应用组策略时，安装了 Sysmon 的 Windows Server 在启动时停止响应 - Windows Server

本文可帮助解决在安装系统监视器（Sysmon）时 Windows Server 在应用组策略时停止响应的问题。

Sysmon 驱动程序（SysmonDrv.sys）截获从用户模式到内核的转换，然后将工作发送到其用户模式进程 Sysmon64.exe。 大多数 Sysmon64.exe 线程在关键部分等待。 关键部分所有者正在等待本地安全机构子系统服务 （LSASS） 线程。 但是，LSASS 所有者线程正在尝试获取其他关键部分。 许多其他 LSASS 线程被阻止等待此关键部分。

拥有线程的关键部分在 SysmonDrv 的内核中被阻止，以用户模式通信来处理 Sysmon64.exe，这观察到该线程在 LSASS 线程上等待。 这将导致死锁。

可以通过将 Sysmon升级到最新版本来解决此问题，也可以通过禁用FileBlockShredding来解决此问题。

禁用 FileBlockShredding

若要解决此问题，请执行以下步骤：

1. 通过运行以下 cmdlet 查找 XML 配置文件：

   PS C:\Sysmon> .\Sysmon64.exe -c
   
   Sysmon (internal) v15.00 - Monitors system events
   By Mark Russinovich and Thomas Garnier
   Copyright (C) 2014-2023 Microsoft Corporation
   Using libxml2. libxml2 is Copyright (C) 1998-2012 Daniel Veillard. All Rights Reserved.
   Sysinternals - www.sysinternals.com (http://www.sysinternals.com/)
   
   Current configuration:
   - Service name:                  Sysmon64
   - Driver name:                   SysmonDrv
   - Config file:                   .\file-delete.xml
   

2. 消除以下条件：

   <FileBlockShredding onmatch="...">
    ...
   </FileBlockShredding>