Riepilogo
Si consideri il seguente scenario. Si accede al sistema e notare un'icona mappamondo per Microsoft Forefront Endpoint Protection 2010 o Microsoft System Center Endpoint Protection 2012. (Questo indica che l'applicazione esegue un'azione). Si apre l'interfaccia dell'applicazione e si noti che esegue una scansione.
In questo scenario, il valore visualizzato per l'avvio dell'applicazione dell'interfaccia utente potrebbe non riflettere l'ora di inizio effettiva dell'analisi in corso se l'inizio della scansione prima di accedere al sistema.
Nota: Se l'analisi è stato avviato prima che si è connessi, il valore di ora di inizio sarà il tempo di avvio dell'interfaccia utente (ovvero, quando è stato avviato il processo di Msseces.exe).
Ulteriori informazioni
Quando si avvia un'analisi, viene registrato EventID 1000. L'ora di inizio della scansione può essere considerato il timestamp di 1000 EventID (sebbene possano esservi un ritardo di registrazione non significativo). È possibile correlare l'inizio e interrompere gli eventi nel registro eventi utilizzando il valore ScanID che fa parte dei dati dell'evento.
Se un evento di avvio della scansione (1000 EventID) non dispone di correlare l'evento di arresto di scansione, la scansione è ancora in corso.
Per determinare quando un'analisi in corso è stata avviata, esaminare il Registro di sistema. A tale scopo, attenersi alla seguente procedura:
-
Aprire il Registro di sistema.
-
Filtrare il Registro di sistema come segue:
EventID: 1000-1002
Fonte: Microsoft Antimalware -
Cercare l'ultimo 1000 EventID e quindi registrare il valore di ScanID.
-
Se vi è alcun 1001 EventID o 1002 dopo l'ultimo 1000 EventID che ha la stessa ScanID annotato nel passaggio 1, è possibile utilizzare l'ultima 1000 EventID per determinare l'ora di inizio della scansione in corso.
