CS12:客戶DC發現大量Event 5152 日志，請求幫助排查原因

客戶問題概括：

客戶稱在域控上發現大量ID 為5152的安全日志，幾乎每秒3個，希望給予相關檢查。

日志如下:

The Windows Filtering Platform has blocked a packet.

Application Information:
Process ID: 0
Application Name: -

Network Information:
Direction: Inbound
Source Address: 0.0.0.0
Source Port: 68
Destination Address: 255.255.255.255
Destination Port: 67
Protocol: 17

Filter Information:
Filter Run-Time ID: 437032
Layer Name: Transport
Layer Run-Time ID: 13

解決方法:

分析日志得知,此日志為Windows 防火墻審計日志，根據源和目的端口及WFP二層過濾，判斷可能為DHCP廣播相關數據。并且客戶啟用了WFP 過濾日志。關閉此日志記錄即可.

舉例:
使用以下命令關閉此日志即可:

auditpol /set /category:"system" /subCategory:"Filtering Platform Connection" /Failure:Disable
auditpol /set /category:"system" /subCategory:"Filtering Platform Packet Drop" /Failure:Disable

然后 gpupdate /force 刷新組策略