您必須防止未簽署的程式碼在 Windows Server 2022 檔案伺服器上執行，只允許 Microsoft 簽署和 Contoso 簽署的二進位檔/驅動程式，並在強制執行前以稽核模式開始一週。您應該怎麼做？

正確答案是建立 Windows Defender Application Control (WDAC) 基本策略。WDAC 是防止未經授權程式碼執行的最有效方法，它允許您精確定義允許的發行者（例如 Microsoft 和 Contoso）。將策略設定為稽核模式 (Audit Mode) 一週，可以在不影響生產環境的情況下，識別潛在的相容性問題，符合題目要求。將策略轉換為二進位檔 (.cip) 並部署到指定路徑，是 WDAC 策略生效的標準步驟。驗證後再切換到強制執行模式，能確保平穩過渡。 AppLocker 雖然可以限制可執行檔，但它主要針對應用程式，對驅動程式的控制不如 WDAC 全面，且其安全模型不如 WDAC 強大，容易被繞過。SmartScreen 和 Reputation-based protection 主要用於瀏覽器和下載檔案，無法全面控制伺服器上的所有程式碼執行。Software Restriction Policies (SRP) 是較舊的技術，功能不如 WDAC 強大，且管理複雜度較高，不適用於此情境。