Политика управления приложениями заблокировала этот файл: причины и решения

Что означает ошибка «Политика управления приложениями заблокировала этот файл»

При попытке запустить программу или оснастку Windows (например, mmc.exe, devmgmt.msc) пользователь может увидеть сообщение: «Политика управления приложениями заблокировала этот файл» или «Это приложение заблокировано вашим системным администратором». Это не всегда означает, что настоящий администратор намеренно ограничил доступ. Чаще всего блокировка вызвана:

• Активными политиками AppLocker или Политиками ограниченного использования программ (SRP).
• Действием вредоносного ПО, которое самостоятельно прописывает запрещающие правила.
• Случайными изменениями в реестре или групповых политиках после обновлений системы.

Ошибка может появляться даже на домашнем компьютере, где у пользователя есть права администратора. Важно понимать: сообщение указывает на то, что механизм управления приложениями (App Control for Business) или AppLocker сработал и заблокировал выполнение файла. Для устранения необходимо либо отключить соответствующую политику, либо добавить файл в список разрешённых.

Основные причины блокировки: AppLocker, SRP и вредоносное ПО

В Windows существует несколько механизмов, которые могут выдавать подобную ошибку:

1. AppLocker — компонент, позволяющий администраторам задавать правила запуска исполняемых файлов, скриптов, установщиков и упакованных приложений. Если правило запрещает запуск mmc.exe или другого файла, появляется блокировка.
2. Политики ограниченного использования программ (SRP) — более старый механизм, который также может быть активирован. В редакторе локальной групповой политики (gpedit.msc) можно увидеть раздел «Политики ограниченного использования программ». Если уровень безопасности по умолчанию установлен как «Запрещено», все программы будут блокироваться, кроме явно разрешённых.
3. Вредоносное ПО — некоторые вирусы и трояны изменяют политики безопасности, чтобы заблокировать запуск антивирусных утилит, редактора реестра или диспетчера задач. В этом случае блокировка — симптом заражения.
4. Некорректные обновления или сбои системы — иногда после установки обновлений Windows или манипуляций с папкой catroot2 политики сбрасываются или повреждаются, что приводит к ложным блокировкам.

Понимание причины — первый шаг к выбору правильного метода исправления.

Диагностика: как определить, какая политика блокирует файл

Прежде чем вносить изменения, стоит точно выяснить, какой именно компонент вызывает блокировку. Для этого можно использовать встроенные средства диагностики:

• Просмотр журналов событий: откройте «Просмотр событий» → «Журналы приложений и служб» → Microsoft → Windows → CodeIntegrity → Operational. Здесь находятся события с идентификаторами 3076 (аудит) и 3077 (блокировка). В них указаны имя заблокированного файла, путь, хэш и имя политики, которая вызвала блокировку.
• События AppLocker: в разделе Microsoft → Windows → AppLocker → MSI и сценарии можно найти события блокировки для скриптов и установщиков.
• Использование CiTool.exe (доступен в Windows 10 версии 1903 и новее): команда citool.exe -lp -json выводит список активных политик управления приложениями в формате JSON. Это позволяет увидеть, какие политики применяются.
• Проверка реестра: раздел HKLM\SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers содержит настройки SRP. Значение параметра DefaultLevel указывает уровень безопасности по умолчанию (40000 — неограниченный, 262144 — обычный пользователь, 131072 — запрещено).

Если вы не являетесь администратором сети, а ошибка появляется на личном ПК, скорее всего, проблема в локальных политиках или действиях вредоносного ПО.

Исправление через редактор локальной групповой политики (gpedit.msc)

Этот метод подходит для Windows 11/10 Pro, Enterprise и Education. Для домашней версии используйте редактор реестра.

1. Нажмите Win+R, введите gpedit.msc и нажмите Enter.
2. Перейдите по пути: Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Политики ограниченного использования программ.
3. Если раздел открывается, проверьте Уровни безопасности. Если по умолчанию выбран «Запрещено» или «Обычный пользователь», щёлкните правой кнопкой мыши по «Неограниченный» и выберите «По умолчанию».
4. Зайдите в Дополнительные правила и удалите любые правила с уровнем «Запрещено» (кроме стандартных, если они не мешают).
5. Перейдите в Политики управления приложениями → AppLocker → Исполняемые правила. Если там есть правила, запрещающие запуск нужных файлов, удалите их.
6. Аналогично проверьте Правила упакованных приложений и Правила установщиков.
7. Закройте редактор и перезагрузите компьютер или перезапустите проводник через диспетчер задач.

Если раздел «Политики ограниченного использования программ» не открывается и пишет «не определены», щёлкните по нему правой кнопкой и выберите «Создать политику ограниченного использования программ». После этого повторите шаги 3–4.

Исправление через редактор реестра (для всех версий Windows)

Редактор реестра доступен даже в домашних редакциях Windows. Если он сам заблокирован, используйте .reg-файл (описано ниже).

1. Нажмите Win+R, введите regedit и нажмите Enter.
2. Перейдите к разделу: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers.
3. Найдите параметр DefaultLevel. Установите значение 40000 (шестнадцатеричная система). Это соответствует уровню «Неограниченный».
4. Удалите все подразделы внутри codeidentifiers, кроме 262144 (если он есть). Подразделы с другими именами могут содержать индивидуальные запреты.
5. Проверьте наличие раздела HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\SrpV2. Если он существует, его можно удалить целиком (предварительно создав точку восстановления).
6. Проверьте разделы HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun и аналогичный в HKEY_LOCAL_MACHINE. Если они есть, удалите их.
7. Закройте редактор и перезагрузите компьютер.

Если редактор реестра заблокирован: создайте текстовый файл с расширением .reg следующим содержимым:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers]
"DefaultLevel"=dword:00040000

[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\SrpV2]

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\]

[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\]

Скопируйте файл на проблемный компьютер и запустите его двойным щелчком. Подтвердите добавление данных в реестр и перезагрузите систему.

Использование диагностических инструментов Windows для точной настройки

Если стандартные методы не помогли, можно углубиться в диагностику с помощью специализированных утилит:

• CiDiag.exe — инструмент для сбора диагностических данных об управлении приложениями. Запустите от имени администратора: cidiag.exe /stop. Он создаст папку %userprofile%\AppData\Local\Temp\DiagOutputDir\CiDiag с журналами событий, копиями политик и системной информацией.
• Анализ событий 3077 и 3089: событие 3077 содержит подробные данные о заблокированном файле: имя, путь, хэши (SHA1, SHA256), имя политики и идентификатор. Событие 3089 предоставляет информацию о подписях файла. Сопоставив их по ActivityID, можно понять, какое правило сработало.
• Проверка целостности системных файлов: если подозреваете повреждение mmc.exe или других компонентов, выполните в командной строке от администратора: sfc /scanfile=C:\Windows\System32\mmc.exe.

Эти инструменты особенно полезны, когда блокировка вызвана не локальными политиками, а политиками, полученными из домена (на рабочем компьютере). В таком случае изменения в локальных политиках могут быть перезаписаны при следующем обновлении групповых политик.

Дополнительные методы: отключение SmartScreen и проверка на вирусы

Иногда ошибка «Это приложение заблокировано в целях защиты» может быть связана не с AppLocker, а с фильтром SmartScreen или настройками контроля учётных записей (UAC).

• Отключение SmartScreen: откройте «Безопасность Windows» → «Управление приложениями» → «Параметры защиты на основе репутации». Временно отключите все опции, связанные с проверкой программ и файлов. После проверки не забудьте включить их обратно.
• Снижение уровня UAC: в редакторе локальной групповой политики (или через secpol.msc) можно отключить контроль учётных записей. Однако это снижает общую безопасность системы, поэтому рекомендуется только для временной диагностики.
• Проверка на вредоносное ПО: если блокировка появилась внезапно и сопровождается другими симптомами (замедление работы, всплывающие окна), запустите сканирование с помощью антивирусных утилит, например, встроенного Защитника Windows или сторонних средств (Malwarebytes, Dr.Web CureIt).

Если после всех действий ошибка сохраняется, возможно, проблема вызвана корпоративной политикой (на рабочем компьютере). В этом случае обратитесь к системному администратору.

Профилактика: как избежать повторного появления ошибки

Чтобы в будущем не сталкиваться с блокировкой приложений, соблюдайте несколько правил:

• Регулярно обновляйте Windows — многие проблемы исправляются в накопительных обновлениях.
• Не отключайте UAC полностью — это снижает защиту от вредоносного ПО.
• Используйте антивирус — своевременное обнаружение угроз предотвратит несанкционированное изменение политик.
• Создавайте точки восстановления перед внесением изменений в реестр или групповые политики.
• Не запускайте подозрительные файлы — многие блокировки возникают после попытки запустить взломанные программы или «активаторы».

Если вы администратор и используете AppLocker для контроля, настраивайте правила аккуратно, проверяя их в режиме аудита перед включением принудительного применения. Это позволит избежать случайной блокировки легитимных приложений.

Вопросы и ответы