События сокращения направлений атаки в Windows Просмотр событий

Просмотр событий в Просмотр событий полезен при оценке возможностей сокращения направлений атак. Например, можно включить режим аудита для функций или параметров, а затем проверить, что произойдет, если они будут полностью включены. Вы также можете просмотреть влияние функций сокращения направлений атак, если они полностью включены.

В этой статье описывается, как использовать windows Просмотр событий для просмотра событий из возможностей сокращения направлений атак (ASR), в том числе:

• Правила сокращения направлений атак
• Контролируемый доступ к папкам
• Защита от эксплойтов
• Защита сети

Чтобы просмотреть события сокращения направлений атаки, можно использовать следующие варианты, как описано в остальной части этой статьи.

• Просмотр событий сокращения направлений атаки в Windows Просмотр событий: переход к событиям уменьшения направлений атаки в Просмотр событий и идентификаторы событий для каждой возможности сокращения направлений атаки.
• Использование пользовательских представлений в Windows Просмотр событий для просмотра событий сокращения направлений атак. Создание или импорт пользовательских представлений для фильтрации Просмотр событий по определенным возможностям ASR и готовые к использованию шаблоны XML-запросов.

Просмотр событий сокращения направлений атак в Windows Просмотр событий

Все события сокращения направлений атаки находятся в журналах приложений и служб. Чтобы просмотреть события сокращения направлений атаки, выполните следующие действия.

1. Нажмите кнопку Пуск, введите Просмотр событий и нажмите клавишу ВВОД, чтобы открыть Просмотр событий.

2. В Просмотр событий разверните узел Журналы> приложений и службMicrosoft>Windows.

3. Продолжайте расширять путь для различных типов событий сокращения направлений атаки, как описано в следующих подразделах.

4. Найдите и отфильтруйте нужные события, как описано в следующих подразделах.

События правил ASR

События правила ASR находятся воперационном журнале Защитника> Windows:

События управляемого доступа к папкам

События управляемого доступа к папкам находятся воперационной средеЗащитника> Windows.

События защиты от эксплойтов

Следующие события защиты от эксплойтов находятся в журналах >режима ядра"Устранение рисков безопасности" и "Устранение рисков>безопасности" в пользовательском режиме:

Следующее событие защиты от эксплойтов находится воперативном журнале WER-Diagnostics>:

Воперационном журнале Win32k> находится следующее событие защиты от эксплойтов:

События защиты сети

События защиты сети находятся воперационной средеЗащитника> Windows.

Использование пользовательских представлений в Windows Просмотр событий для просмотра событий сокращения направлений атак

Вы можете создавать пользовательские представления в Windows Просмотр событий, чтобы просматривать только события для конкретных возможностей сокращения направлений атак. Самый простой способ — импортировать пользовательское представление в виде XML-файла. Вы также можете скопировать XML-код непосредственно в Просмотр событий.

Готовые к использованию шаблоны XML см. в разделе Пользовательские шаблоны XML для событий сокращения направлений атак .

Импорт существующего настраиваемого представления XML

1. Создайте пустой файл .txt и скопируйте XML-файл для пользовательского представления, которое вы хотите использовать, в файл .txt. Выполните этот шаг для каждого из пользовательских представлений, которые вы хотите использовать. Переименуйте файлы следующим образом (обязательно измените тип с .txt на .xml):

   • Настраиваемое представление событий управляемого доступа к папкам: cfa-events.xml
   • Настраиваемое представление событий защиты от эксплойтов: ep-events.xml
   • Настраиваемое представление событий сокращения направлений атаки: asr-events.xml
   • Настраиваемое представление событий защиты сети: np-events.xml

2. Нажмите кнопку Пуск, введите Просмотр событий и нажмите клавишу ВВОД, чтобы открыть Просмотр событий.

3. Выберите Действие>Импорт пользовательского представления...

   

4. Перейдите к XML-файлу для нужного пользовательского представления и выберите его.

5. Выберите Открыть.

Настраиваемое представление фильтрует только события, связанные с этой функцией.

Копирование XML-кода напрямую

1. Нажмите кнопку Пуск, введите Просмотр событий и нажмите клавишу ВВОД, чтобы открыть Просмотр событий.

2. В области Действия выберите Создать пользовательское представление...

3. Перейдите на вкладку XML и выберите Изменить запрос вручную. Предупреждение означает, что вы не можете изменить запрос с помощью вкладки Фильтр при использовании параметра XML. Выберите Да.

4. Вставьте XML-код компонента, по которому требуется фильтровать события, в раздел XML.

5. Нажмите OK. Укажите имя фильтра. Настраиваемое представление фильтрует только события, связанные с этой функцией.

Пользовательские шаблоны XML для событий сокращения направлений атак

XML-код для событий правила сокращения направлений атаки

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML-код для событий управляемого доступа к папкам

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML-файл для событий защиты от эксплойтов

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML-код для событий защиты сети

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Связанные материалы

• Обзор возможностей сокращения направлений атак
• Общие сведения о правилах сокращения направлений атак (ASR)
• Защита важных папок с помощью управляемого доступа к папкам
• Защита устройств от эксплойтов
• Защита сети