您运营一组运行 D:\Apps 中自定义应用程序的 Windows Server Web 服务器。您希望首先观察允许的进程，然后使用 Microsoft Defender for Cloud 强制执行包含自定义应用程序路径的允许列表。您应该怎么做？

正确答案是使用 Defender for Cloud 的自适应应用程序控制。此功能允许您首先在“审核”模式下观察和学习允许的进程，然后添加自定义路径规则（例如针对 D:\Apps\.exe），最后切换到“强制”模式以实施允许列表。这符合题目中“首先观察允许的进程，然后强制执行”的要求。 其他选项不正确的原因如下： 使用组策略部署 WDAC 仅允许 Microsoft 签名的代码，这会阻止运行自定义应用程序。 在每台服务器上本地配置 AppLocker 规则会增加管理开销，并且会禁用 Defender for Cloud 的集中管理优势。 创建 Azure Policy 拒绝 C:\Windows\ 之外的任何进程会阻止 D:\Apps 中的自定义应用程序运行。 禁用 Defender for Cloud 中的机器学习分组并强制执行单一策略过于严格，无法适应自定义应用程序的需求，并且会失去机器学习的优势。