爱华网AppLocker作为Windows7和WindowsServer2008R2中的新功能，它取代了软件限制策略功能。AppLocker包含减少管理开销的新功能和扩展（如可执行文件、脚本、Windows Installer 文件和DLL），帮助管理员控制用户如何访问和使用文件。使用 AppLocker，我们可以：
1、基于从数字签名派生的文件属性（包括发布者、产品名称、文件名和文件版本）定义规则。例如，可以根据更新过程中持续存在的发布者属性创建规则，或者为特定版本的文件创建规则。
2、向安全组或单个用户分配规则。
3、创建规则的例外。例如，可以创建一个规则，允许除注册表编辑器（Regedit.exe）之外的所有 Windows进程运行。
4、使用仅审核模式部署策略并了解其影响，然后再强制该策略。
5、导入和导出规则。导入和导出影响整个策略。例如，如果导出策略，则会导出所有规则集合中的所有规则，包括规则集合的强制设置。如果导入策略，则会覆盖现有策略。
6、使用 AppLocker PowerShell cmdlet 简化 AppLocker 规则的创建和管理。
下表将AppLocker 和软件限制策略进行了对比。
| 功能 | 软件限制策略 | AppLocker |
|---|---|---|
规则作用域 | 所有用户 | 特定用户或组 |
提供的规则条件 | 文件哈希、路径、证书、注册表路径和 Internet 区域规则 | 文件哈希、路径和发布者规则 |
提供的规则类型 | 允许和拒绝 | 允许和拒绝 |
默认规则操作 | 允许或拒绝 | 拒绝 |
仅审核模式 | 否 | 是 |
一次创建多个规则的向导 | 否 | 是 |
策略导入或导出 | 否 | 是 |
规则集合 | 否 | 是 |
PowerShell 支持 | 否 | 是 |
自定义错误消息 | 否 | 是 |
AppLocker 在所有版本的 WindowsServer2008R2、Windows7旗舰版 和 Windows7 企业版 中可用。AppLocker允许管理员控制下列类型的应用程序：可执行文件（.exe 和 .com）、脚本（.js、.ps1、.vbs、.cmd 和bat）、Windows Installer 文件（.msi 和 .msp）和 DLL 文件（.dll 和 .ocx）。
下面将通过实验来演示Applock
本实验用到一台安装有Windows7旗舰版的计算机。实验任务是设置允许所有用户使用QQ 2010，但禁止使用QQ游戏。
注意在实际环境，我们一般在装有2008R2的域控制器上，针对不同的用户或计算机建立OU，然后进行部署。
一、运行GPRDIT.msc或secpol.msc，进行如下操作
1、新建可执行规则（允许运行QQ的规则）。
发布者：此条件根据应用程序的数字签名和扩展属性来标识应用程序。数字签名包含有关创建此应用程序的公司（发布者）的信息。从二进制资源获取的扩展属性包含产品（应用程序是其一部分）的名称和应用程序版本号。当发布者条件选择引用文件时，向导会创建指定发布者、产品、文件名和版本号的规则。可以通过向下移动滑块或在产品、文件名或版本号字段中使用通配符(*) 使规则更通用
AppLocker 使用 Windows 中目录的路径变量。下表详细说明了这些路径变量。
| Windows 目录或驱动器 | AppLocker 路径变量 | Windows 环境变量 |
|---|---|---|
Windows | %WINDIR% | %SystemRoot% |
System32 | %SYSTEM32% | %SystemDirectory% |
Windows 安装目录 | %OSDRIVE% | %SystemDrive% |
Program Files | %PROGRAMFILES% | %ProgramFiles% 和 %ProgramFiles(x86)% |
可移动媒体（例如，CD 或 DVD） | %REMOVABLE% | |
可移动存储设备（例如，USB 闪存驱动器） | %HOT% |
文件哈希：选择文件哈希条件时，系统会计算已标识文件的加密哈希
新建立禁止运行QQ游戏的哈希规则。由于文件是可以重命名的，在实际中可能针对文件名建立了规则，但将文件重命名时可能会发生规则无效的情况。由于文件的哈希值是唯一，所以在此使用创建哈希规则。
二、启动应用程序标识服务
必须使用服务管理单元控制台启动应用程序标识服务，之后才能强制执行 AppLocker 策略。
依次单击「开始」、“管理工具”和“服务”。
在服务管理单元控制台中，双击“应用程序标识”。
在“应用程序标识属性”对话框中，依次单击“启动类型”列表中的“自动”、“开始”和“确定”。
三、更新组策略：运行Gpupdate /force
四、测试
运行QQ2010能成功运行；直接运行QQ游戏和将文件名重命名均不能运行；
