以下是在 Apex One 中設定 Application Control 時的一些建議的最佳做法。

使用「學習 > 監控 > 精煉」

首次將 Application Control 搭配鎖定使用時，請在策略中啟動評估模式。系統會記錄違規，但不會封鎖應用程式。使用常被封鎖的應用程式儀表板小工具或執行記錄檔查詢，手動檢視應用程式監控違規。精煉條件，並建立允許條件將已識別的軟體排除在篩選之外，以核准這些軟體。

使用鎖定

鎖定適用於軟體變更不頻繁，或想要限制使用者僅能存取特定應用程式的組織。建議的做法包括：

• 啟用此設定時，為 Windows Update 建立允許條件。
• 在安裝或更新所有應用程式後，於啟用此設定前，先建立端點的黃金映像。
• 在將鎖定完全實施至更大的群組之前，先將此設定逐步部署在少數端點上。
• 在鎖定情境中，強烈建議啟用排除來自趨勢科技所信任供應商的應用程式。

內部開發的應用程式

內部開發的應用程式應使用雜湊值作為 Application Control 條件，新增至允許條件中。

「常被封鎖的應用程式」小工具

若要微調 Application Control 策略，請啟用「常被封鎖的應用程式」儀表板小工具。此小工具將協助管理員識別其網路中通常被封鎖的應用程式。

信任權限

在將允許的信任權限變更為應用程式可以執行外部處理程序或**可繼承的執行權限（不建議）**之前，請考慮下列事項：

• 僅將這些權限套用至確實需要的特定應用程式，以免將擴充權限授予其他不需要的應用程式。

• 絕不要在 Internet Explorer、Chrome 或 Firefox 等網頁用戶端應用程式上使用這些權限，以避免端點面臨路過式下載弱點攻擊。

• 不建議將這些權限用於檔案路徑的允許條件，因為指定的資料夾位置可能會將擴充的執行權限授予非預期的應用程式。