Question 1

AppLocker 會被繞過嗎？如何防止？

Accepted Answer

AppLocker 是強大的應用程式控管機制，但有一批 Windows 內建、被預設信任的元件（例如指令碼引擎、除錯工具、部分開發與建置工具），本身可被用來執行未經核准的內容，成為繞過的破口。這些破口都是已知且可控的：只要依 Microsoft 官方建議，針對這些元件加上封鎖規則，就能大幅降低被繞過的風險。網路上所謂的 AppLocker 繞過或破解手法，多半正是利用這些元件。以上整理自 Microsoft 官方文件與 JetCore AppLocker 研發小組的實務經驗。

Question 2

AppLocker 應該用白名單還是黑名單？

Accepted Answer

白名單是主體。黑名單（封鎖清單）只能擋已知的壞東西，出現新手法就會漏掉；白名單只允許明確信任的程式執行，其他一律擋，攻擊者帶進來的新工具因為不在清單上而無法啟動。正確架構是白名單為主、封鎖清單為輔，用封鎖清單把白名單裡可被濫用的系統元件挖掉。以上整理自 Microsoft 官方文件與 JetCore AppLocker 研發小組的實務經驗。

Question 3

什麼是防繞過封鎖清單？為什麼白名單還需要它？

Accepted Answer

Windows 內建、被預設信任的部分系統元件，本身可被拿來執行其他內容，成為繞過白名單的破口。防繞過封鎖清單針對這些可被濫用的元件加上封鎖規則；AppLocker 的規則優先順序中封鎖優先於允許，因此即使元件落在允許範圍內，仍會被擋下。這份清單以 Microsoft 建議封鎖規則與公開的濫用元件整理為基礎。以上整理自 Microsoft 官方文件與 JetCore AppLocker 研發小組的實務經驗。

Question 4

為什麼台灣環境的白名單需要另外整理？

Accepted Answer

政府機關與金融企業常用的軟體，例如自然人憑證元件、公文系統、網銀元件與各類內部工具，其發行者、安裝路徑會隨版本變動，需要以發行者規則為主、持續維護，才不會在軟體改版後讓使用者無法開啟程式。這類針對台灣環境的信任清單，公開的中文整理相當少見。以上整理自 Microsoft 官方文件與 JetCore AppLocker 研發小組的實務經驗。

Question 5

AppLocker Studio 能協助管理白名單與封鎖清單嗎？

Accepted Answer

可以。AppLocker Studio 提供圖形化規則管理，支援原則 XML 的匯入與匯出，可將白名單與封鎖清單基準套用到端點，並集中檢視分類規則。

Question 6

AppLocker Studio 如何追蹤白名單套用後的狀況？

Accepted Answer

AppLocker Studio 提供阻擋與稽核事件分析，並以端點與使用者風險排行彙整事件，協助找出白名單套用後需要優先檢視的項目。

Question 7

封鎖清單更新後，AppLocker Studio 能持續掌握嗎？

Accepted Answer

可以。AppLocker Studio 提供週期性報表郵件訂閱與水位告警，持續追蹤事件變化，配合規則基準的更新掌握端點的執行狀況。

元件	分類	為什麼建議封鎖	來源
cscript.exe	指令碼引擎	Windows Script Host，可執行 VBScript／JScript，被用來繞過允許原則。	Microsoft
wscript.exe	指令碼引擎	Windows Script Host 的視窗版本，同樣可執行指令碼繞過控制。	Microsoft
mshta.exe	指令碼引擎	執行 HTA 應用程式的舊元件，常被拿來執行未經核准的內容。	Microsoft
csi.exe	指令碼引擎	C# 互動式編譯器，可直接執行程式碼繞過允許原則。	Microsoft
rcsi.exe	指令碼引擎	C# 指令碼執行工具，可執行未簽署的程式碼。	Microsoft
fsi.exe	指令碼引擎	F# 互動式直譯器，可執行程式碼繞過控制。	Microsoft
fsiAnyCpu.exe	指令碼引擎	F# 互動式直譯器（AnyCPU 版本），同上。	Microsoft
powershellcustomhost.exe	指令碼引擎	自訂 PowerShell 主機，可載入並執行指令碼繞過控制。	Microsoft
runscripthelper.exe	指令碼引擎	遙測用的指令碼執行輔助程式，可被濫用執行內容。	Microsoft
system.management.automation.dll	指令碼引擎	PowerShell 核心模組，特定舊版本可繞過控制，Microsoft 以雜湊撤銷。	Microsoft
msbuild.exe	開發與建置	.NET 建置工具，可透過專案檔執行程式碼；僅開發情境才需允許。	Microsoft
msbuild.dll	開發與建置	MSBuild 的 DLL 形式，同樣可被用來繞過允許原則。	Microsoft
Microsoft.Build.dll	開發與建置	MSBuild 引擎組件，可載入執行建置邏輯繞過控制。	Microsoft
Microsoft.Workflow.Compiler.exe	開發與建置	工作流程編譯器，可執行 XOML 內含的程式碼。	Microsoft
wfc.exe	開發與建置	Workflow 命令列編譯器，可被用來執行程式碼。	Microsoft
aspnet_compiler.exe	開發與建置	ASP.NET 預先編譯工具，可被用來執行未經核准的程式碼。	Microsoft
dnx.exe	開發與建置	.NET Execution Environment，可執行程式碼繞過控制。	Microsoft
dotnet.exe	開發與建置	.NET CLI，可執行受管理的組件繞過允許原則。	Microsoft
texttransform.exe	開發與建置	T4 文字範本轉換工具，可執行範本內含的程式碼。	Microsoft
addinprocess.exe	開發與建置	.NET 增益集主機，可被用來載入並執行程式碼。	Microsoft
addinprocess32.exe	開發與建置	.NET 增益集主機（32 位元），同上。	Microsoft
addinutil.exe	開發與建置	.NET 增益集工具，可被濫用執行內容。	Microsoft
infdefaultinstall.exe	開發與建置	處理 INF 安裝檔的工具，可被用來執行未經核准的動作。	Microsoft
visualuiaverifynative.exe	開發與建置	UI 自動化驗證工具，可被用來繞過允許原則。	Microsoft
windbg.exe	除錯工具	Windows 偵錯工具，可載入並執行任意內容，一般端點不需要。	Microsoft
cdb.exe	除錯工具	主控台偵錯工具，可執行程式碼繞過控制。	Microsoft
kd.exe	除錯工具	核心偵錯工具，可被用來繞過允許原則。	Microsoft
ntsd.exe	除錯工具	NT 符號偵錯工具，可執行任意內容。	Microsoft
ntkd.exe	除錯工具	核心符號偵錯工具，同上。	Microsoft
dbghost.exe	除錯工具	偵錯主機程式，可被用來繞過控制。	Microsoft
dbgsvc.exe	除錯工具	偵錯服務程式，同上。	Microsoft
dbgsrv.exe	除錯工具	遠端偵錯伺服器，可被用來執行內容。	Microsoft
wsl.exe	WSL 子系統	Windows Subsystem for Linux 啟動程式，可執行 Linux 程式繞過控制。	Microsoft
bash.exe	WSL 子系統	WSL 的 Bash 進入點，可執行未受控管的內容。	Microsoft
wslconfig.exe	WSL 子系統	WSL 設定工具，配合子系統被用來繞過控制。	Microsoft
wslhost.exe	WSL 子系統	WSL 主機程式，同上。	Microsoft
lxrun.exe	WSL 子系統	舊版 WSL 安裝／管理工具，可被用來執行內容。	Microsoft
lxssmanager.dll	WSL 子系統	WSL 管理服務 DLL，配合子系統可繞過控制。	Microsoft
wmic.exe	系統工具	WMI 命令列工具，可被用來執行程式與指令碼繞過控制。	Microsoft
kill.exe	系統工具	程序終止工具，可被用來停止防護相關程序。	Microsoft
bginfo.exe	系統工具	Sysinternals 桌面資訊工具，4.22 前版本存在可繞過控制的弱點。	Microsoft
webclnt.dll / davsvc.dll	系統工具	WebDAV 相關 DLL，可被用來繞過控制；建議停用 WebClient 服務。	Microsoft

補上這些破口，
AppLocker 才算完整。

可繞過 AppLocker 的元件清單

白名單為主，封鎖清單為輔

只允許可信任的程式

擋下可被濫用的元件

補上這些破口，AppLocker 才算完整。

可繞過 AppLocker 的元件清單

白名單為主，封鎖清單為輔

只允許可信任的程式

擋下可被濫用的元件

補上這些破口，
AppLocker 才算完整。