Anhang 6. Programmereignisse

Im Kaspersky Security Center-Ereignisprotokoll und im Windows-Ereignisprotokoll werden protokolliert: Informationen über die Ausführung der einzelnen Komponenten von Kaspersky Endpoint Security, über Ereignisse bei der Datenverschlüsselung, über den Abschluss der einzelnen Aufgaben zur Virensuche, der Update-Aufgabe und der Aufgabe zur Integritätsprüfung, sowie über die allgemeine Programmausführung.

Kaspersky Endpoint Security generiert Ereignisse der folgenden Typen: allgemeine Ereignisse und spezifische Ereignisse. Spezifische Ereignisse werden nur von Kaspersky Endpoint Security für Windows erstellt. Spezifische Ereignisse haben eine einfache ID, z. B. 000000cb. Spezifische Ereignisse enthalten die folgenden obligatorischen Parameter:

GNRL_EA_DESCRIPTION ist der Inhalt des Ereignisses.
GNRL_EA_ID ist die Dienst-ID des Ereignisses.
GNRL_EA_SEVERITY ist der Status des Ereignisses. 1 – Informative Nachricht , 2 – Warnung , 3 – Funktionsfehler , 4 – Kritisch .
EVENT_TYPE_DISPLAY_NAME ist der Titel des Ereignisses.
TASK_DISPLAY_NAME ist der Name der Programmkomponente, die das Ereignis initiiert hat.

Allgemeine Ereignisse können sowohl von Kaspersky Endpoint Security für Windows erstellt werden als auch von anderen Kaspersky-Programmen (z. B. Kaspersky Security für Windows Server). Allgemeine Ereignisse haben eine komplexere ID, z. B. GNRL_EV_VIRUS_FOUND. Allgemeine Ereignisse enthalten neben den obligatorischen Einstellungen auch erweiterte Einstellungen.

Zustand
Komponente	Systemaudit
Windows-Ereignis-ID	`201`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_LICENSE_EXPIRATION`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Schutz vor bedrohlichen Dateien Schutz vor Web-Bedrohungen Schutz vor E-Mail-Bedrohungen AMSI-Schutz Programm-Überwachung Verhaltensanalyse Exploit-Prävention Schadsoftware-Untersuchung
Windows-Ereignis-ID	`302`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_VIRUS_FOUND`
Ereignisparameter	`GNRL_EA_PARAM_1` ist der Hash des Objekts (SHA256). `GNRL_EA_PARAM_2` ist der Name des Objekts. `GNRL_EA_PARAM_5` ist der Name der Bedrohung gemäß der Kaspersky-Klassifizierung, z. B. `EICAR-Test-File`. `GNRL_EA_PARAM_7` ist der Name des Sitzungsbenutzers. `GNRL_EA_PARAM_8` ist der Bedrohungstyp, z. B. `Trojware`. `GNRL_EA_PARAM_9` sind zusätzliche Informationen über das erkannte Objekt: Anwendungskomponente (`engine`). `1` – Schutz vor bedrohlichen Dateien. `2` – Schutz vor E-Mail-Bedrohungen. `3` – Schutz vor Web-Bedrohungen. `6` – Programm-Überwachung. `7` – Firewall. `8` – Verhaltensanalyse. `9` – Exploit-Prävention. `10` – Aufgabe Virensuche. `11` – AMSI-Schutz. Technologien zum Erkennen von Bedrohungen (`method`). `1` – Maschinelles Lernen. `2` – Kaspersky Security Network. `3` – Experten-Analyse. `4` – Verhaltensanalyse. `5` – Automatische Analyse. `6` – Kaspersky Sandbox. Bedrohung wurde erkannt von „Private KSN“ (`denylist`): `true` oder `false`. EDR-Version. Bedrohungs-ID in EDR. MD5-Hash des Objekts.
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Schutz vor bedrohlichen Dateien Programm-Überwachung Verhaltensanalyse Schadsoftware-Untersuchung
Windows-Ereignis-ID	`313`
Ereignis-ID in Kaspersky Security Center	`00000139`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Schutz vor Web-Bedrohungen
Windows-Ereignis-ID	`362`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_VIRUS_FOUND_AND_BLOCKED`
Ereignisparameter	`GNRL_EA_PARAM_2` ist der Pfad des Objekts. `GNRL_EA_PARAM_5` ist der Name des Objekts gemäß der Kaspersky-Klassifizierung. `GNRL_EA_PARAM_7` ist der Name des Sitzungsbenutzers. `GNRL_EA_PARAM_8` ist der Bedrohungstyp, z. B. `Trojware`. `GNRL_EA_PARAM_9` sind zusätzliche Informationen über das erkannte Objekt: Anwendungskomponente (`engine`). Technologien zum Erkennen von Bedrohungen (`method`). Bedrohung wurde erkannt von „Private KSN“ (`denylist`): `true` oder `false`.
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Adaptive Kontrolle von Anomalien
Windows-Ereignis-ID	`2200`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_ADSEC_DETECT`
Ereignisparameter	`GNRL_EA_PARAM_1` ist der Name der Regel der „Adaptiven Kontrolle von Anomalien“. `GNRL_EA_PARAM_2` ist die ID der heuristischen Regel. `GNRL_EA_PARAM_3` ist der Name des Sitzungsbenutzers. `GNRL_EA_PARAM_4` ist der Quellprozess. `GNRL_EA_PARAM_5` ist das Quellobjekt. `GNRL_EA_PARAM_6` ist der Zielprozess. `GNRL_EA_PARAM_7` ist das Zielobjekt. `GNRL_EA_PARAM_8` sind zusätzliche Informationen über das erkannte Objekt: Hashs des Quellprozesses bzw. -objekts und des Zielprozesses bzw. -objekts. Prozess wurde blockiert (`verdict_type`): `true` oder `false`. Benutzer-Sicherheits-ID (SID).
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Schutz vor modifizierten USB-Geräten
Windows-Ereignis-ID	`2051`
Ereignis-ID in Kaspersky Security Center	`00000803`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	AMSI-Schutz
Windows-Ereignis-ID	`2200`
Ereignis-ID in Kaspersky Security Center	`00000898`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Firewall
Windows-Ereignis-ID	`602`
Ereignis-ID in Kaspersky Security Center	`00000329`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Schutz vor Netzwerkbedrohungen
Windows-Ereignis-ID	`651`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_ATTACK_DETECTED`
Ereignisparameter	`GNRL_EA_PARAM_1` ist der Name des Angriffs. `GNRL_EA_PARAM_2` ist das Protokoll. `GNRL_EA_PARAM_3` ist die IP-Adresse des Computers, der als Quelle des Netzwerkangriffs fungiert. Die IP-Adresse wird in der Byte-Reihenfolge des Hosts angegeben. Zum Beispiel `2886729929` für `172.16.0.201`. `GNRL_EA_PARAM_4` ist die Portnummer. `GNRL_EA_PARAM_5` ist eine IPv6-Adresse, z. B. `12B012B012B012B012B012B012B012B0`. `GNRL_EA_PARAM_6` ist die IP-Adresse des Computers, der das Ziel des Netzwerkangriffs bildet. Die IP-Adresse wird in der Byte-Reihenfolge des Hosts angegeben. Zum Beispiel `2886729929` für `172.16.0.201`.
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Programmkontrolle
Windows-Ereignis-ID	`702`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_APPLICATION_LAUNCH_DENIED`
Ereignisparameter	`GNRL_EA_PARAM_2` ist der Name des Sitzungsbenutzers. `GNRL_EA_PARAM_3` ist die ID der manuell erstellten Kategorie. `GNRL_EA_PARAM_4` ist die ID der Anwendungskategorie. `GNRL_EA_PARAM_5` sind Informationen über die digitale Signatur der Anwendung. `GNRL_EA_PARAM_6` ist der Name der ausführbaren Datei der Anwendung (z. B. chrome.exe). `GNRL_EA_PARAM_7` ist der Pfad der ausführbaren Datei. `GNRL_EA_PARAM_8` ist der Hash des Objekts (SHA256). `GNRL_EA_PARAM_9` ist die Version der Anwendung, die der Benutzer auszuführen versucht.
Windows-Ereignisprotokoll (Standard)	`–`
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Web-Kontrolle
Windows-Ereignis-ID	`752`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_WEB_URL_BLOCKED`
Ereignisparameter	`GNRL_EA_PARAM_1` ist die URL. `GNRL_EA_PARAM_2` ist der Name des Sitzungsbenutzers. `GNRL_EA_PARAM_3` ist der Name der Regel der „Web-Kontrolle“.
Windows-Ereignisprotokoll (Standard)	`–`
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Gerätekontrolle
Windows-Ereignis-ID	`802`
Ereignis-ID in Kaspersky Security Center	`GNRL_EV_DEVCTRL_DEV_PLUG_DENIED`
Ereignisparameter	`GNRL_EA_PARAM_1` ist die Hardware-ID (HWID). `GNRL_EA_PARAM_2` ist der Name des Sitzungsbenutzers.
Windows-Ereignisprotokoll (Standard)	`–`
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Datenbanken-Update
Windows-Ereignis-ID	`1011`
Ereignis-ID in Kaspersky Security Center	`000003f3`
Windows-Ereignisprotokoll (Standard)	`–`
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Virtuelle Datentresore
Windows-Ereignis-ID	`904`
Ereignis-ID in Kaspersky Security Center	`00000388`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Endpoint Sensor
Windows-Ereignis-ID	`2100`
Ereignis-ID in Kaspersky Security Center	`00000834`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Kaspersky Sandbox
Windows-Ereignis-ID	`2252`
Ereignis-ID in Kaspersky Security Center	`000008cc`
Windows-Ereignisprotokoll (Standard)	`–`
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Endpoint Detection and Response
Windows-Ereignis-ID	`2651`
Ereignis-ID in Kaspersky Security Center	`00000a5b`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Protokollanalyse
Windows-Ereignis-ID	`2800`
Ereignis-ID in Kaspersky Security Center	`00000af0`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Verhaltensanalyse Exploit-Prävention Schutz vor Web-Bedrohungen
Windows-Ereignis-ID	`331`
Ereignis-ID in Kaspersky Security Center	–
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)	–

Zustand
Komponente	Schutz vor bedrohlichen Dateien Verhaltensanalyse Programm-Überwachung Schadsoftware-Untersuchung
Windows-Ereignis-ID	`310`
Ereignis-ID in Kaspersky Security Center	`00000136`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Programm-Überwachung
Windows-Ereignis-ID	`320`
Ereignis-ID in Kaspersky Security Center	`00000140`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)	–

Zustand
Komponente	Programm-Überwachung Schutz vor bedrohlichen Dateien Schadsoftware-Untersuchung
Windows-Ereignis-ID	`324`
Ereignis-ID in Kaspersky Security Center	–
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)	–

Zustand
Komponente	Verhaltensanalyse Exploit-Prävention Programm-Überwachung Schutz vor bedrohlichen Dateien Schadsoftware-Untersuchung
Windows-Ereignis-ID	`323`
Ereignis-ID in Kaspersky Security Center	–
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)	–

Zustand
Komponente	Schutz vor E-Mail-Bedrohungen
Windows-Ereignis-ID	`342`
Ereignis-ID in Kaspersky Security Center	–
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)	–

Zustand
Komponente	Integritätsprüfung
Windows-Ereignis-ID	`2002`
Ereignis-ID in Kaspersky Security Center	`000007d2`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Überwachung der Datei-Integrität
Windows-Ereignis-ID	`2900`
Ereignis-ID in Kaspersky Security Center	`00000b54`
Windows-Ereignisprotokoll (Standard)
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Schutz vor E-Mail-Bedrohungen Exploit-Prävention Verhaltensanalyse Schadsoftware-Untersuchung
Windows-Ereignis-ID	`329`
Ereignis-ID in Kaspersky Security Center	`00000149`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)

Zustand
Komponente	Verhaltensanalyse Exploit-Prävention
Windows-Ereignis-ID	`458`
Ereignis-ID in Kaspersky Security Center	`000001ca`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)	–

Zustand
Komponente	Daten löschen
Windows-Ereignis-ID	`2251`
Ereignis-ID in Kaspersky Security Center	`000008cb`
Windows-Ereignisprotokoll (Standard)	–
Ereignisprotokoll von Kaspersky Security Center (Standard)	–