用途：在 Windows 端点上实施应用程序控制，只允许预批准的软件运行，阻止未授权软件、LOLBins、脚本类攻击和未经批准的安装，可用于满足 PCI DSS 6.4.3、NIST 800-53 CM-7、ACSC Essential Eight 等合规要求，也适用于 kiosk、POS 或高安全环境。
主要能力与规则类型：支持可执行文件、Windows Installer、脚本和打包应用规则集合，可用发布者规则（基于数字签名，最易维护）、路径规则（基于文件系统路径，安全性较低）和哈希规则（最严格但每次更新即失效）。可创建拒绝规则阻止 mshta.exe、wscript.exe、cscript.exe、regsvr32.exe、certutil.exe、msbuild.exe、installutil.exe 等常被滥用的 LOLBin，拒绝规则优先于允许规则。
使用方式：先用 Get-AppLockerFileInformation 盘点已批准应用，再配置默认规则，启用 Application Identity（AppIDSvc）服务，通过 GPO 或 Set-AppLockerPolicy 部署，先以 Audit 模式运行 2-4 周，根据事件 ID 8003/8006/8023 审查日志并细化规则，最后分阶段切换到 Enforce 模式。
限制与注意：仅限 Windows 10/11 企业版或教育版及 Windows Server 2016+，需要 AppIDSvc 服务持续运行；本地管理员默认可绕过，需结合 WDAC 等；仅用路径规则易被写入允许目录绕过；启用 DLL 规则会增加约 5-10% 的 CPU 开销，仅高安全环境启用。禁止跳过 Audit 模式直接强制，否则可能阻断关键应用造成中断。macOS/Linux 应用控制或企业级 WDAC 部署不适用本技能。