Souhrn
Zvažte následující scénář. Přihlaste se k systému a Všimněte si ikony rotující Microsoft Forefront Endpoint Protection 2010 nebo Microsoft System Center koncový bod ochrany 2012. (To znamená, že aplikace provádí akci.) Otevřete aplikaci uživatelského rozhraní a Všimněte si, že program.
V tomto případě hodnotu pro Počáteční čas je zobrazen v aplikaci uživatelského rozhraní nemusí odrážet čas skutečného zahájení kontroly v průběhu v případě, že kontrola byla spuštěna dříve, než jste přihlášeni.
Poznámka: Pokud kontrola byla spuštěna dříve, než jste přihlášeni, bude hodnota Počáteční čas čas při spuštění uživatelského rozhraní (Pokud byl spuštěn proces Msseces.exe).
Další informace
Při spuštění prohledávání je zaznamenána ID události 1000. Časové razítko ID události 1000 lze považovat za čas zahájení kontroly (Přestože mohou být zpoždění nevýznamné protokolování). Můžete sladit zahájení a ukončení události do protokolu událostí pomocí ScanID hodnotu, která je součástí data události.
Pokud je počáteční událost prohledávání (ID události 1000) nemá korelace události zastavení vyhledávání, vyhledávání stále probíhá.
K určení zahájení Probíhá prohledávání, prohlédněte si systémový protokol. Chcete-li to provést, postupujte takto:
-
Otevřete systémový protokol.
-
Filtrování protokolu systému takto:
ID události: 1000-1002
Zdroj: Microsoft Antimalware -
Vyhledejte poslední ID události 1000 a zaznamenejte svou hodnotu ScanID.
-
Pokud se žádné ID události 1001 a 1002 za poslední ID události 1000, který má stejné ScanID, který jste si poznamenali v kroku 1, můžete určit čas zahájení kontroly v průběhu poslední ID události 1000.
