当应用程序在受保护虚拟机上首次启动时，应用程序权限控制组件会扫描该应用程序并将其置于一个信任组中。
在应用程序扫描的第一阶段，应用程序权限控制将搜索已知应用程序的内部数据库中是否存在匹配的条目，然后向卡巴斯基安全网络数据库发送请求（如果互联网连接可用）。如果应用程序与卡巴斯基安全网络数据库的条目相匹配，此应用程序将被分配到卡巴斯基安全网络数据库中指定的受信任组。每当应用程序启动时，应用程序权限控制将向 KSN 数据库发送一条新的查询，且如果应用程序在 KSN 数据库中的声誉已更改，其会将该应用程序置于其他信任组中。
默认设置下，Kaspersky Security 使用启发式分析将未知应用程序（未包含在 KSN 数据库中并缺乏受信任供应商的签名）分配至信任组中。在启发式分析期间，Kaspersky Security 会确定应用程序的威胁级别，然后基于该威胁级别将应用程序置于特定信任组。除了使用启发式分析之外，您也可以指定 Kaspersky Security 将所有未知的应用程序自动分配到指定的受信任组中。
默认情况下，应用程序权限控制扫描应用程序 30 秒时间。如果此时间过后仍未确定应用程序危险级别，应用程序权限控制会将该应用程序分配至低限制组，在后台继续尝试确定其危险级别。然后，应用程序权限控制将应用程序分配给相应的信任组。您可以更改用来确定所启动应用程序的威胁级别的时间长度。如果您确定受保护虚拟机上启动的所有应用程序都不会带来安全威胁，您可以减少分配用来确定应用程序威胁级别的时间长度。如果您计划在受保护虚拟机上安装其安全性存在疑问的应用程序，建议您增加用来确定应用程序威胁级别的时间长度。
如果应用程序具有较高威胁级别，Kaspersky Security 将告知用户此事，并提示您为应用程序分配受信任组。此通知包含卡巴斯基安全网络参与者使用此应用程序的统计结果。基于这些统计结果并了解到此应用程序如何出现在虚拟机中，您可以客观地选择将此应用程序置于哪一个受信任组中。