App Control-Debuggen und -Problembehandlung

In diesem Artikel wird beschrieben, wie Sie App- und Skriptfehler bei Verwendung von App Control for Business debuggen und Problembehandlung durchführen.

1. App Control-Diagnosedaten sammeln

Vor dem Debuggen und Beheben von App Control-Problemen müssen Sie Informationen von einem Gerät sammeln, auf dem das problematische Verhalten auftritt.

Führen Sie die folgenden Befehle in einem PowerShell-Fenster mit erhöhten Rechten aus, um die Diagnoseinformationen zu sammeln, die Sie möglicherweise benötigen:

1. Sammeln Sie allgemeine App Control-Diagnosedaten, und kopieren Sie sie in %userprofile%\AppData\Local\Temp\DiagOutputDir\CiDiag:

   cidiag.exe /stop
   

   Wenn CiDiag.exe in Ihrer Windows-Version nicht vorhanden ist, sammeln Sie diese Informationen manuell:

   • App Control-Richtlinienbinärdateien aus den Windows- und EFI-Systempartitionen
   • App Control-Ereignisprotokolle
   • AppLocker-Ereignisprotokolle
   • Andere Ereignisprotokolle, die nützliche Informationen aus anderen Windows-Apps und -Diensten enthalten können

2. Speichern Sie die Systeminformationen des Geräts im CiDiag-Ordner:

   msinfo32.exe /report $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\SystemInformation.txt
   

3. Verwenden Sie CiTool.exe , um die Liste der App Control-Richtlinien auf dem Gerät zu inventarisieren. Überspringen Sie diesen Schritt, wenn CiTool.exe in Ihrer Windows-Version nicht vorhanden ist.

   citool.exe -lp -json > $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\CiToolOutput.json
   

4. Exportieren Sie AppLocker-Registrierungsschlüsseldaten in den CiDiag-Ordner:

   reg.exe query HKLM\Software\Policies\Microsoft\Windows\SrpV2 /s > $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerRegistry.txt; reg.exe query HKLM\Software\Policies\Microsoft\Windows\AppidPlugins /s >> $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerRegistry.txt; reg.exe query HKLM\System\CurrentControlSet\Control\Srp\ /s >> $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerRegistry.txt
   

   Hinweis

   Möglicherweise wird ein Fehler angezeigt, dass das System den angegebenen Registrierungsschlüssel oder -wert nicht finden konnte. Dieser Fehler weist nicht auf ein Problem hin und kann ignoriert werden.

5. Kopieren Sie alle AppLocker-Richtliniendateien von %windir%System32\AppLocker in den CiDiag-Ordner:

   Copy-Item -Path $env:windir\System32\AppLocker -Destination $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\ -Recurse -Force -ErrorAction Ignore
   

6. Sammeln Sie Dateiinformationen für die im vorherigen Schritt gesammelten AppLocker-Richtliniendateien:

   Get-ChildItem -Path $env:windir\System32\AppLocker\ -Recurse | select Mode,LastWriteTime,CreationTime,Length,Name >> $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerPolicyFiles.txt
   

7. Exportieren der effektiven AppLocker-Richtlinie:

   Get-AppLockerPolicy -xml -Effective > $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLocker.xml
   

8. Konfigurations- und Statusinformationen zu AppLocker-Diensten erfassen:

   sc.exe query appid > $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerServices.txt; sc.exe query appidsvc >> $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerServices.txt; sc.exe query applockerfltr >> $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerServices.txt
   

Ereignisprotokolle von Core App Control

App Control-Ereignisse werden unter zwei Speicherorten generiert:

• Anwendungs- und Dienstprotokolle - Microsoft - Windows - CodeIntegrity - Operational
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - AppLocker - MSI und Skript

Im CiDiag-Ausgabeverzeichnis heißen diese Ereignisprotokolle CIOperational.evtx bzw. ALMsiAndScript.evtx.

Andere Windows-Ereignisprotokolle, die möglicherweise nützlich sind

Manchmal können Sie die Informationen in den App Control-Kernereignisprotokollen mit Informationen ergänzen, die in diesen anderen Ereignisprotokollen enthalten sind. CiDiag.exe sammelt nicht die kursiv dargestellten.

• Anwendungs- und Dienstprotokolle - Microsoft - Windows - CodeIntegrity - Ausführlich
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - AppLocker - EXE und DLL
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - AppLocker - App-Bereitstellung
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - AppLocker - Gepackte App-Ausführung
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - AppID - Betrieb
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - CAPI2 - Betrieb
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - Device Guard - Operational
• Anwendungs- und Dienstprotokolle - Microsoft - Windows - PowerShell - *
• Windows – Anwendung
• Windows – System

2. Verwenden der Diagnose- und Protokolldaten, um Probleme zu identifizieren

Nachdem Sie die erforderlichen Diagnoseinformationen von einem Gerät gesammelt haben, können Sie mit der Analyse der im vorherigen Abschnitt gesammelten Diagnosedaten beginnen.

1. Überprüfen Sie den Satz der App Control-Richtlinien, die aktiv sind und erzwungen werden. Vergewissern Sie sich, dass derzeit nur die Richtlinien aktiv sind, von denen Sie erwarten, dass sie aktiv sind. Achten Sie auf die Windows-Posteingangsrichtlinien , die möglicherweise ebenfalls aktiv sind. Sie können eine der folgenden Methoden verwenden:

   • Überprüfen Sie ggf. die Ausgabe von CiTool.exe -lp, die als CiToolOutput.json im CiDiag-Ausgabeverzeichnis gespeichert wurde. Weitere Informationen finden Sie unter Verwenden von Microsoft Edge zum Anzeigen der formatierten JSON-Datei.
   • Überprüfen Sie alle Richtlinienaktivierungsereignisse aus dem Kernereignisprotokoll der App-Steuerung unter Anwendungs- und Dienstprotokolle - Microsoft - Windows - CodeIntegrity - Operational. Im CiDiag-Ausgabeverzeichnis heißt dieses Ereignisprotokoll CIOperational.evtx.

2. Überprüfen Sie alle Blockereignisse für ausführbare Dateien, DLLs und Treiber aus dem App Control-Kernereignisprotokoll unter Anwendungs- und Dienstprotokolle - Microsoft - Windows - CodeIntegrity - Operational. Im CiDiag-Ausgabeverzeichnis heißt dieses Ereignisprotokoll CIOperational.evtx. Verwenden Sie Informationen aus den Blockereignissen und ihren korrelierten 3089-Signaturdetails-Ereignissen, um unerklärliche oder unerwartete Blöcke zu untersuchen. Weitere Informationen finden Sie im Beispiel einer blockierten ausführbaren Datei, das weiter unten in diesem Artikel beschrieben wird.

3. Überprüfen Sie alle Blockereignisse für App-Pakete, MSI-Installationsprogramme, Skripts und COM-Objekte aus dem Hauptereignisprotokoll für die Skripterzwingung, das sich unter Anwendungs- und Dienstprotokolle – Microsoft – Windows – AppLocker – MSI und Skript befindet. Im CiDiag-Ausgabeverzeichnis heißt dieses Ereignisprotokoll ALMsiAndScript.evtx. Verwenden Sie Informationen aus den Blockereignissen und ihren korrelierten 8038-Signaturdetails-Ereignissen, um unerklärliche oder unerwartete Blöcke zu untersuchen.

Die meisten Probleme im Zusammenhang mit der App-Steuerung, einschließlich App- und Skriptfehlern, können mithilfe der vorherigen Schritte diagnostiziert werden.

Ereignisanalyse für ein Beispiel für eine blockierte ausführbare Datei

Hier sehen Sie ein Beispiel für detaillierte EventData aus einem typischen App Control-Erzwingungsmodus-Blockereignis 3077 und einem der korrelierten 3089-Signaturinformationsereignisse. Die Tabellen, die jedem Ereignisscreenshot folgen, beschreiben einige der in den Ereignissen enthaltenen Elemente. Im Anschluss an die Ereignisbeschreibungen folgt eine exemplarische Vorgehensweise, in der Schritt für Schritt erläutert wird, wie Sie die Ereignisse verwenden können, um zu verstehen, warum die Sperre aufgetreten ist.

Ereignis 3077 – App Control-Erzwingungsblockereignis

Ereignis 3089 – Ereignis "Signaturinformationen im App-Steuerelement"

Schritt-für-Schritt-Anleitung für die Beispielereignisse 3077 und 3089

Sehen wir uns nun an, wie Sie die Ereignisdaten in den Beispielereignissen 3077 und 3089 verwenden, um zu verstehen, warum die App Control-Richtlinie diese Datei blockiert hat.

Verstehen, welche Datei blockiert wird und welchen Blockkontext sie haben

Suchen Sie unter Bezugnahme auf das 3077-Ereignis die Informationen, die die Richtlinie, die blockierte Datei und den übergeordneten Prozess identifizieren, der versucht hat, sie auszuführen. Berücksichtigen Sie diese Kontextinformationen, um zu bestimmen, ob der Block erwartet und gewünscht wird.

In dem Beispiel ist die zu blockierende Datei PowerShell.exe, die Teil von Windows ist und normalerweise erwartet wird, dass sie ausgeführt wird. In diesem Fall basierte die Richtlinie jedoch auf der Richtlinienvorlage für Windows im S-Modus, die die Ausführung von Skripthosts nicht zulässt, um die Angriffsfläche einzuschränken. Für den S Modus ist dieses Blockierungsereignis ein Erfolg. Aber nehmen wir an, dass der Richtlinienautor sich dieser Einschränkung nicht bewusst war, als er die Vorlage ausgewählt hat, und behandeln diese Sperre als unerwartet.

Ermitteln Sie, warum die App Steuerung die Datei abgelehnt hat

In Bezug auf das 3077-Ereignis sehen wir, dass die angeforderte Signaturstufe von 2 bedeutet, dass der Code die App Control-Richtlinie erfüllen muss. Die validierte Signaturstufe von 1 bedeutet jedoch, dass der Code behandelt wurde, als wäre er nicht signiert. "Nicht signiert" kann bedeuten, dass die Datei wirklich nicht signiert war, signiert wurde, aber mit einem ungültigen Zertifikat versehen ist, oder signiert wurde, aber keine von der App Control-Richtlinie zugelassenen Zertifikate enthält.

Sehen wir uns nun die korrelierten 3089-Ereignisse für die blockierte Datei an. In diesem Beispiel wird nur die erste Signatur (Signaturindex 0) betrachtet, die in einer Datei mit mehreren Signaturen gefunden wurde. Für diese Signatur beträgt die ValidatedSigningLevel 12, d. h., sie verfügt über eine Microsoft Windows-Produktsignatur. Der VerificationError von 21 bedeutet, dass die Signatur die App Control-Richtlinie nicht bestanden hat.

Es ist wichtig, die Informationen für jedes korrelierte 3089-Ereignis zu überprüfen, da jede Signatur einen anderen ValidatedSigningLevel und VerificationError aufweisen kann.

3. Beheben allgemeiner Probleme

Nachdem Sie die App Control-Diagnosedaten analysiert haben, können Sie Maßnahmen ergreifen, um das Problem zu beheben, oder weitere Debugschritte ausführen. Im Folgenden finden Sie einige häufige Probleme und Schritte, die Sie versuchen können, um das Grundproblem zu beheben oder weiter einzugrenzen:

Problem: Eine Datei wurde blockiert, die Sie zulassen möchten

• Verwenden Sie Daten aus den wichtigsten App Control-Ereignisprotokollen, um Regeln hinzuzufügen, die die blockierte Datei zulassen.
• Stellen Sie die Datei oder App mithilfe eines verwalteten Installationsprogramms erneut bereit, wenn Ihre Richtlinie verwalteten Installationsprogrammen vertraut.

Problem: Eine unerwartete Richtlinie ist aktiv

Diese Bedingung kann vorliegen, wenn:

• Eine Richtlinie wurde entfernt, aber das System wurde nicht neu gestartet.
• Eine Richtlinie wurde teilweise entfernt, aber eine Kopie der Richtlinie ist noch in der System- oder EFI-Partition vorhanden.
• Eine Richtlinie mit der PolicyId {A244370E-44C9-4C06-B551-F6016E563076} (Format für einzelne Richtlinie) wurde vor der Aktivierung an den Speicherort für Richtlinien im Format für mehrere Richtlinien kopiert, was zu einer doppelten Richtlinienbinärdatei auf dem Datenträger führte. Suchen Sie nach SiPolicy.p7b- und {A244370E-44C9-4C06-B551-F6016E563076}.cip-Dateien in den System- und EFI-Partitionen.
• Eine Richtlinie wurde fälschlicherweise auf dem Gerät bereitgestellt.
• Ein böswilliger Akteur mit Administratorzugriff hat eine Richtlinie angewendet, um Denial-of-Service für einige kritische Prozesse zu verursachen.

Um ein solches Problem zu beheben, befolgen Sie die Anweisungen zum Entfernen der App Control-Richtlinien für die identifizierte Richtlinie.

Problem: Ein unbehandelter App-Fehler tritt auf, und es werden keine App Control-Ereignisse beobachtet

Einige Apps ändern ihr Verhalten, wenn eine App Control-Richtlinie im Benutzermodus aktiv ist, was zu unerwarteten Fehlern führen kann. Es kann auch ein Nebeneffekt der Skripterzwingung für Apps sein, die das von den Skripthosts implementierte Erzwingungsverhalten nicht ordnungsgemäß verarbeiten.

Versuchen Sie, die Grundursache durch die folgenden Aktionen zu isolieren:

• Überprüfen Sie die anderen in Abschnitt 1 dieses Artikels aufgeführten Ereignisprotokolle auf Ereignisse, die den unerwarteten App-Fehlern entsprechen.
• Ersetzen Sie die App Control-Richtlinie vorübergehend durch eine andere Richtlinie, die die Skripterzwingung deaktiviert , und führen Sie den Test erneut aus.
• Ersetzen Sie die App Control-Richtlinie vorübergehend durch eine andere Richtlinie, die alle COM-Objekte zulässt , und wiederholen Sie den Test.
• Ersetzen Sie die App Control-Richtlinie vorübergehend durch eine andere Richtlinie, die andere Richtlinienregeln lockert, und führen Sie den Test erneut durch.

Problem: Eine von einem verwalteten Installationsprogramm bereitgestellte App funktioniert nicht

Führen Sie die folgenden Schritte aus, um Probleme mithilfe des verwalteten Installationsprogramms zu beheben:

• Überprüfen Sie, ob die App Control-Richtlinie, die die App blockiert, die Option zum Aktivieren des verwalteten Installationsprogramms enthält.
• Überprüfen Sie, ob die effektive AppLocker-Richtlinie $env:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLocker.xml korrekt ist, wie unter Von einem verwalteten Installationsprogramm bereitgestellte Apps automatisch zulassen.
• Überprüfen Sie, ob die AppLocker-Dienste ausgeführt werden. Diese Informationen finden Sie inenv:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerServices.txt $, die in Abschnitt 1 dieses Artikels erstellt wurden.
• Überprüfen Sie, ob eine AppLocker-Datei mit dem Namen MANAGEDINSTALLER vorhanden ist. APPLOCKER ist im zuvor erstellten CiDiag-Ordner vorhanden. Andernfalls wiederholen Sie die Schritte zum Bereitstellen und Aktivieren der AppLocker-Konfiguration für das verwaltete Installationsprogramm.
• Starten Sie den verwalteten Installationsprogrammprozess neu, und überprüfen Sie, ob ein 8002-Ereignis im AppLocker – EXE- und DLL-Ereignisprotokoll für den verwalteten Installationsprozess mit PolicyName = MANAGEDINSTALLER beobachtet wird. Wenn stattdessen ein Ereignis mit 8003 oder 8004 mit PolicyName = MANAGEDINSTALLER angezeigt wird, überprüfen Sie die ManagedInstaller-Regeln in der AppLocker-Richtlinien-XML-Datei, und stellen Sie sicher, dass eine Regel mit dem verwalteten Installationsprozess übereinstimmt.
• Verwenden Sie fsutil.exe , um zu überprüfen, ob Dateien, die vom verwalteten Installationsprogrammprozess geschrieben wurden, über das erweiterte Attribut "Ursprung des verwalteten Installationsprogramms" verfügen. Stellen Sie andernfalls die Dateien mit dem verwalteten Installationsprogramm erneut bereit, und überprüfen Sie es erneut.
• Testen Sie die Installation einer anderen App mithilfe des verwalteten Installationsprogramms.
• Fügen Sie ein weiteres verwaltetes Installationsprogramm zu Ihrer AppLocker-Richtlinie hinzu, und testen Sie die Installation mithilfe des anderen verwalteten Installationsprogramms.
• Überprüfen Sie, ob die App bei verwalteten Installationsprogrammen auf eine bekannte Einschränkung stößt. Wenn ja, müssen Sie die App auf andere Weise autorisieren.

Problem: Eine App, von der Sie erwartet haben, dass der Intelligent Security Graph (ISG) dies zulässt, funktioniert nicht

Führen Sie die folgenden Schritte aus, um Probleme mit ISG zu debuggen:

• Überprüfen Sie, ob die App Control-Richtlinie, die die App blockiert, die Option zum Aktivieren des intelligenten Sicherheitsdiagramms enthält.
• Überprüfen Sie, ob die AppLocker-Dienste ausgeführt werden. Diese Informationen finden Sie inenv:USERPROFILE\AppData\Local\Temp\DiagOutputDir\CiDiag\AppLockerServices.txt $, die in Abschnitt 1 dieses Artikels erstellt wurden.
• Verwenden Sie fsutil.exe , um zu überprüfen, ob Dateien das erweiterte ISG-Ursprungsattribut haben. Stellen Sie andernfalls die Dateien mit dem verwalteten Installationsprogramm erneut bereit, und überprüfen Sie es erneut.
• Überprüfen Sie, ob die App auf eine bekannte Einschränkung bei ISG stößt.

Problem: Microsoft Defender Antivirus befindet sich nach Aktivierung von App Control oder ISG im passiven Modus

Wenn Sie App Control mit der ISG oder Smart App Control aktivieren, kann Microsoft Defender Antivirus im passiven oder hybriden Modus ausgeführt werden. Dieser Zustand ist ein erwartetes Verhalten, kein Fehler. App Control verwendet die von Defender bereitgestellten Zuverlässigkeitsinformationen im Rahmen seiner Codeausführungsentscheidungen. Dieser Status ändert nichts daran, wie sich Defender ansonsten im System verhält. Jeglicher Antiviren-Echtzeitschutz wird weiterhin von der von Ihnen gewählten Antivirenlösung bereitgestellt.

Um den Betriebsmodus von Defender zu überprüfen, führen Sie den folgenden Befehl in PowerShell aus, und überprüfen Sie den AMRunningMode Wert:

Get-MpComputerStatus | Select-Object AMRunningMode

Erwarten Sie einen Wert für den passiven Modus oder Hybridmodus, wenn Sie App Control absichtlich mit dem ISG aktiviert haben oder Smart App Control aktiviert ist. Sie müssen nur untersuchen, ob Sie App Control mit dem ISG oder Smart App Control nicht aktiviert haben und diesen Modus nicht erwarten, oder wenn Sie auch kein Antivirenprogramm eines Drittanbieters verwenden. Überprüfen Sie in diesem Fall, welche App Control-Richtlinien aktiv sind, und überprüfen Sie Microsoft Defender Antivirus und App Control.

4. Melden Sie ggf. Probleme an Microsoft.

Wenn Sie anhand der in diesem Artikel behandelten Anleitungen glauben, ein Produktproblem identifiziert zu haben, melden Sie das Problem an Microsoft.

• Kunden mit Microsoft Premier Support sollten eine Serviceanfrage über normale Kanäle protokollieren.
• Alle anderen Kunden können Probleme über den Windows-Feedback-Hub direkt an das App Control-Produktteam melden. Wählen Sie die Kategorie Sicherheit & Datenschutz – Anwendungssteuerung aus, um sicherzustellen, dass das Problem ordnungsgemäß an das App Control-Produktteam weitergeleitet wird.

Stellen Sie beim Melden von Problemen sicher, dass Sie die folgenden Informationen angeben:

• Alle zuvor beschriebenen App Control-Diagnosedaten .
• Wenn möglich, die blockierte(n) Datei(en).
• Klare Anweisungen zum Reproduzieren des Problems.