41.2 不受約束程序管理如何工作

Windows 作業系統會追蹤目前執行的所有程序。可透過檢視「Windows 工作管理員」中的「處理程序」索引標籤 (在工作列上按一下滑鼠右鍵，然後按一下「工作管理員」>「處理程序」) 來查看此清單。

每個程序均有一個程序識別碼 (Process Identifier, PID) 和一個父程序識別碼 (父系 PID)。父 PID 可識別啟動它的程序。應用程式啟動器使用 Windows API 每三秒取回一次程序清單 (包含 PID 和父 PID)。使用父 PID，應用程式啟動器會確定程序是否為不受約束程序。如果父 PID 不是應用程式啟動器的 PID，或如果程序不是以 LocalSystem 使用者身份執行，則它是一個不受約束程序。

應用程式啟動器識別到不受約束程序後，會執行適當的管理動作，即忽略或終止該程序，視為例外清單中識別的任何程序。如果啟用了記錄，則它還會將不受約束程序資訊寫入記錄檔案。