业版不支持。
- 检查系统版本：按 Win+R 输入 winver，确认符合要求
- 确保 Application Identity 服务已设为“自动启动”并正在运行（通过 services.msc 配置）
- 若使用域环境，需通过组策略管理控制台（GPMC）编辑域策略；单机可使用本地组策略编辑器（gpedit.msc）
采用“默认拒绝 + 白名单”建模
AppLocker 没有“一键封禁全部”的选项。正确路径是：先关闭所有规则执行，创建最小可行白名单，再逐步扩展。
- 进入【计算机配置 → 策略 → Windows 设置 → 安全设置 → 应用程序控制策略 → AppLocker】
- 对“可执行规则”“脚本规则”“Windows 安装程序规则”分别右键 → “创建默认规则”——这些规则会放行系统目录（如 C:\Windows\、C:\Program Files\WindowsApps\）中经微软签名的文件，是系统运转底线
- 在各规则类型属性中，取消勾选“配置规则强制执行”，先保持策略处于未激活状态
分阶段部署：从审核模式起步
直接启用强制模式风险极高。必须先用“仅审核”模式采集真实运行行为，再生成精准白名单。
- 在 AppLocker 根节点右键 → “属性”，将各类规则（如可执行文件）设为“仅审核”
- 持续运行 3–7 天，让终端用户正常使用业务软件、办公工具、后台服务等
- 查看日志：应用程序和服务日志 → Microsoft → Windows → AppLocker → EXE 和 DLL，筛选“事件 ID 8003”（被阻止）和“8004”（被允许）
- 导出日志，用 PowerShell 分析高频被拦截的合法程序路径或发布者信息，作为白名单依据
构建可持续维护的白名单规则
避免使用易失效的哈希规则（每次更新即失效），优先采用发布者规则；无签名软件则用路径规则限定安装目录，并配合例外机制。
- 新建规则时，选择“发布者”条件：指向已签名的 .exe 文件，AppLocker 自动提取证书、产品名、版本号，支持后续同签名更新自动放行
- 对 Office、Adobe、Java 等常用商业软件，建议每类单独建规则，分配给对应安全组（如“Finance-Users”），实现差异化管控
- 为关键系统进程（如 svchost.exe、lsass.exe）保留默认规则，切勿手动删除或覆盖
- 所有规则启用前，务必导出 XML 备份；生产环境上线前，在测试机上完整验证登录、启动服务、打开文档等全流程
