Résumé
Envisagez le scénario suivant. Vous ouvrez une session sur votre système et que vous remarquez une icône représentant un globe pour Microsoft Forefront Endpoint Protection 2010 ou Microsoft System Center Endpoint Protection 2012. (Cela indique que l’application effectue une action.) Vous ouvrez l’interface utilisateur de l’application et que vous remarquez qu’une analyse est en cours d’exécution.
Dans ce scénario, la valeur qui est affichée dans l’application de l’heure de début de l’interface utilisateur ne reflète pas l’heure de début réelle de l’analyse en cours si l’analyse a été démarrée avant d’ouvrir une session.
Remarque Si l’analyse a été démarrée avant de vous ouvrir une session, la valeur de l’heure de début sera l’heure de début de l’interface utilisateur (c'est-à-dire, lorsque le processus de Msseces.exe a été démarré).
Plus d'informations
Démarrage d’une analyse, l’ID d’événement 1000 est enregistré. L’horodatage de l’ID d’événement 1000 peut être considéré comme l’heure de début de l’analyse (bien qu’il peut y avoir un délai d’enregistrement non significatif). Vous pouvez établir une corrélation entre le début et arrêter des événements dans le journal des événements à l’aide de la valeur de ScanID qui fait partie des données d’événement.
Si un événement de début d’analyse (ID d’événement 1000) n’a pas de corrélation des événements d’arrêt analyse, l’analyse est toujours en cours.
Pour déterminer quand une analyse en cours a été démarré, examinez le journal système. Pour ce faire, procédez comme suit :
-
Ouvrir le journal système.
-
Filtrez le journal système comme suit :
ID d’événement : 1000-1002
Source : Logiciel anti-programme malveillant de Microsoft -
Recherchez le dernier ID d’événement 1000 et notez la valeur ScanID.
-
Si aucun 1001 EventID ou 1002 après le dernier ID d’événement 1000 qui a le même ScanID que vous avez enregistré à l’étape 1, le dernier ID d’événement 1000 vous permet de déterminer l’heure de début de l’analyse en cours.
