客户问题概括:
客户称在域控上发现大量ID 为5152的安全日志,几乎每秒3个,希望给予相关检查。
日志如下:
The Windows Filtering Platform has blocked a packet.
Application information:
Process ID: 0
Application Name: -
Network information:
Direction: Inbound
Source Address: 0.0.0.0
Source Port: 68
Destination Address: 255.255.255.255
Destination Port: 67
Protocol: 17
Filter information:
Filter Run-Time ID: 437032
Layer Name: Transport
Layer Run-Time ID: 13
解决方法:
分析日志得知,此日志为Windows 防火墙审计日志,根据源和目的端口及WFP二层过滤,判断可能为DHCP广播相关数据。并且客户启用了WFP 过滤日志。关闭此日志记录即可.
举例:
使用以下命令关闭此日志即可:
auditpol /set /category:"system" /subCategory:"Filtering Platform Connection" /Failure:disable
auditpol /set /category:"system" /subCategory:"Filtering Platform Packet Drop" /Failure:disable
然后 gpupdate /force 刷新组策略
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。