Applocker的关键特点
方便高效，例如您可以轻松配置一个程序高于其某个版本都能运行，对于IT人员来说，这可以节省大量的策略维护时间。利用AppLocker管理员可以非常方便地进行配置，以实现用户可在计算机上可运行哪些程序、安装哪些文件、运行哪些脚本。由于AppLocker是基于组策略管理和配置的，因此我们可以非常方便地将其部署到整个网络环境中，可谓一劳永逸。Applocker使得企业IT管理员可以非常方便的配置用户可以在计算机上运行哪些应用：包括程序，安装文件与脚本。还可以通过公司名来限制某个公司的产品运行，比如限制tencent公司的应用程序，那么qq，qqgame等等，都不能够被运行。
Applocker使用方法
一、这第一步非常重要，它决定了你的AppLocker是否能生效，计算机上右键→管理→服务，找到Application Identity服务，设为自动启动;
二、执行“开始”→ “运行”，输入gpedit.msc打开组策略编辑器。在左侧的窗格中依次定位到“计算机配置” →“Windows 设置”→“安全设置”→“应用程序控制”，可以看到AppLocker组策略配置项。
三、在“可执行程序规则”、“安装程序规则”、“脚本规则”上分别右键，创建默认规则，即可。
四、大部份人的程序都不装在C:\ProgramFiles\*下，怎么办?在“可执行程序规则”、“脚本规则”(安装程序规则保持默认即可)分别右键→新建规则，选择允许或拒绝，用户保持默认的Everyone(即任意用户)→下一步，路径处浏览到你的程序或目录(最好是目录，只需一条规则就搞定，比如d:\ProgramFiles\*)→创建。
五、第一次使用AppLocker，设置完以上后，必须重启机器(注销不行)，才能使策略生效。
六、大功告成，现在用IE上任意挂马网站，双击任意病毒吧，只要不要把病毒放在以上所允许过的路径就可以。
七、疑问：网马复制自已到系统目录?没有可能。在UAC开启的状态下，当前用户及其所运行的程序，不能读取HIPS中所谓的AD行为中的底层磁盘，不能除USER外的注册表项，不可写除USER目录外的系统盘，可以说，UAC就是一个规则严密的HIPS。
八、疑问：我有一些不常用的绿色软件比如注册机，MD5验证程序等，不是放在程序安装目录，我也没有在AppLocker中创建过允许规则，那我想用它时会不会很麻烦?答案是：一点也不麻烦，右键以管理员运行就可以了。
