您操作一群執行 D:\Apps 中自訂應用程式的 Windows Server 網頁伺服器。您想先觀察允許的程序，然後使用 Microsoft Defender for Cloud 實施包含自訂應用程式路徑的允許清單。您該怎麼做？

此選項正確，因為它利用了 Defender for Cloud 的自適性應用程式控制 (Adaptive application controls) 功能，該功能專為此類情境設計。首先在稽核模式下啟用，可以觀察建議並確保自訂應用程式 D:\Apps\.exe 被正確識別和允許，而不會立即中斷服務。隨後切換到強制模式可實施允許清單。 使用群組原則部署 WDAC 雖然可行，但會限制為僅允許 Microsoft 簽署的程式碼，這不符合允許自訂應用程式的需求。在每台伺服器上本機設定 AppLocker 規則效率低下，且會失去 Defender for Cloud 的集中管理和機器學習優勢。建立 Azure Policy 拒絕 C:\Windows\ 之外的任何程序過於嚴格，會阻止 D:\Apps 中的自訂應用程式運行。在 Defender for Cloud 中停用機器學習分組並強制單一策略集會降低其智慧化程度，且可能導致過多誤報或漏報。