将事件查看器与 AppLocker 一起使用
本文列出了 AppLocker 事件,并介绍如何将事件查看器与 AppLocker 配合使用。
AppLocker 日志包含有关受 AppLocker 规则影响的应用程序的信息。 日志中的每个事件都包含详细信息,例如以下信息:
- 受影响的文件以及该文件的路径
- 受影响的打包应用以及应用的包标识符
- 是允许还是阻止文件或打包的应用
- 规则类型 (路径、文件哈希或发布者)
- 规则名称
- 规则中标识的用户或组的安全标识符 (SID)
查看事件查看器中的条目,以确定自动生成的规则中是否未包含任何应用程序。 例如,某些业务线应用安装到非标准位置,例如活动驱动器的根目录 (%SystemDrive%
例如) 。
有关在 AppLocker 事件日志中查找的内容的信息,请参阅 使用 AppLocker 监视应用使用情况。
注意
AppLocker 事件日志非常详细,根据部署的策略,可能会导致大量事件,尤其是在 AppLocker - EXE 和 DLL 事件日志中。 如果使用事件转发和收集服务(如 LogAnalytics),可能需要调整该事件日志的配置,以仅收集错误事件或完全停止从该日志收集事件。
查看 Windows 事件查看器 中的 AppLocker 日志
- 打开事件查看器。
- 在“ 应用程序和服务日志\Microsoft\Windows”下的控制台树中,选择“ AppLocker”。
下表包含有关可用于确定受 AppLocker 规则影响的应用的事件的信息。
事件 ID | 级别 | 事件消息 | 描述 |
---|---|---|---|
8000 | 错误 | AppID 策略转换失败。 状态 * <%1> * | 指示策略未正确应用于计算机。 提供状态消息是为了进行故障排除。 |
8001 | 信息 | AppLocker 策略已成功应用于此计算机。 | 指示 AppLocker 策略已成功应用于计算机。 |
8002 | 信息 | *<文件名> * 已允许运行。 | 指示 AppLocker 规则允许 .exe 或 .dll 文件。 |
8003 | 警告 | *<文件名> * 被允许运行,但如果强制执行 AppLocker 策略,则会阻止运行。 | 仅在启用 “仅审核 ”强制模式时显示。 指示如果强制模式设置为“ 强制规则”,AppLocker 策略将阻止 .exe 或 .dll 文件。 |
8004 | 错误 | *<文件名> * 已阻止运行。 | AppLocker 阻止了命名的 EXE 或 DLL 文件。 仅在启用 “强制实施规则” 模式时显示。 |
8005 | 信息 | *<文件名> * 已允许运行。 | 指示 AppLocker 规则允许脚本或 .msi 文件。 |
8006 | 警告 | *<文件名> * 被允许运行,但如果强制执行 AppLocker 策略,则会阻止运行。 | 仅在启用 “仅审核 ”强制模式时显示。 指示如果启用了 “强制实施规则” 模式,AppLocker 策略将阻止脚本或 .msi 文件。 |
8007 | 错误 | *<文件名> * 已阻止运行。 | AppLocker 阻止了命名的脚本或 MSI。 仅在启用 “强制实施规则” 模式时显示。 |
8008 | 警告 | *<文件名> *:AppLocker 组件在此 SKU 上不可用。 | 指示不支持 AppLocker 的 Windows 版本。 |
8020 | 信息 | *<文件名> * 已允许运行。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8021 | 警告 | *<文件名> * 被允许运行,但如果强制执行 AppLocker 策略,则会阻止运行。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8022 | 错误 | *<文件名> * 已阻止运行。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8023 | 信息 | *<文件名> * 被允许安装。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8024 | 警告 | *<文件名> * 被允许运行,但如果强制执行 AppLocker 策略,则会阻止运行。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8025 | 错误 | *<文件名> * 已阻止运行。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8027 | 错误 | 强制执行 Exe 规则且未配置打包应用规则时,无法执行打包的应用。 | 在 Windows Server 2012 和 Windows 8 中添加。 |
8028 | 警告 | *<文件名> * 被允许运行,但如果强制实施 Config CI 策略,则会被阻止。 | 在 Windows Server 2016 和 Windows 10 中添加。 |
8029 | 错误 | *<文件名> * 由于配置 CI 策略而无法运行。 | 在 Windows Server 2016 和 Windows 10 中添加。 |
8030 | 信息 | Appid 验证期间 ManagedInstaller 检查 SUCCEEDED * | 在 Windows Server 2016 和 Windows 10 中添加。 |
8031 | 信息 | SmartlockerFilter 检测到文件 * 正在由进程写入 * | 在 Windows Server 2016 和 Windows 10 中添加。 |
8032 | 错误 | Appid 验证期间 ManagedInstaller 检查 FAILED * | 在 Windows Server 2016 和 Windows 10 中添加。 |
8033 | 警告 | 在 * 的 Appid 验证期间,ManagedInstaller 检查 FAILED。 由于审核 AppLocker 策略,允许运行。 | 在 Windows Server 2016 和 Windows 10 中添加。 |
8034 | 信息 | Appid 验证期间 ManagedInstaller 脚本检查失败 * | 在 Windows Server 2016 和 Windows 10 中添加。 |
8035 | 错误 | 在 Appid 验证期间,ManagedInstaller 脚本检查 SUCCEEDED * | 在 Windows Server 2016 和 Windows 10 中添加。 |
8036 | 错误 | * 由于配置 CI 策略而无法运行 | 在 Windows Server 2016 和 Windows 10 中添加。 |
8037 | 信息 | * 已传递配置 CI 策略,并允许运行。 | 在 Windows Server 2016 和 Windows 10 中添加。 |
8038 | 信息 | 发布者信息: 主题: * 颁发者: * 签名索引 * (* 总) | 在 Windows Server 2016 和 Windows 10 中添加。 |
8039 | 警告 | 包系列名称 * 版本 * 被允许安装或更新,但如果配置 CI 策略,则会被阻止 | 在 Windows Server 2016 和 Windows 10 中添加。 |
8040 | 错误 | 由于配置 CI 策略,包系列名称 * 版本 * 已阻止安装或更新 | 在 Windows Server 2016 和 Windows 10 中添加。 |
相关文章
反馈
https://aka.ms/ContentUserFeedback。
即将发布:在整个 2024 年,我们将逐步淘汰作为内容反馈机制的“GitHub 问题”,并将其取代为新的反馈系统。 有关详细信息,请参阅:提交和查看相关反馈