附录 6.应用程序事件

有关每个 Kaspersky Endpoint Security 组件的操作、数据加密事件、每个扫描任务的完成、更新任务和完整性检查任务以及应用程序的整体操作的信息都记录在 Kaspersky Security Center 事件日志和 Windows 事件日志中。

Kaspersky Endpoint Security 可生成以下类型的事件：一般事件和特别事件。特别事件仅由 Kaspersky Endpoint Security for Windows 创建。特别事件具有简单 ID，例如 000000cb。特别事件包含以下所需参数：

GNRL_EA_DESCRIPTION 是事件的内容。
GNRL_EA_ID 是事件的服务 ID。
GNRL_EA_SEVERITY 是事件的状态。1 – 信息消息，2 – 警告，3 – 功能失败，4 – 严重。
EVENT_TYPE_DISPLAY_NAME 是事件的标题。
TASK_DISPLAY_NAME 是启动事件的应用程序组件的名称。

一般事件可以由 Kaspersky Endpoint Security for Windows 和其他 Kaspersky 应用程序创建（例如，Kaspersky Security for Windows Server）。一般事件具有更复杂的 ID，例如 GNRL_EV_VIRUS_FOUND。除了必需的设置外，一般事件还包含高级设置。

状态
组件	系统审计
Windows 事件 ID	`201`
Kaspersky Security Center 事件 ID	`GNRL_EV_LICENSE_EXPIRATION`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	文件威胁防护 Web 威胁防护邮件威胁防护 AMSI 保护主机入侵防御行为检测漏洞利用防御恶意软件扫描
Windows 事件 ID	`302`
Kaspersky Security Center 事件 ID	`GNRL_EV_VIRUS_FOUND`
事件参数	`GNRL_EA_PARAM_1` 是对象的哈希 (SHA256)。 `GNRL_EA_PARAM_2` 是对象的名称。 `GNRL_EA_PARAM_5` 是威胁的名称，与 Kaspersky 分类法一致，例如 `EICAR-Test-File`。 `GNRL_EA_PARAM_7` 是会话用户的名称。 `GNRL_EA_PARAM_8` 是威胁的类型，例如，`木马软件`。 `GNRL_EA_PARAM_9` 是检测到的对象的附加信息：应用程序组件 (`引擎`)。 `1` – 文件威胁防护。 `2` – 邮件威胁防护。 `3` – Web 威胁防护。 `6` – 主机入侵防御。 `7` – 防火墙。 `8` – 行为检测。 `9` – 漏洞利用防御。 `10` – 病毒扫描任务。 `11` – AMSI 保护。威胁检测技术 (`方法`)。 `1` – 机器学习。 `2` – 卡巴斯基安全网络。 `3` – 专家分析。 `4` – 行为分析。 `5` – 自动分析。 `6` – Kaspersky Sandbox。由私人 KSN 检测到的威胁（`拒绝列表`）：`启用`或`禁用`。 EDR 版本。 EDR 中的威胁标识符。对象的 MD5 哈希。
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	文件威胁防护邮件威胁防护主机入侵防御恶意软件扫描
Windows 事件 ID	`312`
Kaspersky Security Center 事件 ID	`GNRL_EV_OBJECT_NOTCURED`
事件参数	`GNRL_EA_PARAM_1` 是对象的哈希 (SHA256)。 `GNRL_EA_PARAM_2` 是对象的名称。 `GNRL_EA_PARAM_5` 是威胁的名称，与 Kaspersky 分类法一致，例如 `EICAR-Test-File`。 `GNRL_EA_PARAM_7` 是会话用户的名称。 `GNRL_EA_PARAM_8` 是威胁的类型，例如，`木马软件`。 `GNRL_EA_PARAM_9` 是检测到的对象的附加信息：应用程序组件 (`引擎`)。威胁检测技术 (`方法`)。由私人 KSN 检测到的威胁（`拒绝列表`）：`启用`或`禁用`。 EDR 版本。 EDR 中的威胁标识符。对象的 MD5 哈希。
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	文件威胁防护主机入侵防御行为检测恶意软件扫描
Windows 事件 ID	`313`
Kaspersky Security Center 事件 ID	`00000139`
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）

状态
组件	文件威胁防护 Web 威胁防护邮件威胁防护主机入侵防御 AMSI 保护恶意软件扫描
Windows 事件 ID	`317`
Kaspersky Security Center 事件 ID	`0000013d`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	Web 威胁防护
Windows 事件 ID	`362`
Kaspersky Security Center 事件 ID	`GNRL_EV_VIRUS_FOUND_AND_BLOCKED`
事件参数	`GNRL_EA_PARAM_2` 是对象的路径。 `GNRL_EA_PARAM_5` 是根据 Kaspersky 分类的对象的名称。 `GNRL_EA_PARAM_7` 是会话用户的名称。 `GNRL_EA_PARAM_8` 是威胁的类型，例如，`木马软件`。 `GNRL_EA_PARAM_9` 是检测到的对象的附加信息：应用程序组件 (`引擎`)。威胁检测技术 (`方法`)。由私人 KSN 检测到的威胁（`拒绝列表`）：`启用`或`禁用`。
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	自适应异常控制
Windows 事件 ID	`2200`
Kaspersky Security Center 事件 ID	`GNRL_EV_ADSEC_DETECT`
事件参数	`GNRL_EA_PARAM_1` 是自适应异常控制规则名称。 `GNRL_EA_PARAM_2` 是启发式规则 ID。 `GNRL_EA_PARAM_3` 是会话用户的名称。 `GNRL_EA_PARAM_4` 是源进程。 `GNRL_EA_PARAM_5` 是源对象。 `GNRL_EA_PARAM_6` 是目标进程。 `GNRL_EA_PARAM_7` 是目标对象。 `GNRL_EA_PARAM_8` 是检测到的对象的附加信息：源进程/对象和目标进程/对象的哈希。进程被阻止（`verdict_type`）：`true`或`false`。用户安全 ID（SID）.
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	BadUSB 攻击防护
Windows 事件 ID	`2051`
Kaspersky Security Center 事件 ID	`00000803`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	AMSI 保护
Windows 事件 ID	`2200`
Kaspersky Security Center 事件 ID	`00000898`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	防火墙
Windows 事件 ID	`602`
Kaspersky Security Center 事件 ID	`00000329`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	网络威胁防护
Windows 事件 ID	`651`
Kaspersky Security Center 事件 ID	`GNRL_EV_ATTACK_DETECTED`
事件参数	`GNRL_EA_PARAM_1` 是攻击的名称。 `GNRL_EA_PARAM_2` 是协议。 `GNRL_EA_PARAM_3` 是作为网络攻击源的计算机的 IP 地址。IP 地址以主机的字节顺序表示。例如，`2886729929` 对应于 `172.16.0.201`。 `GNRL_EA_PARAM_4` 是端口号。 `GNRL_EA_PARAM_5` 是 IPv6 地址，例如，`12B012B012B012B012B012B012B012B0`。 `GNRL_EA_PARAM_6` 是网络攻击目标计算机的 IP 地址。IP 地址以主机的字节顺序表示。例如，`2886729929` 对应于 `172.16.0.201`。
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	应用程序控制
Windows 事件 ID	`702`
Kaspersky Security Center 事件 ID	`GNRL_EV_APPLICATION_LAUNCH_DENIED`
事件参数	`GNRL_EA_PARAM_2` 是会话用户的名称。 `GNRL_EA_PARAM_3` 是手动创建的类别识别符。 `GNRL_EA_PARAM_4` 是应用程序类别 ID。 `GNRL_EA_PARAM_5` 是应用程序的数字签名信息。 `GNRL_EA_PARAM_6` 是应用程序可执行文件的名称（例如，chrome.exe）。 `GNRL_EA_PARAM_7` 是可执行文件的路径。 `GNRL_EA_PARAM_8` 是对象的哈希 (SHA256)。 `GNRL_EA_PARAM_9` 是用户正在试图运行的应用程序的版本。
Windows 事件日志（默认）	`–`
Kaspersky Security Center 事件日志（默认）

状态
组件	Web 控制
Windows 事件 ID	`752`
Kaspersky Security Center 事件 ID	`GNRL_EV_WEB_URL_BLOCKED`
事件参数	`GNRL_EA_PARAM_1` 是网址。 `GNRL_EA_PARAM_2` 是会话用户的名称。 `GNRL_EA_PARAM_3` 是 Web 控制规则名称。
Windows 事件日志（默认）	`–`
Kaspersky Security Center 事件日志（默认）

状态
组件	设备控制
Windows 事件 ID	`802`
Kaspersky Security Center 事件 ID	`GNRL_EV_DEVCTRL_DEV_PLUG_DENIED`
事件参数	`GNRL_EA_PARAM_1` 是硬件 ID (HWID)。 `GNRL_EA_PARAM_2` 是会话用户的名称。
Windows 事件日志（默认）	`–`
Kaspersky Security Center 事件日志（默认）

状态
组件	数据库更新
Windows 事件 ID	`1011`
Kaspersky Security Center 事件 ID	`000003f3`
Windows 事件日志（默认）	`–`
Kaspersky Security Center 事件日志（默认）

状态
组件	数据加密
Windows 事件 ID	`904`
Kaspersky Security Center 事件 ID	`00000388`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	端点传感器
Windows 事件 ID	`2100`
Kaspersky Security Center 事件 ID	`00000834`
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）

状态
组件	Kaspersky Sandbox
Windows 事件 ID	`2252`
Kaspersky Security Center 事件 ID	`000008cc`
Windows 事件日志（默认）	`–`
Kaspersky Security Center 事件日志（默认）

状态
组件	Endpoint Detection and Response
Windows 事件 ID	`2651`
Kaspersky Security Center 事件 ID	`00000a5b`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	日志审查
Windows 事件 ID	`2800`
Kaspersky Security Center 事件 ID	`00000af0`
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）

状态
组件	行为检测漏洞利用防御 Web 威胁防护
Windows 事件 ID	`331`
Kaspersky Security Center 事件 ID	–
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）	–

状态
组件	文件威胁防护行为检测主机入侵防御恶意软件扫描
Windows 事件 ID	`310`
Kaspersky Security Center 事件 ID	`00000136`
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）

状态
组件	文件威胁防护邮件威胁防护主机入侵防御 AMSI 保护恶意软件扫描
Windows 事件 ID	`314`
Kaspersky Security Center 事件 ID	`GNRL_EV_OBJECT_REPORTED`
事件参数	`GNRL_EA_PARAM_1` 是对象的哈希 (SHA256)。 `GNRL_EA_PARAM_2` 是对象的名称。 `GNRL_EA_PARAM_5` 是威胁的名称，与 Kaspersky 分类法一致，例如 `EICAR-Test-File`。 `GNRL_EA_PARAM_7` 是会话用户的名称。 `GNRL_EA_PARAM_8` 是威胁的类型，例如，`木马软件`。 `GNRL_EA_PARAM_9` 是检测到的对象的附加信息：应用程序组件 (`引擎`)。威胁检测技术 (`方法`)。由私人 KSN 检测到的威胁（`拒绝列表`）：`启用`或`禁用`。 EDR 版本。 EDR 中的威胁标识符。对象的 MD5 哈希。
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）

状态
组件	主机入侵防御
Windows 事件 ID	`320`
Kaspersky Security Center 事件 ID	`00000140`
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）	–

状态
组件	文件威胁防护邮件威胁防护主机入侵防御漏洞利用防御行为检测恶意软件扫描
Windows 事件 ID	`307`
Kaspersky Security Center 事件 ID	`GNRL_EV_OBJECT_DELETED`
事件参数	`GNRL_EA_PARAM_1` 是对象的哈希 (SHA256)。 `GNRL_EA_PARAM_2` 是对象的名称。 `GNRL_EA_PARAM_5` 是威胁的名称，与 Kaspersky 分类法一致，例如 `EICAR-Test-File`。 `GNRL_EA_PARAM_7` 是会话用户的名称。 `GNRL_EA_PARAM_8` 是威胁的类型，例如，`木马软件`。 `GNRL_EA_PARAM_9` 是检测到的对象的附加信息：应用程序组件 (`引擎`)。威胁检测技术 (`方法`)。由私人 KSN 检测到的威胁（`拒绝列表`）：`启用`或`禁用`。 EDR 版本。 EDR 中的威胁标识符。对象的 MD5 哈希。
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）

状态
组件	主机入侵防御文件威胁防护恶意软件扫描
Windows 事件 ID	`324`
Kaspersky Security Center 事件 ID	–
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）	–

状态
组件	行为检测漏洞利用防御主机入侵防御文件威胁防护恶意软件扫描
Windows 事件 ID	`323`
Kaspersky Security Center 事件 ID	–
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）	–

状态
组件	邮件威胁防护
Windows 事件 ID	`342`
Kaspersky Security Center 事件 ID	–
Windows 事件日志（默认）
Kaspersky Security Center 事件日志（默认）	–

状态
组件	文件威胁防护行为检测漏洞利用防御恶意软件扫描
Windows 事件 ID	`455`
Kaspersky Security Center 事件 ID	`000001c7`
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）

状态
组件	完整性检查
Windows 事件 ID	`2002`
Kaspersky Security Center 事件 ID	`000007d2`
Windows 事件日志（默认）	–
Kaspersky Security Center 事件日志（默认）