Gelöschte AppLocker Regel greift immer noch

[inwil 10]

Hallo Zusammen,

Ich habe ein kleines Problem und komme nicht auf eine Lösung bzw. die Ursache.

 

Im Zuge meiner persönlichen Weiterbildung habe ich mich auf meinem Win7 Enterprise x64 ein wenig mit AppLocker herumgespielt.

 

Konkret habe ich in den Lokalen Sicherheitsrichtlinien eine neue AppLocker Regel erstellt und dort sowohl die "Standardregeln" als auch eine Block-Regel für eine bestimmte *.exe Datei erstellt.

Außerdem hatte ich auch eine Software Restriction Policy erstellt.

 

Nach meinen Tests habe ich die AppLocker Regel und Software Restriction Policy wieder gelöscht (Rechtsklick "AppLocker" -> "Clean Policy" und "Delete Software Restriction Policy").

 

Leider scheint der Client das Löschen nicht ganz registriert zu haben:

1. Zuerst wollten einige lokale Programme nicht mehr starten (gespeichert außerhalb "Program Files" Ordner). Es kommt die Meldung "This program is blocked by group policy".

Ich hatte dann verschiedenes versucht:

Neustart, GPUpdate, AppLocker Regel neu erstellt und gelöscht, SystemRestore (schlug fehl), AppLocker Dienst deaktiviert. Die genaue Reihenfolge weiß ich leider nicht mehr.

Irgendwann konnte ich plötzlich die Dateien wieder starten.

 

2. Dateien und Skripte auf einem UNC Pfad im Netzwerk kann ich nach wie vor nicht starten. Meldung "This program is blocked by group policy". Im EventViewer erscheint auch der "Blocked"-Eintrag im "AppLocker" Log.

Hier habe ich schon versucht den Pfad und die Datei ausdrücklich in einer neuen AppLocker regel zu erlauben -> ohne Erfolg.

 

 

 

Der Client ist im übrigen Mitglied einer Domäne, aber von dieser kommen definitiv keine AppLocker oder SRP.

 

Mich würde nun interessieren, warum das so ist. Hat jemand einen Tipp?

 

Danke,

Inwil

[inwil 10]

Ich glaube nun konnte ich es lösen:

 

1. AppLocker Dienst war noch "Deaktiviert" -> auf Standard gestellt ("Manuell")

2. Nochmal in die Lokalen Sicherheitsrichtlinen gehen

3. In der leeren Applocker Regel unter "Rule Enforcement" die drei Häckchen setzten und den Audit Modus aktivieren

4. AppLocker Dienst neugestartet -> Script lässt sich aufrufen

5. Applocker Regel wieder über "Clear Policy" gelöscht

6. AppLocker Dienst neugestartet -> Script lässt sich immer noch aufrufen.

7. AppLocker Dienst gestoppt -> Funktioniert immer noch