如何知道组策略何时阻止应用程序

Question

我已将组策略配置为阻止除某些应用程序之外的所有应用程序。我已经配置了一定的允许运行。但是，当用户尝试运行它时，他们仍然会收到通常的组策略阻止此应用程序的消息。在哪里可以找到有关组策略阻止的内容及其原因的更多日志记录信息？我认为该应用程序启动了一些其他可执行文件，我需要将其添加到列表中，但我不知道如何找到它。

Answer 1

您无需指定正在使用的客户端操作系统，但在 W2K3 中，您需要从应用程序事件日志中的源软件限制策略中查找 EventID 865。其详细信息应类似于以下内容：

对 C:\WINDOWS\system32\ctfmon.exe 的访问已被管理员通过放置在路径 C:\WINDOWS\system32\ctfmon.exe 上的策略规则 {bcb5037f-a1ff-45d0-9cfc-11fae74fb878} 的位置进行限制

编辑

此外，您没有指定如何阻止应用程序。您是否使用软件限制策略或“仅运行允许的 Windows 应用程序”或“不运行指定的 Windows 应用程序”GP 设置？我假设您正在使用软件限制策略，并且您将允许运行的应用程序列入白名单。如果是这样，您的强制执行设置是什么，您指定的文件类型是什么，以及您设置了哪些附加规则？您使用的是路径规则还是哈希规则？