用途：加固 Windows 终端，抵御缓冲区溢出、ROP 链等基于内存的攻击，通过系统级与按应用两个层面配置漏洞缓解机制。
主要能力：DEP 将内存页标记为不可执行以阻止 shellcode 执行；ASLR 随机化模块加载地址，包括 MandatoryASLR、BottomUpASLR、HighEntropyASLR；CFG 在运行时校验间接调用目标；SEHOP 校验 SEH 链完整性。可通过 PowerShell 的 Get/Set-ProcessMitigation 管理，并导出 XML 经 Intune 或 GPO 批量部署。
必要用法：启用系统级 DEP 使用 bcdedit /set nx AlwaysOn；查看系统缓解状态使用 Get-ProcessMitigation -System；启用全部系统缓解使用 Set-ProcessMitigation -System -Enable DEP,SEHOP,ForceRelocateImages,BottomUp,HighEntropy；按应用加固示例如 Set-ProcessMitigation -Name "WINWORD.EXE" -Enable DEP,SEHOP,ForceRelocateImages,CFG,StrictHandle；导出配置使用 Get-ProcessMitigation -RegistryConfigFilePath "C:\exploit_protection.xml"，再经 Intune 的 Endpoint Security → Attack Surface Reduction → Exploit Protection 导入，或经 GPO 的 Windows Defender Exploit Guard → Exploit Protection 指向共享 XML。
适用场景：Windows 10/11 或 Windows Server 2016+ 的端点加固，针对浏览器、Office、PDF 阅读器等高风险应用。
限制：需要管理员权限、组策略管理访问权限及应用程序兼容性测试环境；DEP AlwaysOn 可能导致旧版 32 位应用崩溃，可改用 OptOut 加例外；强制 ASLR 可能破坏不兼容 ASLR 的应用；CFG 仅对以 /guard:cf 编译的应用有效，无法追溯应用；EMET 为旧工具，现已弃用。