MAC 确保只有列入白名单、合法和获得授权的应用程序和文件才在系统上运行。这通过“列入白名单”和“内存保护”功能实施。

在您执行初始系统固定之后，便会创建所有受支持的应用程序和文件的白名单。将会针对所有受支持文件的执行验证这个白名单。此过程会锁定系统以禁止：

• 白名单以外任何受支持文件的执行/运行
• 对白名单中的任何受支持文件进行修改

什么是更新模式？
MAC 提供以下渠道来修改或更新已锁定的系统：

• 更新程序进程：进程是任何正在执行中的程序。列入白名单的可执行文件或脚本可以配置为更新程序，以允许其修改或执行任何受支持的文件，而不管它在清单（白名单）中处于什么状态。更新程序进程所执行的更改在清单（白名单）中动态反映。
• 用户即更新程序或受信任的用户：可以将个别用户配置为受 MAC 信任。允许已配置的用户在已锁定的系统上执行所有更改。更新程序或受信任的用户所执行的更改在清单（白名单）中动态反映。
• 更新模式：更新模式是一种系统范围的维护模式。在更新模式下，允许任何进程或用户执行所有更改。在系统处于更新模式下执行的更改在清单（白名单）中动态反映。

注意：如果使用上述任何渠道来更新系统，则“内存保护”会处于启用且有效的状态。

什么是观察模式？
处于观察模式的系统允许对文件进行任何更改或执行。观察模式仅在 Windows 操作系统上可用。

观察模式的好处是 MAC 会针对文件执行或修改禁止生成事件和通知，就如在处于启用模式时会执行的操作一样，但是不会实际禁止执行或修改。事件和通知会报告给 ePO，并提供有关在启用模式下允许执行和修改所需进行的任何配置更改的建议。用户确定在事件中报告的更改合法之后，可以应用建议的配置更改，以允许在启用模式或已锁定状态下进行执行/修改。

注意：McAfee 建议您将 10% 的类似或匹配的系统置于观察模式。识别任何所需的配置更改之后，您可以将这些更改应用于具有类似或匹配的软件配置的所有主机。

如果在更新模式下允许更改，为何还需要观察模式？
MAC 随附默认策略，包括在内部识别的规则以让大部分通用、已知的应用程序在启用 MAC 的环境中无缝工作。但是，许多环境含有未经 McAfee 测试的应用程序或版本。如果这些应用程序创建和执行新文件或修改列入白名单的文件，MAC 将阻止该操作。这可能会导致应用程序问题或功能丧失。

每当应用程序需要执行或修改文件或允许应用程序进行更改而不进行任何形式的监控时将系统置于更新模式，这样不太可行。观察模式可让您在已启用或锁定状态下尽量减少应用程序失败，方法是确定需要进行哪些配置更改，以允许应用程序正常工作，同时产生最少量的安全风险。

更新模式与观察模式
虽然更新和观察模式在原理和使用方面大相径庭，但是在一些方面它们是类似的，例如它们都允许在系统上更改。为了进行进一步的分类，下面列出了更新和观察模式在性质和使用方面的差别。

• 仅当系统处于维护（更新）模式时，更新模式才允许更改。 观察模式允许更改，但是建议所需的配置在下一次成功执行类似更改，而不切换到更新模式。
• 更新模式非常适用于在固定并锁定系统之后，系统的一次性更改/更新。 观察模式提供一种指导，可帮助识别让已锁定系统无缝工作所需的配置。
• 可以在需要紧急或大更改/更新时启动更新模式。 观察模式启动一次，以在系统最终锁定之前识别 MAC 特定配置。
• 在更新模式下进行的任何更改会在清单（白名单）中动态更新。在观察模式中进行的任何更改会根据用户决定在清单（白名单）中更新。
• 您可以将系统置于更新模式，而无需固定或最初列入白名单。 固定或最初列入白名单是切换到观察模式的必要条件/先决条件。
• 更新模式允许文件运行或修改一次。在观察模式下识别的配置允许文件始终无缝运行。