Passer en revue les événements et les erreurs à l’aide de observateur d'événements

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Cet article fournit des descriptions et des étapes de résolution des problèmes pour les événements signalés par le service Microsoft Defender for Endpoint. Utilisez le Windows observateur d'événements sur des appareils individuels pour passer en revue ces événements et déterminer les actions appropriées pour résoudre les problèmes liés au service.

Afficher les événements dans le journal des événements du service Defender pour point de terminaison

Vous pouvez consulter les ID d’événement dans le observateur d'événements sur des appareils individuels. L'examen des ID d'événement dans observateur d'événements peut vous aider quand, par exemple, un appareil n'apparaît pas dans la liste Appareils. Dans ce scénario, vous pouvez rechercher des ID d’événement sur l’appareil, puis utiliser le tableau de référence de l’ID d’événement dans cet article pour déterminer les étapes de résolution des problèmes supplémentaires en fonction de l’ID d’événement correspondant.

Pour ouvrir le journal des événements du service Microsoft Defender pour point de terminaison :

  1. Sélectionnez Démarrer dans le menu Windows, tapez observateur d'événements, puis appuyez sur Entrée pour ouvrir le observateur d'événements.

  2. Dans la liste des journaux, sous Résumé du journal, faites défiler jusqu’à ce que vous voyiez Microsoft-Windows-SENSE/Operational. Double-cliquez sur l’élément pour ouvrir le journal.

    Vous pouvez également accéder au journal en développant Journaux des applications et des services>Microsoft>Windows>SENSE, puis sélectionnez Opérationnel.

    Remarque

    SENSE est le nom interne utilisé pour faire référence au capteur comportemental qui alimente Microsoft Defender pour point de terminaison.

  3. Les événements enregistrés par le service apparaissent dans le journal.

La table ID d’événement de service de cet article répertorie les événements enregistrés par le service.

ID d’événement Message Description Action
1 Le service Microsoft Defender for Endpoint a démarré (version variable). Se produit pendant le démarrage, l’arrêt et la configuration initiale du système. Notification de fonctionnement normal ; aucune action requise.
2 Arrêt du service Microsoft Defender for Endpoint. Se produit lorsque l’appareil est arrêté ou désactivé. Notification de fonctionnement normal ; aucune action requise.
3 Le service Microsoft Defender for Endpoint n’a pas pu démarrer. Code d’échec : variable. Le service n’a pas démarré. Passez en revue les autres messages pour déterminer la cause possible et les étapes de résolution des problèmes.
4 Le service Microsoft Defender pour point de terminaison a contacté le serveur sur variable. Variable = URL des serveurs de traitement de Microsoft Defender for Endpoint.

Cette URL correspond à celle observée dans le pare-feu ou dans l’activité réseau.		 Notification de fonctionnement normal ; aucune action requise.
5 Le service Microsoft Defender for Endpoint n’a pas pu se connecter au serveur à l’adresse variable. Variable = URL des serveurs de traitement de Microsoft Defender for Endpoint.

Le service n’a pas pu contacter les serveurs de traitement externes à cette URL.		 Vérifiez la connexion à l’URL. Consultez Configurer le proxy et la connectivité Internet.
6 Le service Microsoft Defender pour point de terminaison n’est pas configuré et aucun paramètre d’intégration n’a été trouvé. L’appareil n’a pas été correctement mis en service et ne remonte pas d’informations au portail. La procédure d’initialisation doit être effectuée avant de démarrer le service.

Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajout d’appareils clients.
7 Le service Microsoft Defender for Endpoint n’a pas pu lire les paramètres d’intégration. Échec : variable. Variable = description détaillée de l’erreur. L’appareil n’a pas été correctement intégré et ne signale pas au portail. Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Intégrer des appareils clients.
8 Le service Microsoft Defender for Endpoint n’a pas pu nettoyer sa configuration. Code d’échec : variable. Pendant l’intégration : Le service n’a pas pu propre sa configuration pendant l’intégration. Le processus d’intégration se poursuit.

Lors de la désinstallation : Le service n’a pas nettoyé sa configuration lors de la désinstallation. Le processus de retrait est terminé, mais le service continue de fonctionner.		 Intégration : Aucune action n’est requise.

Désintégrage : Redémarrez le système.

Voir Ajouter des appareils clients.
9 Le service Microsoft Defender pour point de terminaison n’a pas réussi à modifier son type de démarrage. Code d’échec : variable. Pendant l’intégration : L’appareil n’a pas été correctement intégré et ne signale pas au portail.

Pendant la désintégration : Échec de la modification du type de démarrage du service. Le processus de désintégration se poursuit.		 Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Intégrer des appareils clients.
10 Le service Microsoft Defender for Endpoint n’a pas pu enregistrer les informations d’intégration. Code d’échec : variable. L’appareil n’a pas été correctement mis en service et ne remonte pas d’informations au portail. Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajouter des appareils clients sous Windows ou macOS.
11 Intégration ou réintégration du service Defender for Endpoint terminée. L’appareil a été correctement intégré. Notification de fonctionnement normal ; aucune action requise.

L’affichage de l’appareil dans le portail peut prendre plusieurs heures.
12 Microsoft Defender pour point de terminaison n’a pas pu appliquer la configuration par défaut. Le service n’a pas pu appliquer la configuration par défaut. L’erreur de configuration par défaut doit être résolue après une courte période de temps.
13 ID de l’appareil Microsoft Defender pour point de terminaison calculé : variable. Processus de fonctionnement normal. Notification de fonctionnement normal ; aucune action requise.
15 Microsoft Defender for Endpoint ne peut pas ouvrir de canal de commande avec l’URL : variable. Variable = URL des serveurs de traitement de Microsoft Defender for Endpoint.

Le service n’a pas pu contacter les serveurs de traitement externes à cette URL.		 Vérifiez la connexion à l’URL. Consultez Configurer le proxy et la connectivité Internet.
17 Le service Microsoft Defender for Endpoint n’a pas réussi à modifier l’emplacement du service Expériences des utilisateurs connectés et télémétrie. Code d’échec : variable. Une erreur s’est produite avec le service de télémétrie Windows. Vérifiez que le service de données de diagnostic est activé . Vérifiez> que le service de données de diagnostic est activé.

Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajouter des appareils clients sous Windows ou macOS.
18 OOBE (Windows Welcome) est terminé. Le service ne démarre qu’une fois l’installation des mises à jour Windows terminée. Notification de fonctionnement normal ; aucune action requise.
19 OOBE (Windows Welcome) n’est pas encore terminé. Le service démarre uniquement une fois l’installation des mises à jour Windows terminée. Notification de fonctionnement normal ; aucune action requise.

Si cette erreur persiste après un redémarrage du système, vérifiez que toutes les mises à jour Windows sont complètes.
20 Impossible d’attendre la fin de l’OOBE (Windows Welcome). Code d’échec : variable. Erreur interne. Si cette erreur persiste après un redémarrage du système, vérifiez que toutes les mises à jour Windows sont installées.
25 Le service Microsoft Defender for Endpoint n’a pas réussi à réinitialiser l’état d’intégrité dans le registre. Code d’échec : variable. L’appareil n’a pas été correctement intégré. Il rend compte au portail ; Toutefois, le service peut ne pas apparaître comme inscrit dans SCCM ou le registre. Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajouter des appareils clients sous Windows ou macOS.
26 Le service Microsoft Defender pour point de terminaison n’a pas réussi à définir l’état d’intégration dans le Registre. Code d’échec : variable. L’appareil n’a pas été correctement intégré.

Il rend compte au portail ; Toutefois, le service peut ne pas apparaître comme inscrit dans SCCM ou le registre.		 Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajouter des appareils clients sous Windows ou macOS.
27 Le service Microsoft Defender for Endpoint n’a pas réussi à activer le mode SENSE dans Microsoft Defender Antivirus. Échec du processus d’intégration. Code d’échec : variable. Normalement, Microsoft Defender Antivirus passe à un état passif spécial si un autre produit anti-programme malveillant en temps réel s’exécute correctement sur l’appareil et que l’appareil signale à Defender pour point de terminaison. Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Intégrer des appareils clients exécutant Windows ou macOS.

Vérifiez que la protection anti-programme malveillant en temps réel s’exécute correctement.
28 L’inscription au service Expériences des utilisateurs connectés et télémétrie de Microsoft Defender for Endpoint a échoué. Code d’échec : variable. Une erreur s’est produite avec le service de télémétrie Windows. Vérifiez que le service de données de diagnostic est activé.

Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajouter des appareils clients fonctionnant sous Windows ou macOS.
29 Échec de la lecture des paramètres de désintéglage. Type d’erreur : %1, Code d’erreur : %2, Description : %3 Cet événement se produit lorsque le système ne peut pas lire les paramètres de désintéglage. Vérifiez que l’appareil dispose d’un accès à Internet, puis relancez l’ensemble du processus de retrait. Vérifiez que le package de désintégrage n’a pas expiré.
30 Le service Microsoft Defender pour point de terminaison n’a pas pu désactiver le mode compatible avec SENSE dans Microsoft Defender Antivirus. Code d’échec : variable. Normalement, Microsoft Defender Antivirus passe à un état passif spécial si un autre produit anti-programme malveillant en temps réel s’exécute correctement sur l’appareil et que l’appareil signale à Defender pour point de terminaison. Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Configurer des appareils clients exécutant Windows ou macOS.

Vérifiez que la protection anti-programme malveillant en temps réel s’exécute correctement.
31 La désinscription du service Expériences utilisateur connectées et télémétrie de Microsoft Defender pour point de terminaison a échoué. Code d’échec : variable. Une erreur s’est produite avec le service de télémétrie Windows lors de l’intégration. Le processus de désintégration se poursuit. Recherchez les erreurs avec le service de télémétrie Windows.
32 Le service Microsoft Defender pour point de terminaison n’a pas réussi à demander son propre arrêt après le processus de désactivation. Code d’échec : %1 Une erreur s’est produite lors du processus de départ. Redémarrez l’appareil.
33 Le service Microsoft Defender for Endpoint n’a pas pu enregistrer de façon persistante le GUID SENSE. Code d’échec : variable. Un identificateur unique est utilisé pour représenter chaque appareil qui signale au portail.

Si l’identificateur ne persiste pas, le même appareil peut apparaître deux fois dans le portail.		 Vérifiez les autorisations du Registre sur l’appareil pour vous assurer que le service peut mettre à jour le Registre.
34 Le service Microsoft Defender pour point de terminaison n’a pas pu s’ajouter comme dépendance du service Expériences des utilisateurs connectés et télémétrie, ce qui a entraîné l’échec du processus d’intégration. Code d’échec : variable. Une erreur s’est produite avec le service de télémétrie Windows. Vérifiez que le service de données de diagnostic est activé.

Vérifiez que les paramètres d’intégration et les scripts ont été correctement déployés. Essayez de redéployer les packages de configuration.

Consultez Ajouter des appareils clients sous Windows ou macOS.
35 Les quotas de communication sont mis à jour. Quota de disque en Mo : variable, quota de chargement quotidien en Mo : variable Variable = quota de disque en Mo. Notification de fonctionnement normal ; aucune action requise.
36 L’inscription au service Expériences des utilisateurs connectés et télémétrie de Microsoft Defender pour point de terminaison a réussi. Code d’achèvement : variable. L’inscription de Defender pour point de terminaison auprès du service Expériences des utilisateurs connectés et télémétrie s’est terminée avec succès. Notification de fonctionnement normal ; aucune action requise.
37 Microsoft Defender pour point de terminaison Un module est sur le point de dépasser son quota. Module : %1, Quota : { %2} { %3}, Pourcentage d’utilisation du quota : %4. L’appareil est proche de son quota alloué de la fenêtre de 24 heures actuelle. Il est sur le point d’être limité. Notification de fonctionnement normal ; aucune action requise.
38 La connexion réseau est identifiée comme faible. Microsoft Defender pour point de terminaison contacte le serveur toutes les %1 minutes. Connexion limitée : %2, Internet disponible : %3, réseau gratuit disponible : %4. L’appareil utilise un réseau avec facturation à l’usage/payant et contacte le serveur moins fréquemment. Notification de fonctionnement normal ; aucune action requise.
39 La connexion réseau est identifiée comme normale. Microsoft Defender pour point de terminaison contacte le serveur toutes les %1 minutes. Connexion limitée : %2, Internet disponible : %3, réseau gratuit disponible : %4. L’appareil n’utilise pas de connexion limitée/payante et contacte le serveur comme d’habitude. Notification de fonctionnement normal ; aucune action requise.
40 L’état de la batterie est identifié comme faible. Microsoft Defender pour point de terminaison contacte le serveur toutes les %1 minutes. État de la batterie : %2. L’appareil a un niveau de batterie faible et contacte le serveur moins fréquemment. Notification de fonctionnement normal ; aucune action requise.
41 L’état de la batterie est identifié comme normal. Microsoft Defender pour point de terminaison contacte le serveur toutes les %1 minutes. État de la batterie : %2. L’appareil n’a pas un niveau de batterie faible et contacte le serveur comme d’habitude. Notification de fonctionnement normal ; aucune action requise.
42 Le composant Microsoft Defender for Endpoint n’a pas pu exécuter l’action. Composant : %1, Action : %2, Type d’exception : %3, Message d’exception : %4 Erreur interne. Le service n’a pas pu démarrer. Si cette erreur persiste, contactez le support technique.
43 Le composant Microsoft Defender pour point de terminaison n’a pas pu effectuer l’action. Composant : %1, Action : %2, Type d’exception : %3, Erreur d’exception : %4, Message d’exception : %5 Erreur interne. Le service n’a pas pu démarrer. Si cette erreur persiste, contactez le support technique.
44 Désactivation du service Defender pour point de terminaison terminée. Le service a été désactivé. Notification de fonctionnement normal ; aucune action requise.
45 Échec de l’inscription et du démarrage de la session de suivi des événements [ %1]. Code d’erreur : %2 Une erreur s’est produite au démarrage du service lors de la création d’une session ETW. Cela a provoqué l’échec du démarrage du service. Si cette erreur persiste, contactez le support technique.
46 Échec de l’inscription et du démarrage de la session de suivi des événements [ %1] en raison d’un manque de ressources. Code d’erreur : %2. Cela est probablement dû au fait qu’il y a trop de sessions de suivi d’événements actives. Le service réessaie dans 1 minute. Une erreur s’est produite au démarrage du service lors de la création d’une session ETW en raison d’un manque de ressources. Le service est en cours d’exécution, mais ne signale pas les événements de capteur tant que la session ETW ne démarre pas. Notification de fonctionnement normal ; aucune action requise. Le service tente de démarrer la session toutes les minutes.
47 Enregistrement et démarrage réussis de la session de traçage des événements - récupération après de précédentes tentatives ayant échoué. Cet événement suit l’événement précédent après le démarrage réussi de la session ETW. Notification de fonctionnement normal ; aucune action requise.
48 Échec de l’ajout d’un fournisseur [ %1] à la session de suivi des événements [ %2]. Code d’erreur : %3. Cela signifie que les événements de ce fournisseur ne sont pas signalés. Échec de l’ajout d’un fournisseur à la session ETW. Par conséquent, les événements du fournisseur ne sont pas signalés. Vérifiez le code d’erreur. Si l’erreur persiste, contactez le support technique.
49 Commande de configuration cloud non valide reçue et ignorée. Version : %1, status : %2, code d’erreur : %3, message : %4 Nous avons reçu un fichier de configuration non valide du service cloud qui a été ignoré. Si cette erreur persiste, contactez le support technique.
50 Nouvelle configuration cloud appliquée avec succès. Version : %1. Application réussie d’une nouvelle configuration à partir du service cloud. Notification de fonctionnement normal ; aucune action requise.
51 Échec de l’application de la nouvelle configuration cloud, version : %1. Application réussie de la dernière configuration correcte connue, version %2. Nous avons reçu un fichier de configuration incorrect du service cloud. La dernière configuration correcte connue a été appliquée avec succès. Si cette erreur persiste, contactez le support technique.
52 Échec de l’application de la nouvelle configuration cloud, version : %1. Échec de l’application de la dernière configuration correcte connue, version %2. La configuration par défaut a été correctement appliquée. Nous avons reçu un fichier de configuration incorrect du service cloud. Échec de l’application de la dernière configuration correcte connue et la configuration par défaut a été appliquée. Le service tente de télécharger un nouveau fichier de configuration dans les 5 minutes. Si l’événement « Nouvelle configuration cloud appliquée avec succès » (ID d’événement 50) n’apparaît pas après 5 minutes, contactez le support technique.
53 Configuration cloud chargée à partir du stockage persistant, version : %1. La configuration a été chargée à partir du stockage persistant au démarrage du service. Notification de fonctionnement normal ; aucune action requise.
55 Échec de la création de l’autologger ETW sécurisé. Code d’échec : %1 Échec de la création de l’enregistreur d’événements ETW sécurisé. Redémarrez l’appareil. Si cette erreur persiste, contactez le support technique.
56 Impossible de supprimer l’autologger ETW sécurisé. Code d’échec : %1 Échec de la suppression de la session ETW sécurisée lors de la désactivation. Contactez le support technique.
57 Capture d’un instantané de l’ordinateur à des fins de résolution des problèmes. Un package d’investigation, également appelé package forensique, est en cours de collecte. Notification de fonctionnement normal ; aucune action requise.
59 Commande de démarrage : %1 Démarrage de l’exécution de la commande response. Notification de fonctionnement normal ; aucune action requise.
60 Échec de l’exécution de la commande %1, erreur : %2. Échec de l’exécution de la commande response. Si cette erreur persiste, contactez le support technique.
61 Les paramètres de la commande de collecte de données ne sont pas valides : SasUri : %1, compressionLevel : %2. Échec de la lecture ou de l’analyse des arguments de commande de collecte de données (arguments non valides). Si cette erreur persiste, contactez le support technique.
62 Échec du démarrage du service Expériences des utilisateurs connectés et télémétrie. Code d’échec : %1 Le service Expériences des utilisateurs connectés et télémétrie (diagtrack) n’a pas pu démarrer. Les données de télémétrie autres que celles de Microsoft Defender pour point de terminaison ne sont pas envoyées depuis cet appareil. Recherchez d’autres conseils de résolution des problèmes dans le journal des événements : Microsoft-Windows-UniversalTelemetryClient/Operational.
63 Mise à jour du type de démarrage du service externe. Nom : %1, type de début réel : %2, type de début attendu : %3, code de sortie : %4 Type de démarrage mis à jour du service externe. Notification de fonctionnement normal ; aucune action requise.
64 Démarrage du service externe arrêté. Nom : %1, code de sortie : %2 Démarrage d’un service externe. Notification de fonctionnement normal ; aucune action requise.
65 Impossible de charger le pilote minifiltre du composant Événements de sécurité Microsoft. Code d’échec : %1 Échec du chargement du minifiltre MsSecFlt.sys système de fichiers. Redémarrez l’appareil. Si cette erreur persiste, contactez le support technique.
66 Mise à jour de la stratégie : mode de latence - %1 La stratégie de fréquence de connexion C&C a été mise à jour. Notification de fonctionnement normal ; aucune action requise.
68 Le type de début du service est inattendu. Nom du service : %1, type de début réel : %2, type de début attendu : %3 Type de démarrage de service externe inattendu. Corrigez le type de démarrage du service externe.
69 Le service est arrêté. Nom du service : %1 Le service externe est arrêté. Démarrez le service externe.
70 Mise à jour de la stratégie : Autoriser la collecte d’exemples - %1 La politique de collecte des échantillons a été mise à jour. Notification de fonctionnement normal ; aucune action requise.
71 Exécution réussie de la commande : %1 La commande a été exécutée avec succès. Notification de fonctionnement normal ; aucune action requise.
72 Tentative d’envoi du premier rapport complet sur le profil de la machine. Code de résultat : %1 Information uniquement. Notification de fonctionnement normal ; aucune action requise.
73 Détecter le démarrage de la plateforme : %1 Information uniquement. Notification de fonctionnement normal ; aucune action requise.
74 La balise d’appareil dans le Registre dépasse la limite de longueur. Nom de la balise : %2. Limite de longueur : %1. L’étiquette de l’appareil dépasse la longueur maximale autorisée. Utilisez une balise d’appareil plus courte.
81 Impossible de créer l’enregistreur automatique ETW de Microsoft Defender for Endpoint. Code d’échec : %1 Échec de la création de la session ETW. Redémarrez l’appareil. Si cette erreur persiste, contactez le support technique.
82 Échec de la suppression du journaliseur automatique ETW de Microsoft Defender for Endpoint. Code d’échec : %1 Échec de la suppression de la session ETW. Contactez le support technique.
84 Définissez le mode de fonctionnement de Microsoft Defender Antivirus. Forcer le mode passif : %1, code de résultat : %2. Définissez le mode d’exécution defender (actif ou passif). Notification de fonctionnement normal ; aucune action requise.
85 Impossible de déclencher l’exécutable Microsoft Defender for Endpoint. Code d’échec : %1 Échec de l’exécutable SenseIR en vedette. Redémarrez l’appareil. Si cette erreur persiste, contactez le support technique.
86 Le démarrage a de nouveau arrêté le service externe qui devrait être en place. Nom : %1, code de sortie : %2 Redémarrage du service externe. Notification de fonctionnement normal ; aucune action requise.
87 Impossible de démarrer le service externe. Nom : %1 Échec du démarrage du service externe. Contactez le support technique.
88 Mise à jour à nouveau du type de démarrage du service externe. Nom : %1, type de début réel : %2, type de début attendu : %3, code de sortie : %4 Mise à jour du type de démarrage du service externe. Notification de fonctionnement normal ; aucune action requise.
89 Impossible de mettre à jour le type de démarrage du service externe. Nom : %1, type de début réel : %2, type de début attendu : %3 Impossible de mettre à jour le type de démarrage du service externe. Contactez le support technique.
90 Échec de la configuration de System Guard Runtime Monitor pour se connecter au service cloud dans la région géographique %1. Code d’échec : %2 System Guard Runtime Monitor n’envoie pas de données d’attestation au service cloud. Vérifiez les autorisations sur le chemin d’accès au registre : « HKLM\Software\Microsoft\Windows\CurrentVersion\Sgrm ». Si aucun problème n’est détecté, contactez le support.
91 Impossible de supprimer les informations de région géographique de System Guard Runtime Monitor. Code d’échec : %1 System Guard Runtime Monitor n’envoie pas de données d’attestation au service cloud. Vérifiez les autorisations sur le chemin d’accès au registre : « HKLM\Software\Microsoft\Windows\CurrentVersion\Sgrm ». Si aucun problème n’est détecté, contactez le support.
92 Arrêt de l’envoi du quota de données cyber du capteur, car le quota de données est dépassé. Reprend l’envoi une fois la période de quota écoulée. Masque d’état : %1 Dépasser la limite de débit. Notification de fonctionnement normal ; aucune action requise.
93 Reprise de l’envoi des données cyber du capteur. Masque d’état : %1 Reprendre la soumission de données cyber. Notification de fonctionnement normal ; aucune action requise.
94 L’exécutable de Microsoft Defender for Endpoint a démarré L’exécutable SenseCE a démarré. Notification de fonctionnement normal ; aucune action requise.
95 L’exécutable Microsoft Defender for Endpoint s’est arrêté. L’exécutable SenseCE est terminé. Notification de fonctionnement normal ; aucune action requise.
96 Microsoft Defender for Endpoint Init a été appelé. Code de résultat : %2 L’exécutable SenseCE a appelé l’initialisation de MCE. Notification de fonctionnement normal ; aucune action requise.
97 Il existe des problèmes de connectivité au cloud pour le scénario DLP Il existe des problèmes de connectivité réseau qui affectent le flux de classification DLP. Vérifiez la connectivité réseau.
98 La connectivité au cloud pour le scénario DLP a été restaurée La connectivité au réseau a été restaurée et le flux de classification DLP peut continuer. Notification de fonctionnement normal ; aucune action requise.
99 Sense a rencontré l’erreur suivante lors de la communication avec le serveur : ( %1). Résultat : ( %2) Une erreur de communication s’est produite. Pour plus d’informations, consultez les événements suivants dans le journal des événements Microsoft-Windows-SENSE/Operational.
100 L’exécutable de Microsoft Defender for Endpoint n’a pas pu démarrer. Code d’échec : %1 L’exécutable SenseCE n’a pas pu démarrer. Redémarrez l’appareil. Si cette erreur persiste, contactez le support technique.
102 L’exécutable de détection et réponse réseau de Microsoft Defender for Endpoint a démarré L’exécutable SenseNdr a démarré. Notification de fonctionnement normal ; aucune action requise.
103 L’exécutable de détection et réponse réseau de Microsoft Defender pour point de terminaison a pris fin L’exécutable SenseNdr est terminé. Notification de fonctionnement normal ; aucune action requise.
104 Échec de la mise en file d’attente du déchargement asynchrone du pilote. Code d’échec : %1. Se produit lors du processus de départ. Notification de fonctionnement normal ; aucune action requise.
105 Impossible d’attendre le déchargement du pilote Se produit lors du processus de départ. Notification de fonctionnement normal ; aucune action requise.
106 Le service Microsoft Defender for Endpoint n’a pas pu démarrer. Code d’échec %1 ; Échec du chargement de la DLL MsSense. Module. Se produit au démarrage. Contactez le support technique.
107 Le service Microsoft Defender for Endpoint n’a pas pu démarrer. Code d’échec %1 ; Problème avec le module DLL MsSense. Se produit au démarrage. Contactez le support technique.
108 Phase de mise à jour : %1, nouvelle version de la plateforme : %2, message : %3. Se produit pendant la mise à jour. Notification de fonctionnement normal ; aucune action requise.
109 Phase de mise à jour : %1 nouvelle version de la plateforme : %2, message d’échec : %3, erreur : %4. Se produit pendant la mise à jour. Contactez le support technique.
110 Impossible de supprimer les filtres WFP MDEContain. Se produit lors du départ. Contactez le support technique.
307 Échec de la mise à jour des autorisations du pilote Code d’échec : %1. Survient lors de la prise en main. Contactez le support technique.
308 Échec de l’application de l’ACL sur le dossier %1. Code d’échec : %2. Se produit pendant l’intégration. Contactez le support technique.
401 Le service Microsoft Defender for Endpoint n’a pas pu générer une clé. Code d’échec : %1. Échec de la création de la clé de chiffrement. Si l’ordinateur ne signale pas, contactez le support technique. Sinon, aucune action n’est requise.
402 Le service Microsoft Defender for Endpoint n’a pas pu enregistrer l’état d’authentification. Code d’échec : %1. Échec de la conservation de l’état de l’authentification. Si un appareil ne signale pas, contactez le support technique. Sinon, aucune action n’est requise.
403 Enregistrement du service Microsoft Defender for Endpoint terminé. Inscription réussie au service d’authentification. Notification de fonctionnement normal ; aucune action requise.
404 Le service Microsoft Defender pour point de terminaison a généré une clé avec succès. Génération de clé de chiffrement réussie. Notification de fonctionnement normal ; aucune action requise.
405 Échec de la communication avec le service d’authentification. %1 la requête a échoué, hresult : %2, code d’erreur HTTP : %3. Échec de l’envoi de la demande au service d’authentification. Notification de fonctionnement normal ; aucune action requise.
406 Demande de %1 rejetée par le service d’authentification. Hresult : %2, code d’erreur : %3. La requête a retourné une réponse non souhaitée. Notification de fonctionnement normal ; aucune action requise.
407 Le service Microsoft Defender for Endpoint n’a pas pu signer le message (authentification). Code d’échec : %1. Impossible de signer la requête. Notification de fonctionnement normal ; aucune action requise.
408 Le service Microsoft Defender pour point de terminaison n’a pas réussi à supprimer l’état d’authentification persistante. État : %1, Code d’échec : %2. Échec de la conservation de l’état de l’authentification. Si un appareil ne signale pas, contactez le support technique. Sinon, aucune action n’est requise.
409 Le service Microsoft Defender for Endpoint n’a pas pu ouvrir la clé. Code d’échec : %1. Échec de l’ouverture de la clé de chiffrement. Si un appareil ne signale pas, contactez le support technique. Sinon, aucune action n’est requise.
410 L’inscription est requise dans le cadre de la réintégration du service Microsoft Defender pour point de terminaison. Se produit lors de la réintégration. Notification de fonctionnement normal ; aucune action requise.
411 Le téléversement des données de télémétrie de cybersécurité a été suspendu pour le service Microsoft Defender for Endpoint en raison d’un jeton non valide ou expiré. Cyber-chargement temporairement suspendu. Notification de fonctionnement normal ; aucune action requise.
412 Le téléversement des données de télémétrie de cybersécurité a repris pour le service Microsoft Defender pour point de terminaison grâce à un jeton nouvellement actualisé. Le cyber-chargement a repris avec succès. Notification de fonctionnement normal ; aucune action requise.
1800 CSP : Obtenir la valeur Node's. NodeId : ( %1), TokenName : ( %2). Une opération GET est sur le point de commencer. Contactez le support technique.
1801 CSP : Échec de récupération de la valeur Node's. NodeId : ( %1), TokenName : ( %2), Result : ( %3). L’opération Get a échoué. Contactez le support technique.
1802 CSP : Récupération de la valeur Node's terminée. NodeId : ( %1), TokenName : ( %2), Result : ( %3). Une opération Get a réussi. Contactez le support technique.
1803 CSP : récupération de la dernière valeur connectée terminée. Résultat (%1), Par défaut : (%2). Dernière communication de l’appareil avec CNC. Notification de fonctionnement normal ; aucune action requise.
1804 CSP : Récupération de la valeur de l’ID d’organisation terminée. Résultat : (%1), Par défaut : (%2). L’appareil d’ID d’organisation obtenu lors de l’intégration. Notification de fonctionnement normal ; aucune action requise.
1805 CSP : récupération de la valeur « Get Sense Is Running » terminée. Résultat : ( %1). Détecter le message en cours d’exécution après l’intégration. Notification de fonctionnement normal ; aucune action requise.
1806 CSP : Obtenez la valeur de l’état d’intégration terminée. Résultat : (%1), Par défaut : (%2). Intégrez is Sense. Notification de fonctionnement normal ; aucune action requise.
1807 CSP : Obtenir la valeur d’onboarding complète. Hachage du blob d’intégration : (%1), est par défaut : (%2), état d’intégration : (%3), l’état d’intégration est par défaut : (%4). Récupérer le hachage du blob de Sense intégré et en cours d’intégration. Notification de fonctionnement normal ; aucune action requise.
1808 CSP : Obtenir la valeur de la désintégration terminée. Hachage du blob de désintégration : (%1), Par défaut : (%2). Obtenir le hachage du blob de désactivation. Notification de fonctionnement normal ; aucune action requise.
1809 CSP : récupération de la valeur de partage d’échantillons terminée. Résultat : ( %1), IsDefault : ( %2). Le téléversement d’un échantillon est autorisé. Notification de fonctionnement normal ; aucune action requise.
1810 CSP : processus d’intégration. Démarré. Parcours d’intégration lancé. Notification de fonctionnement normal ; aucune action requise.
1811 CSP : processus d’intégration. Suppression du blob Offboarding terminée. Résultat : ( %1). Blob de sortie supprimé dans le flux d’intégration. Notification de fonctionnement normal ; aucune action requise.
1812 CSP : processus d’intégration. L’écriture de l’objet blob d’intégration est terminée. Résultat : ( %1). A écrit le blob de configuration initiale dans le registre dans le cadre du processus de configuration initiale. Notification de fonctionnement normal ; aucune action requise.
1813 CSP : processus d’intégration. Le service a démarré avec succès. Démarrage du service Sense dans le cadre du flux d’intégration. Notification de fonctionnement normal ; aucune action requise.
1814 CSP : processus d’intégration. État d’exécution du service en attente terminé. Résultat : ( %1). Fin de l’attente du démarrage de Sense dans le cadre du flux d’intégration. Notification de fonctionnement normal ; aucune action requise.
1815 CSP : Définition de la valeur de partage d’échantillons terminée. Valeur précédente : ( %1), IsDefault : ( %2), Nouvelle valeur : ( %3), Résultat : ( %4). Définissez la valeur de partage de l’exemple. Notification de fonctionnement normal ; aucune action requise.
1816 CSP : processus de désintégration. Suppression du blob Onboarding terminée. Résultat ( %1). Objet blob d’intégration supprimé dans le cadre du flux de désintéglage. Notification de fonctionnement normal ; aucune action requise.
1817 CSP : processus de désintégration. Écriture du blob de désaffectation terminée. Résultat ( %1). A écrit le blob de désinscription dans le registre dans le cadre du processus de désinscription. Notification de fonctionnement normal ; aucune action requise.
1818 CSP : Début de la définition de la valeur Node's. NodeId : ( %1), TokenName : ( %2). L’opération Set va bientôt démarrer. Notification de fonctionnement normal ; aucune action requise.
1819 CSP: Échec de définition de la valeur Node's. NodeId : ( %1), TokenName : ( %2), Result : ( %3). Une opération de Set a échoué. Contactez le support technique.
1820 CSP : Définir la Node's valeur terminée. NodeId : ( %1), TokenName : ( %2), Result : ( %3). Une opération de Set a réussi. Notification de fonctionnement normal ; aucune action requise.
1821 CSP : Définir la fréquence des rapports de télémétrie a démarré. Nouvelle valeur : ( %1). Commencez à définir la valeur de TelemetryReportingFrequency. Notification de fonctionnement normal ; aucune action requise.
1822 CSP : Définition de la fréquence de rapport de télémétrie terminée. Valeur précédente : ( %1), IsDefault : ( %2), Nouvelle valeur : ( %3), Résultat : ( %4). Terminez la définition de la valeur de TelemetryReportingFrequency. Notification de fonctionnement normal ; aucune action requise.
1823 CSP : récupération de la fréquence de rapport de télémétrie terminée. Valeur : ( %1), Valeur de Registre : ( %2), IsDefault : ( %3). Obtient la valeur de TelemetryReportingFrequency. Notification de fonctionnement normal ; aucune action requise.
1824 CSP : Récupération des identifiants de groupe terminée. Valeur : (%1), Par défaut : (%2). Identifiants de groupe obtenus du registre. Notification de fonctionnement normal ; aucune action requise.
1825 CSP : Le nombre d’identifiants de groupe définis a dépassé la limite autorisée. Autorisé : ( %1), Réel : ( %2). Impossible de définir groupIds en raison de sa longueur. Notification de fonctionnement normal ; aucune action requise.
1826 CSP : Définition des ID de groupe terminée. Valeur : ( %1), Résultat : ( %2). Définissez groupIds. Notification de fonctionnement normal ; aucune action requise.
1827 CSP : processus d’intégration. Le service est en cours d’exécution : (%1), Valeur de hachage du blob d’intégration précédent : (%2), Par défaut : (%3), État d’intégration : (%4), État d’intégration par défaut : (%5), Valeur de hachage du nouveau blob d’intégration : (%6). Valeurs de traçage dans le cadre de l’intégration initiale. Notification de fonctionnement normal ; aucune action requise.
1828 CSP : processus d’intégration. Le service est en cours d’exécution : (%1), Hachage du blob de désinscription précédent : (%2), IsDefault : (%3), État d’intégration : (%4), IsDefault de l’état d’intégration : (%5), Nouveau hachage du blob de désinscription : (%6). Valeurs de trace dans le cadre de la désintégrage. Notification de fonctionnement normal ; aucune action requise.
1829 CSP : Impossible de définir la valeur de partage de l’échantillon. Valeur demandée : ( %1), Valeurs autorisées entre ( %2) et ( %3). Valeur non valide pour l’opération SampleSharing. Contactez le support technique.
1830 CSP : Échec de la définition de la valeur de fréquence des rapports de télémétrie. Valeur demandée : ( %1). Échec de la définition de la valeur de TelemetryReportingFrequency. Contactez le support technique si le problème persiste.
1831 CSP : Get Sense fonctionne. Le service est configuré pour un démarrage différé, et hasn't n’a pas encore démarré. Obtient le résultat de SenseIsRunning. Notification de fonctionnement normal ; aucune action requise.
1832 CSP : Récupération du groupe d’étiquetage des appareils terminée. Valeur : (%1), Par défaut : (%2). Obtenez DeviceTagging Group à partir du registre terminé. Notification de fonctionnement normal ; aucune action requise.
1833 CSP : Obtenez la valeur de criticité de l’étiquetage des appareils. Dans le Registre : ( %1), IsDefault : ( %2), Conversion réussie : ( %3), Résultat : ( %4). La récupération de DeviceTagging Criticality depuis le registre est terminée. Notification de fonctionnement normal ; aucune action requise.
1834 CSP : Récupération de la valeur de la méthode d’identification du balisage de l’appareil terminée. Dans le Registre : ( %1), IsDefault : ( %2), Conversion réussie : ( %3), Résultat : ( %4). Récupération de la méthode DeviceTagging Id depuis le registre terminée. Notification de fonctionnement normal ; aucune action requise.
1835 CSP : Définition du groupe d’étiquetage des appareils terminée. Valeur : ( %1), Résultat : ( %2). Définissez Le groupe DeviceTagging dans le registre terminé. Notification de fonctionnement normal ; aucune action requise.
1836 CSP : Le groupe d’étiquetage des appareils défini a dépassé la limite autorisée. Autorisé : ( %1), Réel : ( %2). La définition du groupe DeviceTagging a échoué, car la limite de longueur maximale a été dépassée. Contactez le support technique si le problème persiste.
1837 CSP: Valeur de criticité du balisage des appareils définie. Valeur précédente : ( %1), IsDefault : ( %2), Nouvelle valeur : ( %3), Résultat : ( %4). La définition de la valeur DeviceTagging Criticality dans le registre est terminée. Notification de fonctionnement normal ; aucune action requise.
1838 CSP : Échec de la définition de la valeur de criticité de l’étiquetage des appareils. Valeur demandée : ( %1), Valeurs autorisées entre ( %2) et ( %3). Échec de la définition de la criticité de DeviceTagging, car la valeur n’était pas comprise dans la plage attendue. Contactez le support technique si le problème persiste.
1839 CSP : Définition de la valeur de la méthode d’identification du balisage des appareils terminée. Valeur précédente : ( %1), IsDefault : ( %2), Nouvelle valeur : ( %3), Résultat : ( %4). Définissez DeviceTagging Id Method dans le Registre terminé. Notification de fonctionnement normal ; aucune action requise.
1840 CSP : Échec de la définition de la valeur de la méthode d’identification du marquage des appareils. Valeur demandée : ( %1), Valeurs autorisées entre ( %2) et ( %3). La méthode Set DeviceTagging ID a échoué, car la valeur n’était pas dans la plage attendue. Contactez le support technique si le problème persiste.

Afficher les événements de Defender for Endpoint dans le journal des événements système

Les événements de Microsoft Defender pour point de terminaison apparaissent également dans le journal des événements du système.

Remarque

L’interface utilisateur observateur d'événements peut varier selon la version de Windows. Les étapes décrites dans cet article reflètent une version récente de Windows 11.

Pour ouvrir le journal des événements système :

  1. Sélectionnez Démarrer dans le menu Windows, tapez observateur d'événements, puis appuyez sur Entrée pour ouvrir le observateur d'événements.
  2. Dans la liste des journaux, sous Résumé du journal, faites défiler jusqu’à voir Système. Double-cliquez sur l’élément pour ouvrir le journal.

Utilisez le tableau suivant pour trouver plus d’informations sur Defender pour les événements de point de terminaison dans le journal des événements système et pour déterminer d’autres étapes de résolution des problèmes.

ID d’événement Message Description Action
1 Le fichier de stockage de la session en temps réel « SenseNdrPktmon » a atteint sa taille maximale. Par conséquent, les nouveaux événements ne seront pas enregistrés dans cette session tant que l’espace n’est pas disponible. Cette session en temps réel, entre Pktmon , le service Windows intégré qui capture le trafic réseau, et notre agent (SenseNDR) qui analyse les paquets de manière asynchrone, est configurée pour être limitée afin d’éviter les problèmes de performances potentiels. Par conséquent, cette alerte peut s’afficher si un trop grand nombre de paquets sont interceptés dans un court laps de temps, ce qui peut entraîner l’omission de certains paquets. Cette alerte est plus courante avec un trafic réseau élevé. Notification de fonctionnement normal ; aucune action requise.

Voir aussi

  • Last updated on