附录 6.Windows 事件日志中的应用程序事件

技术支持

企业产品

Kaspersky Endpoint Security 11 for Windows

附录

附录 6.Windows 事件日志中的应用程序事件

2023年10月26日

ID 209858

另存为 PDF

有关每个 Kaspersky Endpoint Security 组件的操作、数据加密事件、每个扫描任务的性能、更新任务和完整性检查任务以及应用程序的整体操作的信息都记录在 Windows 事件日志中。

展开全部 | 折叠全部

系统审计

事件 ID	描述	默认被启用
`201`	违反最终用户授权许可协议。
`203`	授权许可马上到期。	–
`206`	数据库丢失或损坏。	–
`207`	数据库严重过期。	–
`209`	应用程序自动运行已禁用。	–
`229`	激活错误。
`231`	已检测到活动威胁。高级清除必须被启动。
`2023`	KSN 服务器不可用。	–
`343`	隔离区存储空间不足。
`346`	未从隔离恢复对象。
`348`	未从隔离删除对象。
`212`	无法执行任务。	–
`237`	应用程序在先前的会话中崩溃。
`204`	授权许可即将到期。	–
`208`	数据库已过期。	–
`210`	自动更新已禁用。	–
`211`	自我保护已禁用。	–
`214`	保护组件已禁用。	–
`215`	计算机正运行在安全模式。	–
`216`	存在未处理的文件。	–
`219`	组策略已应用。
`222`	任务已停止。	–
`224`	重启应用程序以完成更新。	–
`225`	需要计算机重启。
`226`	授权许可允许未安装的组件的使用。	–
`232`	高级清除已启动。	–
`233`	高级清除已完成。	–
`230`	备用密钥不正确。	–
`240`	订阅即将到期。
`336`	无法从备份恢复对象。	–
`2001`	检测到可疑网络活动。	–
`250`	加密连接已终止。
`2021`	参与 KSN 已禁用。	–
`245`	一些 OS 功能操作已禁用。
`344`	隔离区存储空间不足。
`235`	应用程序已启动。
`236`	应用程序已停止。
`213`	对应用程序资源的操作被自我保护阻止。	–
`217`	报告已清空。
`220`	组策略已禁用。	–
`218`	应用程序设置已更改。
`221`	任务已启动。	–
`223`	任务已完成。	–
`227`	被授权许可定义的所有应用程序组件已被安装并在正常模式下运行。	–
`238`	订阅设置已更改。
`239`	订阅已续费。
`335`	对象已从备份恢复。	–
`2000`	输入用户名和密码。	–
`2020`	参与 KSN 已启用。	–
`2022`	KSN 服务器可用。	–
`2024`	应用程序在相关法律下工作和处理数据并使用适当的基础架构。
`345`	已从隔离恢复对象。
`347`	已从隔离删除对象。

行为检测

事件 ID	描述	默认被启用
302	检测到恶意对象。	–
`313`	无法被删除。	–
`452`	进程已终止。	–
`453`	无法终止进程。	–
`455`	回滚已完成。	–
`331`	已阻止。	–
`307`	对象已删除。	–
`323`	对象将在重启时删除。	–
`311`	无法创建备份副本。	–
`303`	检测到可被入侵者利用以破坏您的计算机或个人数据的合法软件。	–
`457`	文件已恢复。	–
`308`	对象的备份副本已创建。	–
`458`	注册表值已恢复。	–
`459`	注册表值已删除。	–
`329`	对象已重命名。	–

漏洞利用防御

事件 ID	描述	默认被启用
`302`	检测到恶意对象。	–
`331`	已阻止。	–
`455`	回滚已完成。	–
`307`	对象已删除。	–
`323`	对象将在重启时删除。	–
`457`	文件已恢复。	–
`458`	注册表值已恢复。	–
`459`	注册表值已删除。	–
`329`	对象已重命名。	–

主机入侵防御

事件 ID	描述	默认被启用
`302`	检测到恶意对象。
`312`	无法清除。	–
`313`	无法被删除。	–
`317`	处理错误。	–
`452`	进程已终止。	–
`453`	无法终止进程。	–
`310`	无法创建备份副本。	–
`314`	对象未处理。	–
`320`	对象已加密。	–
`321`	对象已损坏。	–
`323`	对象将在重启时删除。	–
`324`	对象将在重启时被清除。	–
`303`	检测到可被入侵者利用以破坏您的计算机或个人数据的合法软件。	–
`336`	无法从备份恢复对象。	–
`307`	对象已删除。	–
`306`	对象已清除。	–
`301`	对象已处理。	–
`308`	对象的备份副本已创建。	–
`315`	对象已跳过。	–
`318`	检测到存档。	–
`319`	检测到打包对象。	–
`327`	被先前清除过的副本覆盖。	–
`332`	检测到对象的信息。	–
`322`	检测到密码保护的存档。	–
`335`	对象已从备份恢复。	–
`401`	应用程序被放置到受信任组。	–
`402`	应用程序被放置到受限制组。	–
`403`	主机入侵防御已触发。	–
`340`	对象位于私有 KSN 允许列表。

文件威胁防护

事件 ID	描述	默认被启用
`302`	检测到恶意对象。
`312`	无法清除。	–
`313`	无法被删除。	–
`317`	处理错误。
`452`	进程已终止。	–
`453`	无法终止进程。	–
`310`	无法创建备份副本。	–
`314`	对象未处理。	–
`320`	对象已加密。	–
`321`	对象已损坏。	–
`323`	对象将在重启时删除。	–
`324`	对象将在重启时被清除。	–
`303`	检测到可被入侵者利用以破坏您的计算机或个人数据的合法软件。	–
`336`	无法从备份恢复对象。	–
`307`	对象已删除。	–
`306`	对象已清除。	–
`455`	回滚已完成。	–
`301`	对象已处理。	–
`308`	对象的备份副本已创建。	–
`315`	对象已跳过。	–
`318`	检测到存档。	–
`319`	检测到打包对象。	–
`325`	被先前清除过的副本覆盖。	–
`322`	检测到密码保护的存档。	–
`332`	检测到对象的信息。	–
`335`	对象已从备份恢复。	–
`340`	对象位于私有 KSN 允许列表。

Web 威胁防护

事件 ID	描述	默认被启用
`302`	检测到恶意对象。
`362`	阻止了危险链接。
`363`	打开了危险链接。
`1201`	检测到先前打开的危险链接。
`317`	处理错误。
`303`	检测到可被入侵者利用以破坏您的计算机或个人数据的合法软件。	–
`331`	已阻止	–
`341`	对象下载已阻止。	–
`321`	对象已损坏。	–
`301`	对象已处理。	–
`301`	链接已处理。	–
`332`	检测到对象的信息。	–
`319`	检测到打包对象。	–
`318`	检测到存档。	–
`322`	检测到密码保护的存档。	–
`370`	链接位于私有 KSN 允许列表。
`370`	对象位于私有 KSN 允许列表。

邮件威胁防护

事件 ID	描述	默认被启用
`302`	检测到恶意对象。
`312`	无法清除。	–
`317`	处理错误。
`314`	对象未处理。	–
`303`	检测到可被入侵者利用以破坏您的计算机的合法软件。	–
`321`	对象已损坏。	–
`336`	无法从备份恢复对象。	–
`307`	对象已删除。	–
`342`	对象根据设置被删除。	–
`306`	对象已清除。	–
`301`	对象已处理。	–
`308`	对象的备份副本已创建。	–
`318`	检测到存档。	–
`319`	检测到打包对象。	–
`329`	对象已重命名。	–
`332`	检测到对象的信息。	–
`322`	检测到密码保护的存档。	–
`335`	对象已从备份恢复。	–
`340`	对象位于私有 KSN 允许列表。

防火墙

事件 ID		描述	默认被启用
`602`		网络活动已阻止。
`601`		网络活动已允许。	–

网络威胁防护

事件 ID		描述	默认被启用
`651`		检测到网络攻击。	–

BadUSB 攻击防护

事件 ID	描述	默认被启用
`2051`	键盘未授权。
`2052`	键盘授权错误。
`2050`	键盘已授权。	–

AMSI 保护

事件 ID	描述	默认被启用
`302`	检测到恶意对象。
`2200`	AMSI 请求被阻止。
`317`	处理错误。
`314`	对象未处理。	–
`320`	对象已加密。	–
`321`	对象已损坏。	–
`303`	检测到可被入侵者利用以破坏您的计算机或个人数据的合法软件。	–
`1512`	对象扫描结果已被发送到第三方应用程序。	–
`301`	对象已处理。	–
`315`	对象已跳过。	–
`318`	检测到存档。	–
`319`	检测到打包对象。	–
`322`	检测到密码保护的存档。	–
`332`	检测到对象的信息。	–
`340`	对象位于私有 KSN 允许列表。

应用程序控制

事件 ID	描述	默认被启用
`702`	应用程序启动已禁止。	–
`710`	禁止的进程在 Kaspersky Endpoint Security for Windows 启动之前被启动。	–
`707`	任务设置错误。任务设置未应用。	–
`708`	任务设置被成功应用。	–
`701`	应用程序启动已允许。	–
`703`	应用程序启动已在测试模式中禁止。	–
`704`	应用程序启动已在测试模式中允许。	–

设备控制

事件 ID	描述	默认被启用
`802`	设置操作已允许。	–
`809`	网络连接已阻止。	–
`803`	到设备的临时访问已激活。
`801`	设置操作已允许。	–
`808`	文件操作已执行。	–

Web 控制

事件 ID	描述	默认被启用
`752`	访问被拒绝。	–
`753`	警告垃圾内容。	–
`754`	警告后依然访问了垃圾内容。	–
`751`	访问已允许。	–
`751`	允许的页面已打开。	–

自适应异常控制

事件 ID		描述	默认被启用
`2200`		进程操作已阻止。
`2201`		进程操作已跳过。	–

数据加密

事件 ID	描述	默认被启用
`904`	应用文件加密/解密规则错误。
`912`	文件加密/解密错误。
`940`	文件访问被阻止。
`951`	启用便携模式错误。
`953`	禁用便携模式错误。
`931`	创建加密包错误。
`1305`	加密/解密设备错误。
`1311`	加载加密模块失败。
`1340`	管理身份验证代理账户的任务以错误结束。
`1312`	策略无法被应用。
`1342`	FDE 升级失败。
`1344`	“完整磁盘加密”升级回滚完成但出错。
`903`	已中断应用文件加密/解密规则。	–
`914`	文件加密/解密已中断。	–
`1303`	设备加密/解密已中断。	–
`1306`	用户已退出加密策略。	–
`1345`	在 WinRE 镜像中安装或升级卡巴斯基磁盘加密驱动程序失败。
`901`	已开始应用文件加密/解密规则。	–
`902`	已完成应用文件加密/解密规则。	–
`905`	已恢复应用文件加密/解密规则。	–
`910`	文件加密/解密已启动。	–
`911`	文件加密/解密已完成。	–
`913`	文件由于被排除而未被加密。	–
`950`	便携模式已启动。	–
`952`	便携模式已禁用。	–
`1301`	设备加密/解密已启动。	–
`1302`	设备加密/解密已完成。	–
`1304`	设备加密/解密已恢复。	–
`1310`	加密模块已加载。	–
`1307`	设备未加密。	–
`1308`	设备加密/解密进程已切换到主动模式。	–
`1309`	驱动器加密/解密进程已切换到被动模式。	–
`1330`	新身份验证代理账户已创建。	–
`1331`	身份验证代理账户已删除。	–
`1332`	身份验证代理账户密码已更改。	–
`1333`	身份验证代理登录成功。	–
`1334`	身份验证代理登录尝试失败。	–
`1335`	使用请求访问加密设备的过程访问硬盘驱动器。	–
`1336`	尝试使用请求访问加密设备的过程访问硬盘驱动器失败。	–
`1337`	账户未添加。该账户已经存在。	–
`1338`	账户未修改。该账户不存在。	–
`1339`	账户未删除。该账户不存在。	–
`1341`	FDE 升级成功。
`1343`	FDE 升级回滚成功。
`1346`	从 WinRE 镜像中卸载卡巴斯基磁盘加密驱动程序失败。
`1370`	BitLocker 恢复密钥已更改。
`1371`	BitLocker 密码/PIN 已更改。
`1372`	BitLocker 恢复密钥保存在可移动驱动器上。

端点传感器

事件 ID	描述	默认被启用
`2100`	Kaspersky Anti Targeted Attack Platform 服务器不可用。	–
`2105`	应用程序启动已阻止。
`2106`	文档打开已阻止。
`2112`	从文件镜像或流启动的所有进程已被终止。
`2113`	应用程序已启动。
`2111`	文件或流已被 Kaspersky Anti Targeted Attack Platform 服务器管理员删除。
`2110`	文件已在 Kaspersky Anti Targeted Attack Platform 服务器上由管理员从隔离恢复。
`2109`	文件已在 Kaspersky Anti Targeted Attack Platform 服务器上由管理员隔离。
`2107`	所有第三方应用程序的网络活动已被阻止。
`2108`	已取消阻止网络流量。
`2104`	Kaspersky Anti Targeted Attack Platform 服务器的任务正在被处理。	–
`2103`	Kaspersky Anti Targeted Attack Platform 服务器的任务处理未活动。	–
`2101`	端点传感器已连接到服务器。	–
`2102`	到 Kaspersky Anti Targeted Attack Platform 服务器的连接已恢复。	–

病毒扫描

事件 ID	描述	默认被启用
`302`	检测到恶意对象。
`312`	无法清除。	–
`313`	无法被删除。	–
`317`	处理错误。	–
`452`	进程已终止。	–
`453`	无法终止进程。	–
`310`	无法创建备份副本。	–
`314`	对象未处理。	–
`320`	对象已加密。	–
`321`	对象已损坏。	–
`323`	对象将在重启时删除。	–
`324`	对象将在重启时被清除。	–
`303`	检测到可被入侵者利用以破坏您的计算机或个人数据的合法软件。	–
`336`	无法从备份恢复对象。
`307`	对象已删除。	–
`306`	对象已清除。	–
`455`	回滚已完成。	–
`301`	对象已处理。	–
`308`	对象的备份副本已创建。	–
`315`	对象已跳过。	–
`318`	检测到存档。	–
`319`	检测到打包对象。	–
`327`	被先前清除过的副本覆盖。	–
`332`	检测到对象的信息。	–
`322`	检测到密码保护的存档。	–
`335`	对象已从备份恢复。
`329`	对象已重命名。	–
`340`	对象位于私有 KSN 允许列表。

完整性检查

事件 ID		描述	默认被启用
`2002`		系统模块签名检查失败。	–

数据库更新

事件 ID	描述	默认被启用
`1011`	更新组件错误。	–
`1012`	分发组件更新错误。	–
`1014`	本地更新错误。	–
`1015`	网络更新错误。	–
`1017`	无法同时启动两个任务。	–
`1018`	验证应用程序数据库和模块错误。	–
`1019`	与 Kaspersky Security Center 交互错误。	–
`1021`	不是所有组件都被更新。	–
`1023`	更新成功完成，更新分发失败。	–
`101`	发生了内部错误。
`2153`	补丁安装失败。	–
`2156`	补丁回滚失败。	–
`1016`	操作被用户取消。	–
`1001`	已选择更新源。	–
`1002`	已选择代理服务器。	–
`1003`	文件下载。	–
`1004`	文件已下载。	–
`1005`	文件已安装。	–
`1006`	文件已更新。	–
`1007`	由于更新错误，文件已回滚。	–
`1008`	更新文件。	–
`1009`	分发更新。	–
`1010`	回滚文件。	–
`1013`	创建下载文件列表。	–
`1020`	没有可用更新。	–
`1022`	更新分发成功完成。	–
`2150`	下载补丁。	–
`2151`	安装补丁。	–
`2152`	补丁已安装。	–
`2154`	回滚补丁。	–
`2155`	补丁已回滚。	–

擦除数据

事件 ID	描述	默认被启用
`2252`	无法被删除。	–
`2253`	擦除任务统计信息。	–
`2251`	对象已删除。	–

Endpoint Detection and Response

事件 ID		描述	默认被启用
`2551`		对象启动已阻止。
`2552`		进程启动已阻止。
`2559`		脚本执行被阻止。
`2556`		对象未隔离(Endpoint Detection and Response)。
`2651`		找到 IOC。
`2553`		对象启动已允许。事件已记录。
`2554`		进程启动已允许。事件已记录。
`2560`		脚本执行已允许。事件已记录。
`2558`		对象将在重启后删除(Endpoint Detection and Response)。
`2700`		网络隔离
`2701`		终止网络隔离
`2555`		对象已隔离(Endpoint Detection and Response)
`2557`		对象已删除(Endpoint Detection and Response)
`2652`		IOC 扫描已启动
`2653`		IOC 扫描已完成

Kaspersky Sandbox

事件 ID	描述	默认被启用
`2603`	对象未隔离(Kaspersky Sandbox)。
`2607`	发生了内部错误。
`2611`	提交扫描任务到 Kaspersky Sandbox 时发生了错误。
`2613`	无效的 Kaspersky Sandbox 服务器证书。
`2614`	Kaspersky Sandbox 节点不可用。
`2615`	在异步任务处理期间检测到威胁。
`2617`	在 Kaspersky Sandbox 中处理对象失败。
`2618`	已超过 Kaspersky Sandbox 的最大负载。
`2651`	找到 IOC。
`2620`	Kaspersky Sandbox 授权许可验证失败。
`2605`	对象将在重启后删除(Kaspersky Sandbox)。
`2612`	扫描任务总大小已超过限制。
`308`	对象的备份副本已创建。	–
`2602`	对象已隔离(Kaspersky Sandbox)。
`2604`	对象已删除(Kaspersky Sandbox)。
`2606`	已决定发送扫描任务到 Kaspersky Sandbox。
`2609`	本地缓存已被清空。
`2610`	扫描任务已被发动到 Kaspersky Sandbox。
`2616`	异步任务处理过程中未检测到威胁。
`2652`	IOC 扫描已启动。
`2653`	IOC 扫描已完成。
`2608`	同步对象处理过程中发现缓存结果

您觉得这篇文章有帮助吗？

我们可以做什么更好？

感谢您的反馈！你正在帮助我们进步。