附錄 7。卡巴斯基安全管理中心事件記錄中的應用程式事件
有關每個 Kaspersky Endpoint Security 元件的操作、資料加密事件、每個掃描工作的完成、更新工作和完整性檢查工作以及應用程式的整體操作的資訊都記錄在卡巴斯基安全管理中心事件日誌中。
Kaspersky Endpoint Security 可產生以下類型的事件:一般事件和具體事件。具體事件只能由 Kaspersky Endpoint Security for Windows 建立。具體事件具有簡單 ID,諸如000000cb
。具體事件包含以下所需參數:
GNRL_EA_DESCRIPTION
是事件內容。GNRL_EA_ID
是事件的服務 ID。GNRL_EA_SEVERITY
是事件狀態。1
– 資訊訊息 (),
2
– 警告 (),
3
– 功能故障 (),
4
– 嚴重 ()。
EVENT_TYPE_DISPLAY_NAME
是事件標題。TASK_DISPLAY_NAME
是發起事件的應用程式元件的名稱。
一般事件可以由 Kaspersky Endpoint Security for Windows 以及其它 Kaspersky 應用程式(例如,Kaspersky Security for Windows Server)建立。一般事件具有更複雜的 ID,諸如GNRL_EV_VIRUS_FOUND
。除了所需設定,一般事件包含進階設定。
Kaspersky Endpoint Security for Windows 的具體事件清單
事件 ID |
| 描述 | 預設啟用 |
---|---|---|---|
| 內部工作錯誤。 | – | |
| 產品授權即將過期。 | – | |
| 產品授權很快到期。 | ||
| 擦除工作統計。 | ||
| 資料庫缺失或損壞。 | – | |
| 資料庫已過時。 | ||
| 資料庫已過時。 | ||
| 應用程式自動執行已停用。 | ||
| 自動更新已停用。 | ||
| 自衛已停用。 | ||
| 無法執行工作。 | ||
| 具有應用程式資源的操作被自衛封鎖。 | ||
| 防護元件已停用。 | ||
| 電腦以安全模式執行。 | – | |
| 有未處理的檔案。 | ||
| 報告已清除。 | ||
| 應用程式設定已變更。 | ||
| 群組政策已套用。 | ||
| 群組政策已停用。 | ||
| 工作已開始。 | ||
| 工作已停止。 | ||
| 工作已完成。 | ||
| 需要重新啟動電腦。 | ||
| 產品授權允許使用尚未安裝的元件。 | ||
| 產品授權定義的所有應用程式元件均已安裝並以正常模式執行。 | – | |
| 儲備金鑰不正確。 | ||
| 偵測到活動威脅。必須啟動進階解毒。 | ||
| 進階解毒開始。 | ||
| 進階解毒完成。 | ||
| 訂購設定已變更。 | ||
| 訂購已續約。 | ||
| 訂購將很快到期。 | ||
| 某些作業系統功能的處理被停用。 | ||
| 已建立物件的備份副本。 | ||
| 無法建立備份副本。 | ||
| 無法刪除。 | ||
| 物件未處理。 | ||
| 處理錯誤。 | ||
| 物件已加密。 | – | |
| 物件損壞。 | – | |
| 物件將在重新啟動時將被刪除。 | ||
| 物件將在重新啟動時將被解毒。 | ||
| 被先前已解毒的副本覆寫。 | – | |
| 物件已重命名。 | ||
| 有關偵測到的物件的資訊。 | ||
| 物件被從備份還原。 | ||
| 無法從備份還原物件。 | ||
| 物件在“私人KSN”允許清單中。 | ||
| 隔離儲存中空間不足。 | ||
| 隔離儲存幾乎沒有空間了。 | ||
| 從隔離中還原的物件。 | ||
| 未從隔離中還原的物件。 | ||
| 從隔離中刪除的物件。 | ||
| 未從隔離中刪除的物件。 | ||
| 連接位於“私有 KSN”允許清單中。 | ||
| 應用程式放置在受信任群組中。 | ||
| 應用程式放置在受限制群組中。 | ||
| 主機入侵防禦已觸發。 | ||
| 處理程序已終止。 | ||
| 無法終止處理程序。 | – | |
| 回溯完成。 | ||
| 檔案已還原。 | ||
| 登錄檔值已還原。 | ||
| 登錄檔值已刪除。 | – | |
| 工作設定錯誤。未套用工作設定。 | ||
| 成功套用工作設定。 | ||
| 在啟動 Kaspersky Endpoint Security for Windows 之前啟動了被禁止的處理程序。 | ||
| 警告後存取了不良內容。 | – | |
| 允許的頁面已開啟。 | – | |
| 允許操作裝置。 | – | |
| 臨時存取裝置已啟動。 | ||
| 網路連線被封鎖。 | ||
| 開始套用檔案加密/解密規則。 | ||
| 完成套用檔案加密/解密規則。 | ||
| 套用檔案加密/解密規則時出錯。 | ||
| 建立加密包時出錯。 | ||
| 啟用攜帶模式時出錯。 | ||
| 停用攜帶模式時出錯。 | ||
| 更新元件時出錯。 | ||
| 分發元件更新時出錯。 | – | |
| 網路更新錯誤。 | – | |
| 操作被使用者取消。 | ||
| 無法同時啟動兩個工作。 | ||
| 驗證應用程式資料庫和模組時出錯。 | ||
| 與卡巴斯基安全管理中心交互時出錯。 | ||
| 無可用更新。 | – | |
| 並非所有元件已更新。 | ||
| 更新分發成功完成。 | – | |
| 更新成功完成,更新分發失敗。 | – | |
| 加密/解密裝置時出錯。 | ||
| 使用者已選擇退出加密政策。 | ||
| 加密模組已載入。 | – | |
| 加載加密模組失敗。 | ||
| 政策不適用。 | ||
| 新的身分驗證代理帳戶已建立。 | – | |
| 身分驗證代理帳戶已刪除。 | – | |
| 身分驗證代理帳戶密碼已變更。 | – | |
| 身分驗證代理成功登錄。 | – | |
| 身分驗證代理登錄嘗試失敗。 | – | |
| 帳戶未新增。此帳戶已經存在。 | – | |
| 帳戶未修改。此帳戶不存在。 | – | |
| 帳戶未刪除。此帳戶不存在。 | – | |
| 管理身分驗證代理帳戶的工作以錯誤結束。 | ||
| FDE 升級成功。 | ||
| FDE 升級失敗。 | ||
| FDE 升級回溯成功。 | ||
| 加密更新回溯完成,但有一個錯誤(更多詳情請參見 Kaspersky Endpoint Security for Windows 線上說明)。 | ||
| 無法在 WinRE 映像中安裝或升級卡巴斯基磁碟加密驅動程式。 | ||
| 無法從 WinRE 映像解除安裝卡巴斯基磁碟加密驅動程式。 | ||
| BitLocker 還原金鑰已變更。 | ||
| BitLocker 密碼/PIN 已變更。 | ||
| BitLocker 還原金鑰被儲存到卸除式磁碟機上。 | ||
| 變更應用程式元件時出錯。 | ||
| 應用程式元件已成功變更。 | ||
| 完成工作需要重啟。 | ||
| 輸入使用者名稱和密碼。 | ||
| 偵測到可疑網路活動。 | ||
| 系統模組簽章檢查失敗。 | ||
| 加密連線已終止。 | – | |
| 已啟用參與 KSN。 | ||
| 參與 KSN 已停用。 | ||
| KSN 伺服器可用。 | ||
| KSN 伺服器不可用。 | ||
| 該應用程式將根據相關法律工作和處理資料,並使用適當的基礎架構。 | ||
| 鍵盤被授權。 | ||
| 鍵盤未經授權。 | ||
| 鍵盤授權錯誤。 | ||
| Kaspersky Anti Targeted Attack 平台伺服器不可用。 | ||
| 端點感應器已連線到伺服器。 | ||
| 與 Kaspersky Anti Targeted Attack Platform 伺服器的連線已還原。 | ||
| 來自 Kaspersky Anti Targeted Attack Platform 伺服器的工作處理未啟動。 | ||
| 來自 Kaspersky Anti Targeted Attack Platform 伺服器的工作正在處理中。 | ||
| 應用程式啟動被封鎖。 | ||
| 文件開啟被封鎖。 | ||
| 所有協力廠商應用程式的网路活動均被封鎖。 | ||
| 被解除封鎖的網路流量。 | ||
| 檔案被管理員在 Kaspersky Anti Targeted Attack Platform 伺服器上隔離。 | ||
| 檔案被管理員從 Kaspersky Anti Targeted Attack Platform 伺服器上的隔離區還原。 | ||
| 檔案或資料流被 Kaspersky Anti Targeted Attack Platform 伺服器管理員刪除。 | ||
| 檔案被管理員從 Kaspersky Anti Targeted Attack Platform 伺服器上的隔離區還原。 | ||
| 從檔案映像或資料流啟動的所有處理程序均已終止。 | ||
| 應用程式已開始。 | ||
| 修補安裝失敗。 | ||
| 修補回溯失敗。 | ||
| AMSI 請求被封鎖。 | ||
| 刪除物件時出錯。 | ||
| 允許執行處理程序,事件已記錄。 | ||
| 物件啟動被封鎖。 | ||
| 允許執行物件,事件已記錄。 | ||
| 物件被隔離 (Endpoint Detection and Response)。 | ||
| 物件未隔離 (Endpoint Detection and Response)。 | ||
| 物件被刪除 (Endpoint Detection and Response)。 | ||
| 物件將在重新啟動後被刪除 (Endpoint Detection and Response)。 | ||
| 物件已隔離 (Kaspersky Sandbox)。 | ||
| 物件未隔離 (Kaspersky Sandbox)。 | ||
| 物件將在重新啟動後被刪除 (Kaspersky Sandbox)。 | ||
| 發生了一個內部錯誤。 | ||
| 掃描工作的總容量已超過限制。 | ||
| 無效的 Kaspersky Sandbox 伺服器憑證。 | ||
| Kaspersky Sandbox 節點不可使用。 | ||
| 在 Kaspersky Sandbox 中處理物件失敗。 | ||
| Kaspersky Sandbox 產品授權驗證失敗。 | ||
| 發現 IOC。 | ||
| IOC 掃描已啟動。 | ||
| IOC 掃描已完成。 | ||
| 網路隔離。 | ||
| 終止網路隔離。 |
事件 ID |
| 描述 | 設定 | 預設啟用 |
---|---|---|---|---|
| 偵測到惡意物件。 |
| ||
| 偵測到惡意物件 (KSN)。 | |||
| 危險連接已封鎖(Web 威脅防護)。 | |||
| 危險連接已開啟(Web 威脅防護)。 | |||
| 偵測到先前開啟的危險連接(Web 威脅防護)。 | |||
| 偵測到可被侵入者利用以損害您的電腦或個人資料的合法軟體 |
| ||
| 物件已解毒。 |
| ||
| 物件已刪除。 |
| ||
| 不可解毒。 | |||
| 物件下載被封鎖。 | |||
| 物件未處理(郵件威脅防護)。 物件掃描結果已傳送到協力廠商應用程式(AMSI 防護)。 | |||
| 偵測到受密碼防護的封存。 | |||
| 偵測到網路攻擊(網路威脅防護) |
| ||
| 違反了最終使用者產品授權協議。 | – | ||
| 允許應用程式啟動(應用程式控制)。 |
| – | |
| 禁止應用程式啟動(應用程式控制)。 |
| ||
| Kaspersky Sandbox 異步警告。 |
| ||
| 在測試模式下禁止應用程式啟動(應用程式控制)。 |
| ||
| 在測試模式下允許應用程式啟動(應用程式控制)。 |
| – | |
| 傳送給管理員的應用程式啟動封鎖訊息(應用程式控制)。 |
| ||
| 存取被拒絕(Web 控制)。 |
| ||
| 存取被 KSN 拒絕(Web 控制)。 |
| ||
| 有關不良內容的警告(Web 控制)。 |
| ||
| 傳送給管理員的網頁存取封鎖訊息(Web 控制)。 |
| ||
| 傳送給管理員的裝置存取封鎖訊息(裝置控制)。 |
| ||
| 已插入裝置(裝置控制)。 |
| ||
| 已拔掉裝置(裝置控制)。 |
| ||
| 插入裝置被封鎖(裝置控制)。 |
| ||
|
| 處理程序操作被封鎖 / 處理程序操作被略過(適應性異常控制)。 |
| |
| 傳送給管理員的應用程式活動封鎖訊息(適應性異常控制)。 |
| ||
| 檔案存取被封鎖。 |
| – | |
| 檔案加密/解密錯誤。 |
| ||
| 禁止操作裝置 |
|
| |
| 已執行檔案操作(裝置控制)。 |
| – | |
| 工作結果。 |
|