Приложение 6. События приложения

Поддержка

Поддержка приложений для бизнеса

Kaspersky Endpoint Security 11 для Windows

Приложения

Приложение 6. События приложения

11 апреля 2024

ID 214871

Информация о работе каждого компонента Kaspersky Endpoint Security, о событиях шифрования данных, о выполнении каждой задачи проверки, задачи обновления и задачи проверки целостности, а также о работе приложения в целом сохраняется в журнале событий Kaspersky Security Center и журнале событий Windows.

Kaspersky Endpoint Security формирует события следующих типов: общие и специфические события. Специфические события создает только приложение Kaspersky Endpoint Security для Windows. Специфические события имеют простой идентификатор, например, 000000cb. Специфические события содержат следующие обязательные параметры:

GNRL_EA_DESCRIPTION – содержание события.
GNRL_EA_ID – служебный идентификатор события.
GNRL_EA_SEVERITY – статус события. 1 – Информационное сообщение , 2 – Предупреждение , 3 – Отказ функционирования , 4 – Критическое .
EVENT_TYPE_DISPLAY_NAME – заголовок события.
TASK_DISPLAY_NAME – название компонента приложения, который инициировал событие.

Общие события, кроме Kaspersky Endpoint Security для Windows, могут создавать и другие приложения "Лаборатории Касперского" (например, Kaspersky Security для Windows Server). Общие события имеют более сложный идентификатор, например, GNRL_EV_VIRUS_FOUND. Общие события кроме обязательных параметров содержат еще дополнительные параметры.

Статус
Компонент	Системный аудит
Идентификатор события Windows	`201`
Идентификатор события Kaspersky Security Center	`GNRL_EV_LICENSE_EXPIRATION`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от файловых угроз Защита от веб-угроз Защита от почтовых угроз AMSI-защита Предотвращение вторжений Анализ поведения Защита от эксплойтов Поиск вредоносного ПО
Идентификатор события Windows	`302`
Идентификатор события Kaspersky Security Center	`GNRL_EV_VIRUS_FOUND`
Параметры события	`GNRL_EA_PARAM_1` – хеш объекта (SHA256). `GNRL_EA_PARAM_2` – название объекта. `GNRL_EA_PARAM_5` – название угрозы по классификации "Лаборатории Касперского", например, `EICAR-Test-File`. `GNRL_EA_PARAM_7` – имя сессионного пользователя. `GNRL_EA_PARAM_8` – тип угрозы, например, `Trojware`. `GNRL_EA_PARAM_9` – дополнительная информация об обнаружении объекта: Компонент приложения (`engine`). `1` – Защита от файловых угроз. `2` – Защита от почтовых угроз. `3` – Защита от веб-угроз. `6` – Предотвращение вторжений. `7` – Сетевой экран `8` – Анализ поведения. `9` – Защита от эксплойтов. `10` – задача Антивирусная проверка. `11` – AMSI-защита. Технология обнаружения угроз (`method`). `1` – машинное обучение. `2` – Kaspersky Security Network. `3` – экспертный анализ. `4` – поведенческий анализ. `5` – автоматический анализ. `6` – Kaspersky Sandbox. Угроза обнаружена с помощью Локального KSN (`blacklist`): `true` или `false`. Версия EDR. Идентификатор угрозы в EDR. Хеш объекта MD5.
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от файловых угроз Защита от почтовых угроз Предотвращение вторжений Поиск вредоносного ПО
Идентификатор события Windows	`312`
Идентификатор события Kaspersky Security Center	`GNRL_EV_OBJECT_NOTCURED`
Параметры события	`GNRL_EA_PARAM_1` – хеш объекта (SHA256). `GNRL_EA_PARAM_2` – название объекта. `GNRL_EA_PARAM_5` – название угрозы по классификации "Лаборатории Касперского", например, `EICAR-Test-File`. `GNRL_EA_PARAM_7` – имя сессионного пользователя. `GNRL_EA_PARAM_8` – тип угрозы, например, `Trojware`. `GNRL_EA_PARAM_9` – дополнительная информация об обнаружении объекта: Компонент приложения (`engine`). Технология обнаружения угроз (`method`). Угроза обнаружена с помощью Локального KSN (`blacklist`): `true` или `false`. Версия EDR. Идентификатор угрозы в EDR. Хеш объекта MD5.
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от файловых угроз Предотвращение вторжений Анализ поведения Поиск вредоносного ПО
Идентификатор события Windows	`313`
Идентификатор события Kaspersky Security Center	`00000139`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от веб-угроз
Идентификатор события Windows	`362`
Идентификатор события Kaspersky Security Center	`GNRL_EV_VIRUS_FOUND_AND_BLOCKED`
Параметры события	`GNRL_EA_PARAM_2` – путь к объекту. `GNRL_EA_PARAM_5` – название угрозы по классификации "Лаборатории Касперского". `GNRL_EA_PARAM_7` – имя сессионного пользователя. `GNRL_EA_PARAM_8` – тип угрозы, например, `Trojware`. `GNRL_EA_PARAM_9` – дополнительная информация об обнаружении объекта: Компонент приложения (`engine`). Технология обнаружения угроз (`method`). Угроза обнаружена с помощью Локального KSN (`blacklist`): `true` или `false`.
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Адаптивный контроль аномалий
Идентификатор события Windows	`2200`
Идентификатор события Kaspersky Security Center	`GNRL_EV_ADSEC_DETECT`
Параметры события	`GNRL_EA_PARAM_1` – название правила Адаптивного контроля аномалий. `GNRL_EA_PARAM_2` – идентификатор эвристического правила. `GNRL_EA_PARAM_3` – имя сессионного пользователя. `GNRL_EA_PARAM_4` – исходный процесс. `GNRL_EA_PARAM_5` – исходный объект. `GNRL_EA_PARAM_6` – целевой процесс. `GNRL_EA_PARAM_7` – целевой объект. `GNRL_EA_PARAM_8` – дополнительная информация об обнаружении объекта: Хеш-суммы исходного процесса / объекта и целевого процесса / объекта. Блокирование процесса (`verdict_type`): `true` или `false`. Идентификатор безопасности пользователя (SID).
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от атак BadUSB
Идентификатор события Windows	`2051`
Идентификатор события Kaspersky Security Center	`00000803`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	AMSI-защита
Идентификатор события Windows	`2200`
Идентификатор события Kaspersky Security Center	`00000898`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Сетевой экран
Идентификатор события Windows	`602`
Идентификатор события Kaspersky Security Center	`00000329`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от сетевых угроз
Идентификатор события Windows	`651`
Идентификатор события Kaspersky Security Center	`GNRL_EV_ATTACK_DETECTED`
Параметры события	`GNRL_EA_PARAM_1` – название атаки. `GNRL_EA_PARAM_2` – протокол. `GNRL_EA_PARAM_3` – IP-адрес компьютера, с которого осуществляется сетевая атака. IP-адрес указан в порядке байтов хоста. Например, `2886729929` для `172.16.0.201`. `GNRL_EA_PARAM_4` – номер порта. `GNRL_EA_PARAM_5` – IPv6-адрес, например, `12B012B012B012B012B012B012B012B0`. `GNRL_EA_PARAM_6` – IP-адрес компьютера, на который осуществляется сетевая атака. IP-адрес указан в порядке байтов хоста. Например, `2886729929` для `172.16.0.201`.
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Контроль приложений
Идентификатор события Windows	`702`
Идентификатор события Kaspersky Security Center	`GNRL_EV_APPLICATION_LAUNCH_DENIED`
Параметры события	`GNRL_EA_PARAM_2` – имя сессионного пользователя. `GNRL_EA_PARAM_3` – идентификатор категории, созданной вручную. `GNRL_EA_PARAM_4` – идентификатор категории приложений. `GNRL_EA_PARAM_5` – информация о цифровой подписи приложения. `GNRL_EA_PARAM_6` – имя исполняемого файла приложения (например, chrome.exe). `GNRL_EA_PARAM_7` – путь к исполняемому файлу. `GNRL_EA_PARAM_8` – хеш объекта (SHA256). `GNRL_EA_PARAM_9` – версия приложения, которую пользователь пытается запустить.
Журнал событий Windows (по умолчанию)	`–`
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Веб-Контроль
Идентификатор события Windows	`752`
Идентификатор события Kaspersky Security Center	`GNRL_EV_WEB_URL_BLOCKED`
Параметры события	`GNRL_EA_PARAM_1` – URL-адрес. `GNRL_EA_PARAM_2` – имя сессионного пользователя. `GNRL_EA_PARAM_3` – название правила Веб-Контроля.
Журнал событий Windows (по умолчанию)	`–`
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Контроль устройств
Идентификатор события Windows	`802`
Идентификатор события Kaspersky Security Center	`GNRL_EV_DEVCTRL_DEV_PLUG_DENIED`
Параметры события	`GNRL_EA_PARAM_1` – идентификатор устройства (англ. Hardware ID – HWID). `GNRL_EA_PARAM_2` – имя сессионного пользователя.
Журнал событий Windows (по умолчанию)	`–`
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Обновление баз
Идентификатор события Windows	`1011`
Идентификатор события Kaspersky Security Center	`000003f3`
Журнал событий Windows (по умолчанию)	`–`
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Шифрование данных
Идентификатор события Windows	`904`
Идентификатор события Kaspersky Security Center	`00000388`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Endpoint Sensor
Идентификатор события Windows	`2100`
Идентификатор события Kaspersky Security Center	`00000834`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Kaspersky Sandbox
Идентификатор события Windows	`2252`
Идентификатор события Kaspersky Security Center	`000008cc`
Журнал событий Windows (по умолчанию)	`–`
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Endpoint Detection and Response
Идентификатор события Windows	`2651`
Идентификатор события Kaspersky Security Center	`00000a5b`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Анализ журналов
Идентификатор события Windows	`2800`
Идентификатор события Kaspersky Security Center	`00000af0`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Анализ поведения Защита от эксплойтов Защита от веб-угроз
Идентификатор события Windows	`331`
Идентификатор события Kaspersky Security Center	–
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)	–

Приложение 6. События приложения

Kaspersky Endpoint Security для Windows — обнаружение даже продвинутых угроз

Расширенная техническая поддержка (MSA) — приоритетная обработка инцидентов

Статус
Компонент	Защита от файловых угроз Анализ поведения Предотвращение вторжений Поиск вредоносного ПО
Идентификатор события Windows	`310`
Идентификатор события Kaspersky Security Center	`00000136`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Предотвращение вторжений
Идентификатор события Windows	`320`
Идентификатор события Kaspersky Security Center	`00000140`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)	–

Статус
Компонент	Предотвращение вторжений Защита от файловых угроз Поиск вредоносного ПО
Идентификатор события Windows	`324`
Идентификатор события Kaspersky Security Center	–
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)	–

Статус
Компонент	Защита от почтовых угроз
Идентификатор события Windows	`342`
Идентификатор события Kaspersky Security Center	–
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)	–

Статус
Компонент	Проверка целостности
Идентификатор события Windows	`2002`
Идентификатор события Kaspersky Security Center	`000007d2`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Мониторинг файловых операций
Идентификатор события Windows	`2900`
Идентификатор события Kaspersky Security Center	`00000b54`
Журнал событий Windows (по умолчанию)
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Защита от почтовых угроз Защита от эксплойтов Анализ поведения Поиск вредоносного ПО
Идентификатор события Windows	`329`
Идентификатор события Kaspersky Security Center	`00000149`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)

Статус
Компонент	Анализ поведения Защита от эксплойтов
Идентификатор события Windows	`458`
Идентификатор события Kaspersky Security Center	`000001ca`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)	–

Статус
Компонент	Удаление данных
Идентификатор события Windows	`2251`
Идентификатор события Kaspersky Security Center	`000008cb`
Журнал событий Windows (по умолчанию)	–
Журнал событий Kaspersky Security Center (по умолчанию)	–