Безопасность в Win

Среда бастиона - https://docs.microsoft.com/ru-ru/microsoft-identity-manager/pam/planning-bastion-environment

Microsoft Identity Manager (MIM) - https://docs.microsoft.com/ru-ru/microsoft-identity-manager/microsoft-identity-manager-2016

Privileged Access Workstations (PAWs) https://docs.microsoft.com/ru-ru/windows-server/identity/securing-privileged-access/privileged-access-workstations

The Active Directory 2016 PAM Trust: how it works, and why it should come with a safety advisory

https://blogs.technet.microsoft.com/389thoughts/2017/06/19/ad-2016-pam-trust-how-it-works-and-safety-advisory/

SRP и его кривое наследие APPlocker:

Ключевой момент использования и того и другого: а как вы будете контролировать срабатывание и что потом?

Я делал как задачу (через групповые политики), которая по сообщению с event ID запускает (скрытно) отправку сообщения на специальный ящик о том, что сработало и где. "Что и где" собирается скриптом на машине, сам скрипт лежит на шаре, рядом с прочим GPO софтом.

Software Restriction Policiesdocsmsft

https://docs.microsoft.com/ru-ru/windows-server/identity/software-restriction-policies/administer-software-restriction-policies