为什么单独管第三方
浏览器的 0day、Java 运行时的反序列化、PDF 阅读器的渲染漏洞、压缩工具的文件解析缺陷，都是钓鱼与横向移动最常打进来的入口，而它们都不在 Windows 月度补丁的覆盖范围里。管理目标很朴素：有一份“装了哪些、什么版本、谁负责升”的清单，再用分发渠道把版本压在已知安全范围之上。
基本信息
| 适用平台 | Windows 10/11、Windows Server 2016 及以上 |
|---|---|
| 管理对象 | 浏览器、Java 运行时、PDF 阅读器、压缩工具、远程工具 |
| 盘点手段 | Get-Package、注册表卸载键、软件分发平台清单 |
| 更新通道 | 厂商自动更新、企业分发平台、离线安装包 |
| 验收要点 | 高风险软件版本高于厂商公告的安全版本 |
典型使用场景
- 应急响应：某浏览器爆在野漏洞，24 小时内定位未升级的终端
- 等保与内审：核查终端软件版本是否满足安全要求
- 新机交付：装机流程里固化基线版本，避免逐台手装
- 隔离网环境：无法直连互联网，用离线包按月推送
- 影子软件治理：发现用户自行安装的高风险工具并纳入清单
版本盘点与抽查
版本盘点与抽查
# 已安装程序清单（含版本与发布者）
Get-Package | Select-Object Name, Version, ProviderName | Sort-Object Name
# 注册表视图：部分安装方式只在注册表登记
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue | Select-Object DisplayName, DisplayVersion
# 重点软件版本抽查（以实际安装路径为准）
(Get-Item 'C:\Program Files\Google\Chrome\Application\chrome.exe').VersionInfo.ProductVersion
(Get-Item 'C:\Program Files\Java\*\bin\java.exe' -ErrorAction SilentlyContinue).VersionInfo.FileVersion四类软件的处置重点
| 软件类别 | 典型风险 | 建议通道 |
|---|---|---|
| 浏览器 | 在野 0day 出现频率高 | 厂商自动更新 + 分发平台强制版本 |
| Java 运行时 | 历史反序列化漏洞影响面大 | 集中管理实例，按应用登记版本 |
| PDF 与压缩工具 | 打开恶意文件即触发漏洞 | 分发平台统一版本，禁止用户自装 |
| 远程工具 | 未授权远控等同于后门 | 白名单制，只允许公司授权产品 |
无人值守的服务器也要管：服务器上装着的浏览器与 Java 运行时同样是本地提权与横向移动的跳板。
盘点范围要覆盖用户权限安装的软件，只查 Program Files 会漏掉装在用户目录下的绿色版与便携版。
自动更新在代理或隔离网环境经常静默失败，要从更新日志确认版本真的变了，而不是看到“允许更新”就认为完成。