Eventi di riduzione della superficie di attacco in Windows Visualizzatore eventi

La revisione degli eventi in Visualizzatore eventi è utile quando si valutano le funzionalità di riduzione della superficie di attacco. Ad esempio, è possibile abilitare la modalità di controllo per le funzionalità o le impostazioni e quindi verificare cosa accadrebbe se fossero completamente abilitate. È anche possibile visualizzare gli effetti delle funzionalità di riduzione della superficie di attacco quando sono completamente abilitate.

Questo articolo descrive come usare Windows Visualizzatore eventi per visualizzare gli eventi dalle funzionalità di riduzione della superficie di attacco, tra cui:

• Regole per la riduzione della superficie di attacco
• Accesso controllato alle cartelle
• Protezione dagli exploit
• Protezione di rete

Per visualizzare gli eventi di riduzione della superficie di attacco, sono disponibili le opzioni seguenti, come illustrato nel resto di questo articolo:

• Esplorare gli eventi di riduzione della superficie di attacco in Windows Visualizzatore eventi: come passare agli eventi di riduzione della superficie di attacco in Visualizzatore eventi e agli ID evento per ogni funzionalità di riduzione della superficie di attacco.
• Usare viste personalizzate in Windows Visualizzatore eventi per visualizzare gli eventi di riduzione della superficie di attacco: come creare o importare visualizzazioni personalizzate per filtrare Visualizzatore eventi per funzionalità asr specifiche e modelli di query XML pronti per l'uso.

Esplorare gli eventi di riduzione della superficie di attacco in Windows Visualizzatore eventi

Tutti gli eventi di riduzione della superficie di attacco si trovano nei log delle applicazioni e dei servizi. Per visualizzare gli eventi di riduzione della superficie di attacco, seguire questa procedura:

1. Selezionare Start, digitare Visualizzatore eventi e quindi premere INVIO per aprire Visualizzatore eventi.

2. InVisualizzatore eventi espandere Registri >applicazioni e serviziMicrosoft > Windows.

3. Continuare ad espandere il percorso per i diversi tipi di eventi di riduzione della superficie di attacco, come descritto nelle sottosezioni seguenti.

4. Trovare e filtrare gli eventi che si desidera visualizzare come descritto nelle sottosezioni seguenti.

Eventi della regola ASR

Gli eventi delle regole ASR si trovano nel logoperativodi Windows Defender>:

Eventi di accesso controllato alle cartelle

Gli eventi di accesso controllato alle cartelle si trovano in Windows Defender>Operational.

Eventi di protezione dagli exploit

I seguenti eventi di protezione dagli exploit si trovano nei log modalità kernel Security-Mitigations eSecurity-Mitigations User Mode:The following exploit protection events are located in the Security-Mitigations>Kernel Mode and Security-Mitigations> User Mode logs:

L'evento di protezione dagli exploit seguente si trova nel logoperativoWER-Diagnostics>:

Il seguente evento di protezione dagli exploit si trova nel logoperativoWin32k>:

Eventi di protezione della rete

Gli eventi di protezione della rete si trovano in Windows Defender>Operational.

Usare viste personalizzate in Windows Visualizzatore eventi per visualizzare gli eventi di riduzione della superficie di attacco

È possibile creare visualizzazioni personalizzate in Windows Visualizzatore eventi per visualizzare solo gli eventi per specifiche funzionalità di riduzione della superficie di attacco. Il modo più semplice consiste nell'importare una visualizzazione personalizzata come file XML. È anche possibile copiare il codice XML direttamente in Visualizzatore eventi.

Per i modelli XML pronti per l'uso, vedere la sezione Modelli XML personalizzati per gli eventi di riduzione della superficie di attacco .

Importare una visualizzazione personalizzata XML esistente

1. Creare un file di .txt vuoto e copiare il codice XML per la visualizzazione personalizzata da usare nel file .txt. Eseguire questo passaggio per ognuna delle visualizzazioni personalizzate che si desidera usare. Rinominare i file nel modo seguente (assicurarsi di modificare il tipo da .txt a .xml):

   • Visualizzazione personalizzata degli eventi di accesso controllato alle cartelle: cfa-events.xml
   • Visualizzazione personalizzata degli eventi di protezione dagli exploit: ep-events.xml
   • Visualizzazione personalizzata degli eventi di riduzione della superficie di attacco: asr-events.xml
   • Visualizzazione personalizzata degli eventi di protezione di rete: np-events.xml

2. Selezionare Start, digitare Visualizzatore eventi e quindi premere INVIO per aprire Visualizzatore eventi.

3. Selezionare Azione>Importa visualizzazione personalizzata...

   

4. Passare al file XML per la visualizzazione personalizzata desiderata e selezionarlo.

5. Seleziona Apri.

La visualizzazione personalizzata filtra per visualizzare solo gli eventi correlati a tale funzionalità.

Copiare direttamente il codice XML

1. Selezionare Start, digitare Visualizzatore eventi e quindi premere INVIO per aprire Visualizzatore eventi.

2. Nel riquadro Azioni selezionare Crea visualizzazione personalizzata...

3. Passare alla scheda XML e selezionare Modifica query manualmente. Un avviso indica che non è possibile modificare la query usando la scheda Filtro quando si usa l'opzione XML. Selezionare Sì.

4. Incollare il codice XML per la funzionalità da cui filtrare gli eventi nella sezione XML.

5. Selezionare OK. Specificare un nome per il filtro. La visualizzazione personalizzata filtra per visualizzare solo gli eventi correlati a tale funzionalità.

Modelli XML personalizzati per gli eventi di riduzione della superficie di attacco

XML per gli eventi delle regole di riduzione della superficie di attacco

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML per gli eventi di accesso controllato alle cartelle

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
  </Query>
</QueryList>

XML per gli eventi di protezione dagli exploit

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

XML per gli eventi di protezione di rete

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

Contenuto correlato

• Panoramica delle funzionalità di riduzione della superficie di attacco
• Panoramica delle regole di riduzione della superficie di attacco
• Proteggere le cartelle importanti con l'accesso controllato alle cartelle
• Proteggere i dispositivi dagli exploit
• Protezione di rete