应用程序和驱动程序控制
智能应用控件
智能应用控制通过阻止不受信任或未签名的应用程序来阻止用户运行恶意应用程序。 智能应用控制超越了以前的内置浏览器保护，添加了另一层安全性，该层直接在进程级别融入操作系统的核心。 使用 AI，智能应用控制仅允许进程在根据每天更新的现有和新智能预测为安全时运行。
智能应用控制基于 适用于企业的 App Control 中使用的同一基于云的 AI 来预测应用程序的安全性，以便用户可以确信其应用程序安全可靠。 此外，智能应用控制会阻止来自 Web 的未知脚本文件和宏，大大提高了日常用户的安全性。
我们一直在对智能应用控制进行重大改进，以提高 Windows 生态系统中应用的安全性、可用性和云智能响应。 用户可以通过每月Windows 更新使设备保持最新状态，从而获得最新的智能应用控制体验。
为确保用户在启用智能应用控制的情况下获得无缝体验，我们要求开发人员使用来自 Microsoft 受信任的根计划的代码签名证书对其应用程序进行签名。 开发人员应包括所有二进制文件，例如 exe、dll、临时安装程序文件和卸载程序。 受信任签名使使用受信任的证书获取、维护和签名的过程变得简单和安全。
在企业管理中注册的设备上禁用智能应用控制。 我们建议运行业务线应用程序的企业继续使用 适用于企业的应用控制。
了解更多信息
适用于企业的应用控制
你的组织仅与在设备上运行的应用程序一样安全。 使用 应用程序控制时，应用必须赢得信任才能运行，而应用程序信任模型认为所有代码都是可信的。 通过帮助防止不需要或恶意代码运行，应用程序控制是有效安全策略的重要组成部分。 许多组织将应用程序控制作为防御基于可执行文件的恶意软件的最有效方法之一。
适用于企业的应用控制 (以前称为 Windows Defender 应用程序控制) 和 AppLocker 都包含在 Windows 中。 适用于企业的应用控制是适用于 Windows 的下一代应用控制解决方案，提供对环境中运行的内容的强大控制。 在以前版本的 Windows 上使用 AppLocker 的组织在考虑是否切换到适用于企业的应用控制以增强保护时，可以继续使用此功能。
Microsoft Intune[4] 可以在管理控制台中配置适用于企业的应用控制，包括将Intune设置为托管安装程序。 Intune包括适用于企业的 App Control 的内置选项，以及将策略作为 XML 文件上传，以便Intune打包和部署。
了解更多信息
管理员保护
当用户使用 Windows 管理权限登录时，他们有权对系统进行重大更改，这可能会影响系统的整体安全性。 这些权限可能是恶意软件的目标。
管理员保护是Windows 11中的一项新安全功能，旨在保护这些管理权限。 它允许管理员使用 实时管理权限执行所有必要的功能，同时在没有管理特权的情况下运行大多数任务。 管理员保护的目标是提供安全无缝的体验，确保用户以最少所需的权限进行操作。
启用管理员保护后，如果应用需要特殊权限（如管理权限），则会要求用户批准。 需要审批时，Windows Hello提供了一种安全且简单的方法来批准或拒绝这些请求。
注意
管理员保护目前以预览版提供。 对于运行以前版本的 Windows 的设备，请参阅 用户帐户控制 (UAC) 。
Microsoft易受攻击的驱动程序阻止列表
Windows 内核是最特殊的软件，因此是恶意软件设计者重点关注的目标。 由于 Windows 对在内核中运行的代码有严格要求，因此网络犯罪通常利用内核驱动程序中的漏洞来获取访问权限。 Microsoft与生态系统合作伙伴合作，不断识别并响应可能易受攻击的内核驱动程序。 为了防止易受攻击的驱动程序版本运行，Windows 默认启用 阻止策略 。 用户可以从 Windows 安全中心 应用配置策略。
了解更多信息
受信任签名
受信任签名是一种Microsoft完全托管的端到端签名解决方案，可简化签名过程，并使第三方开发人员能够轻松生成和分发应用程序。
了解更多信息