Использование средства просмотра событий c AppLocker

В этой статье перечислены события AppLocker и описано использование средства просмотра событий с AppLocker.

Журнал AppLocker содержит сведения о приложениях, на которые влияют правила AppLocker. Каждое событие в журнале содержит следующую подробную информацию.

  • Затронутый файл и путь к этому файлу.

  • Затронутое упакованное приложение и идентификатор пакета этого приложения.

  • Разрешен ли или блокируется файл или упакованное приложение.

  • Тип правила (путь, хеш файла или издатель).

  • Имя правила.

  • Идентификатор безопасности (SID) для пользователя или группы, указанных в правиле.

Изучите записи в средстве просмотра событий, чтобы определить, существуют ли приложения, не включенные в автоматически созданные правила. Например, некоторые бизнес-приложения устанавливаются в нестандартные расположения, например в корневую папку активного диска (пример: %SystemDrive%).

Сведения о том, какие сведения содержатся в журналах событий AppLocker, см. в разделе Мониторинг использования приложений с помощью AppLocker.

Mt431863.wedge(ru-ru,VS.85).gifПросмотр журнала AppLocker в средстве просмотра событий

  1. Откройте средство просмотра событий.

  2. В дереве консоли в разделе Журналы приложения и служб\Microsoft\Windows щелкните AppLocker.

В следующей таблице содержится информация о событиях, с помощью которых можно определить, на какие приложения повлияли правила AppLocker.

ИД событияУровеньСообщение событияОписание

8000

Ошибка

Сбой преобразования политики удостоверения приложения. Состояние <%1>

Указывает, что политика не была правильно применена на компьютере. Сообщение о состоянии предоставляется для диагностики и устранения проблем.

8001

Сведения

Политика AppLocker была успешно применена на этом компьютере.

Указывает, что политика AppLocker была успешно применена на этом компьютере.

8002

Сведения

Выполнение <File name> было разрешено.

Указывает, что EXE- или DLL-файл было разрешено запустить согласно правилу AppLocker.

8003

Предупреждение

Выполнение <File name> было разрешено, но оно могло быть запрещено, если бы использовалась политика AppLocker.

Применяется только с включенным режимом Только аудит. Указывает, что EXE- или DLL-файл был бы блокирован, если бы был включен режим Принудительное применение правил.

8004

Ошибка

<File name> не разрешено запустить.

Доступ к <file name> ограничен администратором. Применяется, только если режим Принудительное применение правил задан непосредственно или опосредовано через наследование групповой политики. Невозможно запустить EXE- или DLL-файл.

8005

Сведения

Выполнение <File name> было разрешено.

Указывает, что скрипт или MSI-файл разрешено запустить согласно правилу AppLocker.

8006

Предупреждение

Выполнение <File name> было разрешено, но оно могло быть запрещено, если бы использовалась политика AppLocker.

Применяется только с включенным режимом Только аудит. Указывает, что скрипт или MSI-файл был бы блокирован, если бы был включен режим Принудительное применение правил.

8007

Ошибка

<File name> не разрешено запустить.

Доступ к <file name> ограничен администратором. Применяется, только если режим Принудительное применение правил задан непосредственно или опосредовано через наследование групповой политики. Скрипт или MSI-файл запустить невозможно.

8007

Ошибка

AppLocker отключен в SKU.

Добавлено в Windows Server 2012 и Windows 8.

8020

Сведения

Упакованное приложение разрешено.

Добавлено в Windows Server 2012 и Windows 8.

8021

Сведения

Упакованное приложение проходит аудит.

Добавлено в Windows Server 2012 и Windows 8.

8022

Сведения

Упакованное приложение отключено.

Добавлено в Windows Server 2012 и Windows 8.

8023

Сведения

Разрешена установка упакованного приложения.

Добавлено в Windows Server 2012 и Windows 8.

8024

Сведения

Проводится аудит установки упакованного приложения.

Добавлено в Windows Server 2012 и Windows 8.

8025

Предупреждение

Установка упакованного приложения отключена.

Добавлено в Windows Server 2012 и Windows 8.

8027

Предупреждение

Правило для упакованного приложения не настроено.

Добавлено в Windows Server 2012 и Windows 8.

 

Связанные разделы

Средства для использования с AppLocker

 

 

Показ: