¿Qué significa el código NTSTATUS 0xC0E90002 (STATUS_SYSTEM_INTEGRITY_POLICY_VIOLATION)?

STATUS_SYSTEM_INTEGRITY_POLICY_VIOLATION

Qué significa STATUS_SYSTEM_INTEGRITY_POLICY_VIOLATION

Code Integrity/App Control llegó a una decisión de enforcement y el image, driver, script u otra acción protegida no satisface la policy activa. La policy puede estar completamente sana: este status expresa precisamente que una regla de seguridad produjo el block.

Antes de desactivar enforcement, recopile el evento de CodeIntegrity. Los eventos de App Control pueden identificar archivo, policy, signer, hash y rule context; esa información permite crear una allow rule estrecha. Deshabilitar la policy primero elimina la mejor evidencia del motivo real.

Qué comprobar

• Evento CodeIntegrity del mismo intento y policy ID.
• Signer/hash/file attributes del contenido bloqueado.
• Si la policy estaba en enforced o audit mode.
• Genere una excepción mínima sólo si el software ha sido aprobado.

Referencias técnicas

• Microsoft: App Control event IDs
• Microsoft: Audit App Control policies
• Microsoft Open Specifications: NTSTATUS values