查看事件表

事件表在事件数据库中的威胁搜寻完成后显示在应用程序 Web 界面窗口的威胁搜索部分。您可以按事件时间、事件类型、主机和用户名称列对表中的事件进行排序。

如果您使用分布式解决方案和多租户模式，表中的事件将按所选服务器和租户的主机进行分组。

Kaspersky Anti Targeted Attack Platform 被用来同时保护多个组织或同一组织分支机构的基础架构的运行模式。

安装有中央节点组件的服务器的两层架构。此架构分配主控制服务器 （主中央节点 (PCN)）和从属服务器（辅助中央节点 (SCN)）。

事件表包含以下信息：

1. 事件时间 — 检测到事件的日期和时间。
2. 事件类型，例如，进程已启动。
3. 主机名称 — 生成警报的主机名称。
4. 详细信息 — 有关事件的信息。
5. 用户名称 — 具有端点代理组件的计算机上的用户名称，其用户账户被用于检测事件。

在事件表中，详细信息列在事件类型列中显示每种类型事件的数据集（见下表）。

事件类型列中每个事件类型的详细信息列中的数据集

如果您使用 Kaspersky Endpoint Agent 作为端点代理组件，当 Kaspersky Anti Targeted Attack Platform 与 Kaspersky Endpoint Agent for Windows 3.10 或更高版本集成时以及当 Kaspersky Endpoint Agent 与 Kaspersky Endpoint Security for Windows 11.5 或更高版本集成时，有关AMSI 扫描事件的信息可用。如果计算机上未安装 Kaspersky Endpoint Security for Windows 且未与 Kaspersky Endpoint Agent 集成，则有关AMSI 扫描事件的信息不会记录在事件数据库中，也不会显示在 Kaspersky Anti Targeted Attack Platform Web 界面中。

如果 Kaspersky Endpoint Agent 被用作端点代理组件，则中央节点服务器会基于从 EPP 应用程序接收的数据的事件生成扫描: 检测和扫描: 检测处理结果。如果计算机上未安装 EPP 应用程序且未与 Kaspersky Endpoint Agent 集成，则有关这些事件的信息不会记录在事件数据库中，也不会显示在 Kaspersky Anti Targeted Attack Platform Web 界面中。

单击包含事件类型名称、数据、其他信息和用户名的链接将打开一个列表，您可以从其中选择要在对象上执行的操作。根据单元格中的值，您可以执行以下操作之一：

• 对于单元格中的所有值：
  • 按照此值进行过滤。
  • 从过滤器中排除。
  • 复制值到剪贴板。
• 主机名称：
  • 查找事件。
  • 查找警报。
  • 从网络隔离。
• 文件名：
  • 杀死进程。
  • 使用唯一的 PID 杀死进程。
  • 删除文件。
  • 获取文件。
  • 进行取证。
  • 隔离文件。
• MD5 哈希：
  • 查找事件。
  • 查找警报。
  • 在 Kaspersky TIP 上查找。

    卡巴斯基信息系统 包含并显示文件和 URL 地址的信誉信息。

  • 创建防止规则。
  • 在存储中查找。
• SHA256 哈希值：
  • 查找事件。
  • 查找警报。
  • 在 Kaspersky TIP 上查找。
  • 在 virustotal.com 上查找。
  • 创建防止规则。
  • 在存储中查找。