聊终端安全，大部分人第一反应是防病毒、防勒索、防泄密。但真在政企内网里做过运维的人会有另一个体会：很多时候风险不是从外面攻进来的，是终端上自己“长”出来的——员工从网上下了一个破解版工具，装了一个来路不明的远程控制软件，或者随手跑了一个从聊天窗口拖进来的脚本。这些东西没有特征码，杀毒软件不一定认得，但它们该有的权限一样不少，能读文件、能连网络、能改配置。
应用管控就是冲着这个口子去的。思路听上去不复杂：把“什么能跑”管住。但真落地的时候，难的不是配一条黑名单或者白名单，而是三个更靠后的工程问题：白名单默认拒绝之后，业务软件怎么放、谁来批；策略在终端断网之后还算不算数；以及这份名单在信创终端上能不能用同一套逻辑跑起来。迪康端点安全一体化管理系统里的应用管控模块，就是沿着这三个问题来设计的。
黑名单和白名单，不是二选一，是两种不同性质的约束
迪康的应用管控同时支持黑名单和白名单两种模式，但两者回应的风险形态不一样。
黑名单模式是“点名拦截”。管理员把已知的风险进程录进去——破解工具、挖矿程序、某些网盘客户端、外部通讯工具——终端一旦跑起来，系统产生告警，可以选择只记录，也可以直接终止进程，日志全部留存。这种模式适合普通办公内网，先解决“已知的坏东西不让跑”的问题，部署门槛低，对现有软件生态的扰动也小。
白名单模式是另一种性质的东西。它不问你“这个程序坏不坏”，它问的是“这个程序在不在清单上”。不在清单上的程序，连创建进程的机会都没有，默认拒绝，只放行经过确认的业务和系统程序。这种模式适合高安全域——涉密办公区、核心研发区、财务终端——在这些地方，“没被明确允许”和“被明确禁止”应该是一回事。
但白名单的难点从来不在“开不开”，而在开了之后怎么办。一个默认拒绝的环境，如果员工正常业务需要的软件进不来，白名单要么被管理员整体放开变成摆设，要么被业务部门投诉到关掉。迪康在这个环节上的做法，是把白名单跟软件库和审批流绑在一起，而不是让管理员手工往名单里堆指纹。
白名单要能跑下去，靠的是“申请—审批—入库”这条链路
迪康的应用管控里有一个应用程序库，统一维护全网程序的指纹、进程信息。策略配置的时候直接从库里选，不需要管理员一台一台去抓哈希、填路径。这个库解决的是“配置效率”的问题，但真正让白名单长期成立的，是它后面的安装管控和审批通路。
默认状态下，终端私自安装软件是被拦住的，私自卸载指定的合规软件也被拦住。员工确实需要装一个新工具，在终端上直接发起申请，管理员在管控平台或者移动端审批，通过之后才允许安装。同时配套一个可信软件库：管理员把经过验证的安装包传上去，终端从软件库获取的软件不走“拦截—审批”这条路径，直接放行，批量分发标准化的业务软件。
这个设计的意义在于，它把白名单从一份静态的名单变成了一个有入口的闭环。白名单管的是“什么能跑”，审批管的是“什么东西可以进到能跑的名单里”，软件库管的是“进来的东西是不是干净的”。员工不用为了装一个正经工具去找管理员吵架，管理员也不用因为业务压力把整个白名单模式关掉。默认拒绝能持续执行，靠的是例外有路可走，而不是例外被堵死。
进程保护：管住“什么能跑”之外，还得管住“什么不能被干掉”
应用管控有一个容易被忽略的侧面：如果终端上的业务系统进程可以被随便结束，那“什么能跑”管得再严也没有意义。一个恶意脚本，或者一个手快的用户，把OA客户端、业务系统后台进程直接杀掉，业务就断了。
迪康的应用管控里有一个进程保护功能，针对OA、业务系统这类关键进程开启保护，人为操作或者恶意脚本强制结束进程会被拦住。脚本执行管控是另一个方向的约束：限制指定程序执行脚本行为，可以配业务例外，防范通过脚本解释器绕过白名单的路径。这两项能力跟黑白名单跑在同一个代理里，不需要额外装一个进程守护工具，也不需要单独维护一套进程清单。
离线执行和信创覆盖，是这套管控能不能在真实内网里成立的前提
很多应用管控方案在演示环境里跑得很好，到了物理隔离内网就出问题。原因不复杂：策略匹配依赖跟管理端的实时连接，终端一断网，管控就退化成“本地随便跑”。
迪康的客户端Agent在本地持久化存储当前生效的策略集，程序黑白名单的匹配和执行完全由本地引擎完成，不依赖与管理端的实时连接。终端离线期间策略照常执行，恢复连接后补报日志。对于以隔离内网为主战场的政企环境，这不是一个“加分项”，而是应用管控能不能被当作基线来用的前置条件。
信创覆盖是另一个前提。迪康的应用管控跑在Windows、Linux、macOS、国产信创操作系统和安卓上，传统终端和信创终端收的是同一套策略框架。麒麟、统信上的程序黑白名单、进程保护、安装管控走同一个管理平面，不需要为国产化系统单独搭一套应用管控通道。策略下发也可以按部门、角色、用户账号来做，同一台共用终端不同账号登录，自动加载对应用户的策略集。
审计不是附赠品，是管控能不能被验证的依据
应用管控如果只管不记，出了事就没法回答“这个程序是谁放进来、什么时候跑的、跑了多久”。迪康的审计覆盖终端所有程序的启动和退出，可以按终端查软件运行历史；全网软件资产自动盘点，Windows、Linux、macOS、信创、安卓的软件清单统一采集，支撑正版化检查和资产盘点；拦截、审批、告警全量留痕，支持检索和导出。审计跟管控跑在同一套数据平面上，不是事后从别的地方拼日志。
一句话收束
迪康的应用管控不是一个“拉黑软件”的开关，它是一套把默认拒绝、有路可走的例外、离线本地执行、跨系统统一策略串在同一个代理里的管控闭环。它适合的，是那些内网隔离、信创在进场、业务软件需求持续存在、而且不希望应用管控变成一份“配完就没人敢动”的静态名单的环境。应用管控真正要回答的问题不是“能不能拦住”，而是拦住之后，正常业务怎么继续
