常见问题（FAQ）

ManageEngine Endpoint Central 的应用程序控制通过管控哪些应用程序可以运行及其权限来保护终端。它首先使用基于代理的扫描来发现并分类所有已安装的应用程序。随后，管理员会根据已定义的条件（如供应商或文件哈希）创建允许列表或阻止列表，并将其以“审计模式”或“严格模式”部署到特定用户组或设备组。策略由内核模式驱动程序执行，该驱动程序会筛选新创建的进程，仅允许已授权的应用程序运行，并阻止其他应用程序。

为有效实施应用程序控制，建议根据企业的具体需求创建计算机组，并按部门或功能对应用程序进行分组以简化管理。通过在审计模式下审核应用程序来获得细粒度可见性，有助于对访问控制做出明智决策。一旦定义了允许列表，实施严格模式的零信任模型可通过仅允许预先批准的应用程序来最大限度地减少攻击面。此外，允许用户请求访问未受管但对业务至关重要的应用程序，可在维护安全性的同时保持工作效率。

要阻止某个应用程序，管理员可通过导航至“Application Control -> Application Groups”并选择“Create Blocklist”来开始创建应用程序阻止列表。进入该模块后，可通过应用基于供应商、产品名称、文件哈希或文件夹路径等条件的筛选器将应用程序添加到阻止列表中。部署完成后，位于该阻止列表中的任何应用程序都将被限制在目标计算机上执行。

应用程序控制模块包含在 Security Edition 中，购买安全许可证后即可访问。若需试用版应用程序控制，请联系支持。它也可作为附加组件用于 Professional、UEM 和 Enterprise 版本。

创建一个应用程序列表并仅允许其中的应用程序运行的过程称为应用程序允许列表。应用程序控制支持基于供应商、产品名称、文件哈希以及具有有效数字签名的可执行文件等策略来创建允许列表。IT 管理员可以轻松管理已创建的列表，因为一旦新发现的应用程序符合所设置的策略，它们就会自动添加到相应列表中。

创建一个应用程序列表并仅禁止其中的应用程序运行的过程称为应用程序阻止列表。应用程序控制支持基于供应商、产品名称、文件哈希以及具有有效数字签名的可执行文件等策略来创建阻止列表。IT 管理员可以轻松管理已创建的列表，因为一旦新发现的应用程序符合所设置的策略，它们就会自动添加到相应列表中。

所有聚合在一起用于构建允许列表或阻止列表的应用程序都将被视为一个应用程序组。这些组将根据你为每个组设置的规则自动构建。

在应用程序控制要求不太严格的情况下，来自特定供应商的已认证和未认证应用程序都会显示出来。管理员可以有选择地将所选供应商的应用程序添加到允许列表/阻止列表中，从而减少访问问题并简化管理。此功能支持基于广泛参数创建列表，增强管理控制能力。

如果你只想将同一供应商的某些产品加入允许列表/阻止列表，则可以选择此类策略，而不是供应商规则。

应用程序由多个可执行文件组成，供应商会为每个可执行文件分配数字证书以证明其真实性。Application Control Plus 会向你显示这些已验证的可执行文件，你可以从中选择要加入允许列表/阻止列表的 EXE 文件。此策略对于维护安全网络至关重要，因为如果文件的数字证书被篡改，该文件将不被允许执行。即使是以更新形式添加到应用程序中的 EXE，如果未加入允许列表，也将不被允许运行。

这是最安全的策略，因为它基于可执行文件的哈希值。所有正在运行进程的 EXE 文件都会显示出来，包括那些没有有效数字证书的文件。你可以选择所有希望加入允许列表/阻止列表的文件；之后，哪怕是文件的最细微更改，例如文件版本的修订，也会改变其哈希值，这意味着该文件将从列表中移除。如果你只希望运行极其特定的可执行文件，此策略非常适合。

如果你想将尚未运行过的应用程序添加到允许列表/阻止列表中，可以选择手动添加文件。

在应用程序允许列表和阻止列表方面，Application Control 提供了全面的功能。它内置领先的终端权限管理能力，可帮助组织防御大多数与应用程序相关的威胁。相比之下，Endpoint Central 的“阻止可执行文件”功能较为基础，主要旨在帮助组织维持生产力水平。
Application Control 可立即发现并显示所有正在运行的应用程序，并根据其供应商、产品名称、文件夹路径和数字证书进行分类。还可筛选并查看特定用户组中运行的应用程序。所需应用程序可以直接从显示的列表中选择并添加到允许列表/阻止列表中。相比之下，Endpoint Central 的“阻止可执行文件”功能没有筛选和分类应用程序的选项，IT 管理员必须手动输入其希望阻止的应用程序名称和可执行文件名称。
利用 Application Control 提供的预定义规则集，可以在广泛和细粒度两个层面创建允许列表和阻止列表。当组织刚开始实施控制流程时，可选择基于供应商、产品名称和文件夹路径的规则，因为它们能够灵活应对补丁过程中的变化。对于偏好完全安全性的成熟网络环境，则可选择“已验证可执行文件”和“文件哈希”规则。然而，Endpoint Central 的“阻止可执行文件”功能仅支持基于两种规则进行阻止列表配置：路径和哈希。由于没有用于管理补丁变更的附加能力，IT 管理员必须在每个补丁周期后手动更新这些列表。

选择所需规则后，导航到右侧的“Filters”选项卡。你可以使用“Publisher Credibility”筛选器检查供应商/产品/EXE 是否已验证。

基于产品规则的允许列表将优先于阻止列表。关于应用程序冲突优先级顺序，请参阅此处。在这种情况下，该特定产品将被加入允许列表，而该被阻止供应商的其他产品将被阻止。

只需添加一个能被该应用程序满足的规则即可。

是的，将某个供应商加入允许列表后，其所有产品也都会被加入允许列表。

此规则可用于将某个特定文件夹或文件夹路径中的所有文件加入允许列表/阻止列表。

要限制 PowerShell 或命令提示符等 Windows 组件，你可以使用“文件夹路径”规则或“文件哈希”规则创建阻止列表。这样你就可以通过指定应用程序的安装路径或其文件哈希来阻止执行。
注意：由于应用程序控制不会原生识别 PowerShell 和命令提示符等 Windows 组件，因此这些应用程序不会显示在控制台中。

不兼容。为 macOS 平台创建的应用程序组仅适用于 macOS 终端。只有这些应用程序组会部署到 macOS 终端上。

需要类似应用程序集的用户可以聚合在一起形成自定义组。此分组过程可以基于角色、部门或你偏好的任何其他标准。

提供的两种灵活模式是审计模式和严格模式。建议最初以审计模式部署策略，在该模式下，未受管应用程序可与允许列表中的应用程序一起运行。一旦管理员清楚了解用户实际需要哪些应用程序，就可以将它们全部移入允许列表，并切换到严格模式。在严格模式下，任何未受管应用程序都不允许运行。
注意：默认情况下，被阻止列表中的应用程序在任何模式下都无法运行。

要部署应用程序控制策略，管理员首先需在Application Groups部分中创建Allowlist或Blocklist。然后导航至Deploy Policy，在此可将准备好的应用程序组关联并部署到目标计算机。在此过程中，管理员可选择以Audit Mode或Strict Mode进行强制执行，可以启用用户对未受管应用程序的请求，并选择立即部署或安排在将来的刷新周期中部署。

如果同一应用程序同时存在于部署到同一目标组的不同允许列表和阻止列表策略中，将遵循以下优先级顺序：
 
基于文件哈希规则的阻止 > 基于文件哈希规则的允许 > 基于已验证 EXE 规则的阻止 > 基于已验证 EXE 规则的允许 > 基于产品名称规则的阻止 > 基于产品名称规则的允许 > 基于供应商规则的阻止 > 基于供应商规则的允许 > 基于文件夹路径规则的阻止 > 基于文件夹路径规则的允许。

Windows 操作系统内置的所有功能都会被自动加入允许列表。未来，应用程序控制将增强为支持阻止这些应用程序的选项。

如果某个终端属于多个具有不同策略的自定义组，这些策略将合并为一个统一策略。如发生冲突，阻止列表中的应用程序优先于允许列表中的应用程序。优先级顺序如下：
基于文件哈希规则的阻止 > 基于文件哈希规则的允许 > 基于已验证 EXE 规则的阻止 > 基于已验证 EXE 规则的允许 > 基于产品名称规则的阻止 > 基于产品名称规则的允许 > 基于供应商规则的阻止 > 基于供应商规则的允许 > 基于文件夹路径规则的阻止 > 基于文件夹路径规则的允许。
 
此外，如果一个策略以审计模式部署，而另一个策略以严格模式部署，则该计算机会以严格模式进行部署。

一次只会应用一个自定义通知。最近部署的策略中的通知消息会覆盖之前已部署策略中配置的自定义通知，因此所有被阻止的应用程序都会显示同一条通知。
注意：如果多个策略部署到同一台计算机上，它们将被合并为一个策略。

未受管应用程序是指网络中存在但不属于任何已创建允许列表或阻止列表的应用程序。这本质上意味着这些应用程序未被监控，因为没有与其关联的策略。它们是否运行取决于所选的灵活模式，即在审计模式下可运行，在严格模式下则会被禁止。请注意，为确保最高安全性，理想情况下应尽量减少未受管应用程序的数量。了解更多。