Händelser för minskning av attackytan i Windows Loggboken

Att granska händelser i Loggboken är användbart när du utvärderar funktioner för minskning av attackytan. Du kan till exempel aktivera granskningsläge för funktioner eller inställningar och sedan granska vad som skulle hända om de var helt aktiverade. Du kan också se effekterna av funktioner för minskning av attackytan när de är helt aktiverade.

Den här artikeln beskriver hur du använder Windows Loggboken för att visa händelser från funktioner för minskning av attackytan (ASR), inklusive:

• Regler för minskning av attackytan
• Kontrollerad mappåtkomst
• Exploateringsskydd
• Nätverksskydd

Om du vill visa händelser för minskning av attackytan har du följande alternativ enligt beskrivningen i resten av den här artikeln:

• Bläddra bland händelser för minskning av attackytan i Windows Loggboken: Så här navigerar du till händelser för minskning av attackytan i Loggboken och händelse-ID:t för varje funktion för minskning av attackytan.
• Använd anpassade vyer i Windows Loggboken för att visa händelser för minskning av attackytan: Så här skapar eller importerar du anpassade vyer för att filtrera Loggboken för specifika ASR-funktioner och redo att använda XML-frågemallar.

Bläddra bland händelser för minskning av attackytan i Windows Loggboken

Alla händelser för minskning av attackytan finns i program- och tjänstloggar. Om du vill visa händelser för minskning av attackytan gör du följande:

1. Välj Start, skriv Loggboken och tryck sedan på Retur för att öppna Loggboken.

2. I Loggboken expanderar du Program- och tjänstloggar>Microsoft>Windows.

3. Fortsätt att expandera sökvägen för de olika typerna av händelser för minskning av attackytan enligt beskrivningen i följande underavsnitt.

4. Hitta och filtrera de händelser som du vill se enligt beskrivningen i följande underavsnitt.

ASR-regelhändelser

ASR-regelhändelser finns iwindows Defender-driftloggen>:

Kontrollerade mappåtkomsthändelser

Kontrollerade mappåtkomsthändelser finns i Windows Defender>Operational.

Händelser för exploateringsskydd

Följande sårbarhetsskyddshändelser finnsi loggarnaför kernelläge för säkerhetsreducering> och säkerhetsreducering:>

Följande händelse för sårbarhetsskydd finns iloggen för wer-diagnostik>:

Följande händelse för sårbarhetsskydd finns iwin32k-driftloggen>:

Nätverksskyddshändelser

Nätverksskyddshändelser finns i Windows Defender>Operational.

Använda anpassade vyer i Windows Loggboken för att visa händelser för minskning av attackytan

Du kan skapa anpassade vyer i Windows Loggboken för att bara se händelser för specifika funktioner för minskning av attackytan. Det enklaste sättet är att importera en anpassad vy som en XML-fil. Du kan också kopiera XML direkt till Loggboken.

Information om xml-mallar som är redo att användas finns i avsnittet Anpassade XML-mallar för händelser för minskning av attackytan .

Importera en befintlig anpassad XML-vy

1. Skapa en tom .txt fil och kopiera XML-filen för den anpassade vy som du vill använda till den .txt filen. Gör det här steget för var och en av de anpassade vyer som du vill använda. Byt namn på filerna enligt följande (se till att du ändrar typen från .txt till .xml):

   • Anpassad vy för kontrollerade mappåtkomsthändelser: cfa-events.xml
   • Anpassad vy för exploateringsskyddshändelser: ep-events.xml
   • Anpassad vy för minskning av attackytan: asr-events.xml
   • Anpassad vy för nätverksskyddshändelser: np-events.xml

2. Välj Start, skriv Loggboken och tryck sedan på Retur för att öppna Loggboken.

3. Välj Anpassad vyför åtgärdsimport...>

   

4. Gå till XML-filen för den anpassade vy som du vill använda och välj den.

5. Välj Öppna.

Den anpassade vyn filtrerar för att endast visa de händelser som är relaterade till den funktionen.

Kopiera XML-koden direkt

1. Välj Start, skriv Loggboken och tryck sedan på Retur för att öppna Loggboken.

2. I fönstret Åtgärder väljer du Skapa anpassad vy...

3. Gå till fliken XML och välj Redigera fråga manuellt. En varning anger att du inte kan redigera frågan med hjälp av fliken Filter när du använder XML-alternativet. Välj Ja.

4. Klistra in XML-koden för funktionen som du vill filtrera händelser från i XML-avsnittet.

5. Välj OK. Ange ett namn för filtret. Den anpassade vyn filtrerar för att endast visa de händelser som är relaterade till den funktionen.

Anpassade XML-mallar för händelser för minskning av attackytan

XML för regelhändelser för minskning av attackytan

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML för kontrollerade mappåtkomsthändelser

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML för exploateringsskyddshändelser

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML för nätverksskyddshändelser

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Relaterat innehåll

• Översikt över funktioner för minskning av attackytan
• Översikt över regler för minskning av attackytan (ASR)
• Skydda viktiga mappar med kontrollerad mappåtkomst
• Skydda enheter från exploatering
• Nätverksskydd