AppLocker-Blockereignisse

Lass dich warnen, wenn AppLocker auf Windows-Geräten Ausführungen blockiert oder im Überwachungsmodus blockiert hätte.

Der Check AppLocker-Blockereignisse zählt auf Windows-Geräten (x64, ARM64), wie oft AppLocker im gewählten Zeitraum eine Ausführung blockiert hat. Auf Wunsch zählt er auch Ereignisse aus dem Überwachungsmodus, also Ausführungen, die blockiert worden wären. Er läuft lokal über den octoja-Agent, standardmäßig alle 15 Minuten.

Voraussetzungen

Du benötigst die Berechtigung Monitoring-Check-Verwaltung.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke auf den Tab Checks → Check hinzufügen → AppLocker-Blockereignisse.
Passe die Einstellungen bei Bedarf an.
Klicke auf Check hinzufügen.

Für viele Geräte gleichzeitig nutzt du ein Konfigurationspaket.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Rückblickzeitraum (Minuten)	Ganzzahl	Nein	60	Wie weit der Check in den AppLocker-Ereignisprotokollen zurückblickt. Werte werden auf 1–10080 (7 Tage) begrenzt.
Überwachungsereignisse (würde-blockiert) einbeziehen	Boolean	Nein	Nein	Zählt zusätzlich die Ereignisse von Regeln im Überwachungsmodus, die eine Ausführung blockiert hätten.
Warnung Anzahl	Ganzzahl	Nein	1	Ab dieser Anzahl Ereignisse im Zeitraum meldet der Check eine Warnung.
Fehler Anzahl	Ganzzahl	Nein	1	Ab dieser Anzahl Ereignisse im Zeitraum meldet der Check ein kritisches Ergebnis.

Mit den Standardwerten (beide Schwellenwerte 1) führt schon ein einziges Ereignis zu Kritisch; eine Warnung tritt dann nie auf. Setze Fehler Anzahl höher als Warnung Anzahl, wenn du eine Warnstufe möchtest.
Ist Warnung Anzahl höher als Fehler Anzahl, vertauscht der Check die beiden Werte.
Ein Schwellenwert von 0 ist immer erreicht: Der Check meldet dann auch ohne Ereignisse das entsprechende Ergebnis.
Ist der Rückblickzeitraum kürzer als das Check-Intervall, können Ereignisse zwischen zwei Ausführungen unbemerkt bleiben.

Ergebnisse

Zustand	Ergebnis
Anzahl der Ereignisse ist mindestens Fehler Anzahl	Kritisch
Anzahl der Ereignisse ist mindestens Warnung Anzahl	Warnung
Weniger Ereignisse als Warnung Anzahl	OK
Die Abfrage lieferte keine Ausgabe oder keinen Zählwert	Warnung
Die AppLocker-Abfrage ist fehlgeschlagen oder ein unerwarteter Fehler ist aufgetreten	Fehlgeschlagen

Der Check wertet die Protokolle EXE and DLL, MSI and Script, Packaged app-Execution und Packaged app-Deployment unter Microsoft-Windows-AppLocker aus. Gezählt werden die Blockereignisse 8004, 8007, 8022 und 8025, mit eingeschalteten Überwachungsereignissen zusätzlich 8003, 8006, 8021 und 8024.

Der Check prüft nicht, ob AppLocker konfiguriert ist. Fehlt ein Protokoll, zählt es als 0 Ereignisse, das Ergebnis ist dann OK.

Siehe auch: Checks mit Konfigurationspaketen zuweisen · Alarmierung für einen Check einrichten

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen