前言
在终端安全场景下，很多工程师会遇到这样的问题：边界防火墙、EDR 都部署了，内网还是被渗透。溯源后发现，攻击入口往往是员工私自安装、长期未更新的"影子软件"，配合过度的本地管理员权限完成横向移动。本文梳理应用控制（Application Control）与权限管理（Privilege Management）在零信任框架下的落地方法，适合负责终端安全、EDR 策略或合规审计的工程师阅读。
一、问题分析：三类典型隐患
1. 软件资产失控
员工可任意安装软件，IT 不清楚每台终端上运行着什么。影子应用既占用资源、消耗许可证，更是漏洞藏身之处。
2. 本地管理员权限泛滥
为图省事将员工设为本地管理员，一旦凭据被窃，攻击者即可静默安装驱动、关闭安全组件，等于交出终端"钥匙"。
3. 行为无法追溯
缺少运行时记录，出了事说不清"哪台设备、何时、运行了什么"，审计时拿不出证据。
三类问题共同指向：终端缺少"谁能运行什么、以什么权限运行"的统一规则。
二、核心思路：从"默认允许"到"默认拒绝"
传统方案是被动防御：默认放行，发现恶意再拦截。零信任方案反其道而行------默认拒绝，仅明确授权的应用可运行。
两种策略模式：
- 允许列表：仅放行清单内应用，适用于环境固定的部门（财务、研发）；
- 阻止列表：仅拦截明确禁止的应用，适用于需求多变的岗位。
两种模式可按部门混合部署，实现分级管控。
三、五层能力实现
1. 精细化应用识别
基于多维条件构建应用组，避免单维度匹配的误判：
1. 精细化应用识别
基于多维条件构建应用组，避免单维度匹配的误判。识别条件可任意组合，包括软件供应商或签名者（Publisher）、产品名称（ProductName）、文件哈希（FileHash，推荐 SHA256）、文件夹路径（Path）以及 Store 应用包名（PackageName）。实际使用中建议将签名与哈希条件组合，避免"同名软件"或路径变更造成的误判。
2. 双模式策略部署
工程实施要点：审计模式 → 强制模式的灰度切换。
审计模式只记录本应被阻断的应用与波及范围，采集运行基线；确认影响面后切换到强制模式，无需重写策略，避免业务中断。
3. 子进程管控
覆盖可信主程序拉起的子进程，防止攻击者通过进程注入、DLL 劫持等手法绕过父进程白名单。
4. 最小权限与即时提权
批量清理不必要的本地管理员账户，压缩攻击面。临时权限走审批流：申请人提交、审批人授权、限时生效、到期自动回收，全链路留痕。同时可通过特权应用列表，让标准用户运行指定的管理类工具，兼顾权限与效率。
5. 条件访问
仅允许受信任设备（合规状态校验通过）访问 Exchange、Office 365 等核心系统；对业务应用启用按应用 VPN，加密数据传输。
四、统一控制台的工程价值
单点管控工具的痛点在于策略分散、规则冲突、审计断裂。实践上，应用控制应与补丁管理、资产清点、移动设备管理集成于同一平台：一个界面完成策略定义、目标圈定与生效范围管理；审计模式的记录可直接查询"本应阻断的应用清单"，一键切换严格模式；内置被阻止应用程序报告，记录访问尝试与处置措施，可直接支撑等保 2.0、密评等合规审计取证。
从策略定义、试运行、强制执行到审计追溯，整个生命周期在同一平台内闭环。
五、踩坑总结
不要一上来就强制模式。先用审计模式跑 2~4 周，摸清运行基线再切换，能大幅减少业务投诉。
哈希匹配注意版本更新。应用升级后哈希变化会导致误阻断，建议结合签名与供应商条件组合使用。
移除管理员权限前先做提权需求调研，否则会陷入"业务天天申请权限"的漩涡。
子进程管控必须开启。只控父进程等于给攻击者留了后门。
总结
终端安全的短板不在边界防火墙，而在每个可执行文件是否"来路清白、权限最小、行为可控"。应用控制与权限管理把零信任落到可执行、可审计、可回溯的策略层面，是软件无序增长与合规压力下的务实解法。