附錄 6。Windows 事件日誌中的應用程式事件

支援

企業解決方案支援

Kaspersky Endpoint Security 11 for Windows

附錄

附錄 6。Windows 事件日誌中的應用程式事件

2023年10月26日

ID 209858

另存為 PDF

有關每個 Kaspersky Endpoint Security 元件的操作、資料加密事件、每個掃描工作的效能、更新工作和完整性檢查工作以及應用程式的整體操作的資訊都記錄在 Windows 事件日誌中。

展開所有 | 折疊所有

系統稽核

事件 ID	描述	預設啟用
`201`	違反了最終使用者產品授權協議。
`203`	產品授權即將過期。	–
`206`	資料庫缺失或損壞。	–
`207`	資料庫已過時。	–
`209`	應用程式自動執行已停用。	–
`229`	啟動錯誤。
`231`	偵測到活動威脅。必須啟動進階解毒。
`2023`	KSN 伺服器不可用。	–
`343`	隔離儲存中空間不足。
`346`	未從隔離中還原的物件。
`348`	未從隔離中刪除的物件。
`212`	無法執行工作。	–
`237`	應用程式在上一個工作階段期間崩潰。
`204`	產品授權很快到期。	–
`208`	資料庫已過時。	–
`210`	自動更新已停用。	–
`211`	自衛已停用。	–
`214`	防護元件已停用。	–
`215`	電腦以安全模式執行。	–
`216`	有未處理的檔案。	–
`219`	群組政策已套用。
`222`	工作已停止。	–
`224`	重新啟動應用程式以完成更新。	–
`225`	需要重新啟動電腦。
`226`	產品授權允許使用尚未安裝的元件。	–
`232`	進階解毒開始。	–
`233`	進階解毒完成。	–
`230`	儲備金鑰不正確。	–
`240`	訂購將很快到期。
`336`	無法從備份還原物件。	–
`2001`	偵測到可疑網路活動。	–
`250`	加密連線已終止。
`2021`	參與 KSN 已停用。	–
`245`	某些作業系統功能的處理被停用。
`344`	隔離儲存幾乎沒有空間了。
`235`	應用程式已開始。
`236`	應用程式已停止。
`213`	具有應用程式資源的操作被自衛封鎖。	–
`217`	報告已清除。
`220`	群組政策已停用。	–
`218`	應用程式設定已變更。
`221`	工作已開始。	–
`223`	工作已完成。	–
`227`	產品授權定義的所有應用程式元件均已安裝並以正常模式執行。	–
`238`	訂購設定已變更。
`239`	訂購已續約。
`335`	物件被從備份還原。	–
`2000`	輸入使用者名稱和密碼。	–
`2020`	已啟用參與 KSN。	–
`2022`	KSN 伺服器可用。	–
`2024`	該應用程式將根據相關法律工作和處理資料，並使用適當的基礎架構。
`345`	從隔離中還原的物件。
`347`	從隔離中刪除的物件。

行為偵測

事件 ID	描述	預設啟用
302	偵測到惡意物件。	–
`313`	無法刪除。	–
`452`	處理程序已終止。	–
`453`	無法終止處理程序。	–
`455`	回溯完成。	–
`331`	已封鎖。	–
`307`	物件已刪除。	–
`323`	物件將在重新啟動時將被刪除。	–
`311`	無法建立備份副本。	–
`303`	偵測到可被侵入者利用以破壞您的電腦或個人資料的合法軟體。	–
`457`	檔案已還原。	–
`308`	已建立物件的備份副本。	–
`458`	登錄檔值已還原。	–
`459`	登錄檔值已刪除。	–
`329`	物件已重命名。	–

弱點利用防禦

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。	–
`331`	已封鎖。	–
`455`	回溯完成。	–
`307`	物件已刪除。	–
`323`	物件將在重新啟動時將被刪除。	–
`457`	檔案已還原。	–
`458`	登錄檔值已還原。	–
`459`	登錄檔值已刪除。	–
`329`	物件已重命名。	–

主機入侵防禦

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。
`312`	不可解毒。	–
`313`	無法刪除。	–
`317`	處理錯誤。	–
`452`	處理程序已終止。	–
`453`	無法終止處理程序。	–
`310`	無法建立備份副本。	–
`314`	物件未處理。	–
`320`	物件已加密。	–
`321`	物件損壞。	–
`323`	物件將在重新啟動時將被刪除。	–
`324`	物件將在重新啟動時將被解毒。	–
`303`	偵測到可被侵入者利用以破壞您的電腦或個人資料的合法軟體。	–
`336`	無法從備份還原物件。	–
`307`	物件已刪除。	–
`306`	物件已解毒。	–
`301`	物件已處理。	–
`308`	已建立物件的備份副本。	–
`315`	物件被略過。	–
`318`	偵測到封存。	–
`319`	偵測到封包物件。	–
`327`	被先前已解毒的副本覆寫。	–
`332`	有關偵測到的物件的資訊。	–
`322`	偵測到受密碼防護的封存。	–
`335`	物件被從備份還原。	–
`401`	應用程式放置在受信任群組中。	–
`402`	應用程式放置在受限制群組中。	–
`403`	主機入侵防禦已觸發。	–
`340`	物件在“私人KSN”允許清單中。

檔案威脅防護

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。
`312`	不可解毒。	–
`313`	無法刪除。	–
`317`	處理錯誤。
`452`	處理程序已終止。	–
`453`	無法終止處理程序。	–
`310`	無法建立備份副本。	–
`314`	物件未處理。	–
`320`	物件已加密。	–
`321`	物件損壞。	–
`323`	物件將在重新啟動時將被刪除。	–
`324`	物件將在重新啟動時將被解毒。	–
`303`	偵測到可被侵入者利用以破壞您的電腦或個人資料的合法軟體。	–
`336`	無法從備份還原物件。	–
`307`	物件已刪除。	–
`306`	物件已解毒。	–
`455`	回溯完成。	–
`301`	物件已處理。	–
`308`	已建立物件的備份副本。	–
`315`	物件被略過。	–
`318`	偵測到封存。	–
`319`	偵測到封包物件。	–
`325`	被先前已解毒的副本覆寫。	–
`322`	偵測到受密碼防護的封存。	–
`332`	有關偵測到的物件的資訊。	–
`335`	物件被從備份還原。	–
`340`	物件在“私人KSN”允許清單中。

Web 威脅防護

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。
`362`	危險連接已封鎖。
`363`	危險連接已開啟。
`1201`	偵測到先前開啟的危險連接。
`317`	處理錯誤。
`303`	偵測到可被侵入者利用以破壞您的電腦或個人資料的合法軟體。	–
`331`	已封鎖	–
`341`	物件下載被封鎖。	–
`321`	物件損壞。	–
`301`	物件已處理。	–
`301`	已處理連結。	–
`332`	有關偵測到的物件的資訊。	–
`319`	偵測到封包物件。	–
`318`	偵測到封存。	–
`322`	偵測到受密碼防護的封存。	–
`370`	連接位於“私有 KSN”允許清單中。
`370`	物件在“私人KSN”允許清單中。

郵件威脅防護

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。
`312`	不可解毒。	–
`317`	處理錯誤。
`314`	物件未處理。	–
`303`	偵測到可被侵入者利用以破壞您的電腦的合法軟體。	–
`321`	物件損壞。	–
`336`	無法從備份還原物件。	–
`307`	物件已刪除。	–
`342`	根據設定被刪除的物件。	–
`306`	物件已解毒。	–
`301`	物件已處理。	–
`308`	已建立物件的備份副本。	–
`318`	偵測到封存。	–
`319`	偵測到封包物件。	–
`329`	物件已重命名。	–
`332`	有關偵測到的物件的資訊。	–
`322`	偵測到受密碼防護的封存。	–
`335`	物件被從備份還原。	–
`340`	物件在“私人KSN”允許清單中。

防火牆

事件 ID		描述	預設啟用
`602`		網路活動被封鎖。
`601`		允許網路活動。	–

網路威脅防護

事件 ID		描述	預設啟用
`651`		偵測到網路攻擊。	–

BadUSB 攻擊防護

事件 ID	描述	預設啟用
`2051`	鍵盤未經授權。
`2052`	鍵盤授權錯誤。
`2050`	鍵盤被授權。	–

AMSI 防護

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。
`2200`	AMSI 請求被封鎖。
`317`	處理錯誤。
`314`	物件未處理。	–
`320`	物件已加密。	–
`321`	物件損壞。	–
`303`	偵測到可被侵入者利用以破壞您的電腦或個人資料的合法軟體。	–
`1512`	物件掃描結果已傳送到協力廠商應用程式。	–
`301`	物件已處理。	–
`315`	物件被略過。	–
`318`	偵測到封存。	–
`319`	偵測到封包物件。	–
`322`	偵測到受密碼防護的封存。	–
`332`	有關偵測到的物件的資訊。	–
`340`	物件在“私人KSN”允許清單中。

應用程式控制

事件 ID	描述	預設啟用
`702`	禁止應用程式啟動。	–
`710`	在啟動 Kaspersky Endpoint Security for Windows 之前啟動了被禁止的處理程序。	–
`707`	工作設定錯誤。未套用工作設定。	–
`708`	成功套用工作設定。	–
`701`	允許應用程式啟動。	–
`703`	在測試模式下禁止應用程式啟動。	–
`704`	在測試模式下允許應用程式啟動。	–

裝置控制

事件 ID	描述	預設啟用
`802`	禁止操作裝置。	–
`809`	網路連線被封鎖。	–
`803`	臨時存取裝置已啟動。
`801`	允許操作裝置。	–
`808`	執行檔案操作。	–

Web 控制

事件 ID	描述	預設啟用
`752`	存取被拒絕。	–
`753`	警告不良內容。	–
`754`	警告後存取了不良內容。	–
`751`	允許存取。	–
`751`	允許的頁面已開啟。	–

適應性異常控制

事件 ID		描述	預設啟用
`2200`		處理程序操作被封鎖。
`2201`		略過處理程序動作。	–

資料加密

事件 ID	描述	預設啟用
`904`	套用檔案加密/解密規則時出錯。
`912`	檔案加密/解密錯誤。
`940`	檔案存取被封鎖。
`951`	啟用攜帶模式時出錯。
`953`	停用攜帶模式時出錯。
`931`	建立加密包時出錯。
`1305`	加密/解密裝置時出錯。
`1311`	加載加密模組失敗。
`1340`	管理身分驗證代理帳戶的工作以錯誤結束。
`1312`	政策不適用。
`1342`	FDE 升級失敗。
`1344`	“完整磁碟加密”升級回溯完成但出錯。
`903`	中斷套用檔案加密/解密規則。	–
`914`	檔案加密/解密中斷。	–
`1303`	裝置加密/解密中斷。	–
`1306`	使用者已選擇退出加密政策。	–
`1345`	無法在 WinRE 映像中安裝或升級卡巴斯基磁碟加密驅動程式。
`901`	開始套用檔案加密/解密規則。	–
`902`	完成套用檔案加密/解密規則。	–
`905`	還原套用檔案加密/解密規則。	–
`910`	檔案加密/解密已開始。	–
`911`	檔案加密/解密完成。	–
`913`	檔案未加密，因為它是排除項目。	–
`950`	可攜式模式已啟用。	–
`952`	可攜式模式已停用。	–
`1301`	裝置加密/解密已開始。	–
`1302`	裝置加密/解密完成。	–
`1304`	裝置加密/解密還原。	–
`1310`	加密模組已載入。	–
`1307`	裝置未加密。	–
`1308`	裝置加密/解密處理程序已切換到主動模式。	–
`1309`	磁碟機加密/解密處理程序已切換到被動模式。	–
`1330`	新的身分驗證代理帳戶已建立。	–
`1331`	身分驗證代理帳戶已刪除。	–
`1332`	身分驗證代理帳戶密碼已變更。	–
`1333`	身分驗證代理成功登錄。	–
`1334`	身分驗證代理登錄嘗試失敗。	–
`1335`	使用請求存取加密裝置的過程存取硬碟。	–
`1336`	使用請求存取加密裝置的過程嘗試存取硬碟失敗。	–
`1337`	帳戶未新增。此帳戶已經存在。	–
`1338`	帳戶未修改。此帳戶不存在。	–
`1339`	帳戶未刪除。此帳戶不存在。	–
`1341`	FDE 升級成功。
`1343`	FDE 升級回溯成功。
`1346`	無法從 WinRE 映像解除安裝卡巴斯基磁碟加密驅動程式。
`1370`	BitLocker 還原金鑰已變更。
`1371`	BitLocker 密碼/PIN 已變更。
`1372`	BitLocker 還原金鑰被儲存在卸除式磁碟機上。

端點感應器

事件 ID	描述	預設啟用
`2100`	Kaspersky Anti Targeted Attack 平台伺服器不可用。	–
`2105`	應用程式啟動被封鎖。
`2106`	文件開啟被封鎖。
`2112`	從檔案映像或資料流啟動的所有處理程序均已終止。
`2113`	應用程式已開始。
`2111`	檔案或資料流被 Kaspersky Anti Targeted Attack Platform 伺服器管理員刪除。
`2110`	檔案被管理員從 Kaspersky Anti Targeted Attack Platform 伺服器上的隔離區還原。
`2109`	檔案被管理員在 Kaspersky Anti Targeted Attack Platform 伺服器上隔離。
`2107`	所有協力廠商應用程式的网路活動均被封鎖。
`2108`	被解除封鎖的網路流量。
`2104`	來自 Kaspersky Anti Targeted Attack Platform 伺服器的工作正在處理中。	–
`2103`	來自 Kaspersky Anti Targeted Attack Platform 伺服器的工作處理未啟動。	–
`2101`	端點感應器已連線到伺服器。	–
`2102`	與 Kaspersky Anti Targeted Attack Platform 伺服器的連線已還原。	–

病毒掃描

事件 ID	描述	預設啟用
`302`	偵測到惡意物件。
`312`	不可解毒。	–
`313`	無法刪除。	–
`317`	處理錯誤。	–
`452`	處理程序已終止。	–
`453`	無法終止處理程序。	–
`310`	無法建立備份副本。	–
`314`	物件未處理。	–
`320`	物件已加密。	–
`321`	物件損壞。	–
`323`	物件將在重新啟動時將被刪除。	–
`324`	物件將在重新啟動時將被解毒。	–
`303`	偵測到可被侵入者利用以破壞您的電腦或個人資料的合法軟體。	–
`336`	無法從備份還原物件。
`307`	物件已刪除。	–
`306`	物件已解毒。	–
`455`	回溯完成。	–
`301`	物件已處理。	–
`308`	已建立物件的備份副本。	–
`315`	物件被略過。	–
`318`	偵測到封存。	–
`319`	偵測到封包物件。	–
`327`	被先前已解毒的副本覆寫。	–
`332`	有關偵測到的物件的資訊。	–
`322`	偵測到受密碼防護的封存。	–
`335`	物件被從備份還原。
`329`	物件已重命名。	–
`340`	物件在“私人KSN”允許清單中。

完整性檢查

事件 ID		描述	預設啟用
`2002`		系統模組簽章檢查失敗。	–

資料庫更新

事件 ID	描述	預設啟用
`1011`	更新元件時出錯。	–
`1012`	分發元件更新時出錯。	–
`1014`	本機更新錯誤。	–
`1015`	網路更新錯誤。	–
`1017`	無法同時啟動兩個工作。	–
`1018`	驗證應用程式資料庫和模組時出錯。	–
`1019`	與卡巴斯基安全管理中心交互時出錯。	–
`1021`	並非所有元件已更新。	–
`1023`	更新成功完成，更新分發失敗。	–
`101`	發生了一個內部錯誤。
`2153`	修補安裝失敗。	–
`2156`	修補回溯失敗。	–
`1016`	操作被使用者取消。	–
`1001`	更新來源已選中。	–
`1002`	代理伺服器已選中。	–
`1003`	檔案下載。	–
`1004`	檔案已下載。	–
`1005`	檔案已安裝。	–
`1006`	檔案已更新。	–
`1007`	由於更新錯誤，檔案已回溯。	–
`1008`	正在更新檔案。	–
`1009`	正在分發更新。	–
`1010`	正在回溯檔案。	–
`1013`	建立要下載的檔案清單。	–
`1020`	無可用更新。	–
`1022`	更新分發成功完成。	–
`2150`	下載修補。	–
`2151`	安裝修補。	–
`2152`	修補已安裝。	–
`2154`	回溯修補。	–
`2155`	修補已回溯。	–

抹除資料

事件 ID	描述	預設啟用
`2252`	無法刪除。	–
`2253`	擦除工作統計。	–
`2251`	物件已刪除。	–

Endpoint Detection and Response

事件 ID		描述	預設啟用
`2551`		物件啟動被封鎖。
`2552`		處理程序啟動被封鎖。
`2559`		指令碼執行被封鎖。
`2556`		物件未隔離 (Endpoint Detection and Response)。
`2651`		發現 IOC。
`2553`		允許物件啟動。事件已記錄。
`2554`		允許處理程序啟動。事件已記錄。
`2560`		允許指令碼執行。事件已記錄。
`2558`		物件將在重新啟動後被刪除 (Endpoint Detection and Response)。
`2700`		網路隔離
`2701`		終止網路隔離
`2555`		物件被隔離 (Endpoint Detection and Response)
`2557`		物件被刪除 (Endpoint Detection and Response)
`2652`		IOC 掃描已啟動
`2653`		IOC 掃描已完成

Kaspersky Sandbox

事件 ID	描述	預設啟用
`2603`	物件未隔離 (Kaspersky Sandbox)。
`2607`	發生了一個內部錯誤。
`2611`	向 Kaspersky Sandbox.提交掃描工作時出錯。
`2613`	無效的 Kaspersky Sandbox 伺服器憑證。
`2614`	Kaspersky Sandbox 節點不可使用。
`2615`	異步工作處理過程中偵測到威脅。
`2617`	在 Kaspersky Sandbox 中處理物件失敗。
`2618`	超過對 Kaspersky Sandbox 的最大負載。
`2651`	發現 IOC。
`2620`	Kaspersky Sandbox 產品授權驗證失敗。
`2605`	物件將在重新啟動後被刪除 (Kaspersky Sandbox)。
`2612`	掃描工作的總容量已超過限制。
`308`	已建立物件的備份副本。	–
`2602`	物件已隔離 (Kaspersky Sandbox)。
`2604`	物件已刪除 (Kaspersky Sandbox)。
`2606`	已決定傳送掃描工作到 Kaspersky Sandbox。
`2609`	本機快取已被清除。
`2610`	掃描工作已傳送到 Kaspersky Sandbox。
`2616`	異步工作處理中未發現威脅。
`2652`	IOC 掃描已啟動。
`2653`	IOC 掃描已完成。
`2608`	異步物件處理過程中發現一個快取結果

此文章對您有幫助嗎？

我們可以如何改善？

感謝您的意見回饋！您正協助我們改善。