Обзор
Рассмотрим следующую ситуацию. Войдите в систему и обратите внимание, вращающийся значок Microsoft Forefront Endpoint Protection 2010 или Microsoft системного центра Endpoint Protection 2012. (Это означает, что приложение выполняет действие). Откройте пользовательский Интерфейс приложения и обратите внимание на то, что выполняется сканирование.
В этом случае значение, отображаемое в приложение для запуска пользовательского интерфейса могут не отражать фактическое время начала сканирования выполняется при запуске сканирования прежде чем войти в систему.
Примечание. Если проверка была запущена прежде чем войти в систему, значение времени начала будет время запуска пользовательского интерфейса (то есть, когда был запущен процесс Msseces.exe).
Дополнительные сведения
При запуске сканирования регистрируется код события 1000. Отметка времени кодом 1000 можно считать время начала сканирования (хотя может быть задержка незначащие ведения журнала). Можно сопоставлять начала и остановки события в журнал событий, используя значение ScanID, которое является частью данных события.
Если событие запуска сканирования (EventID 1000) не имеет сопоставления события остановки сканирования, сканирование идет по-прежнему.
Для определения начала сканирования в данный момент, просмотрите журнал системы. Чтобы сделать это, выполните следующие действия.
-
Откройте системный журнал.
-
Отфильтровать журнал системы следующим образом:
Код события: 1000-1002
Источник: Корпорация Майкрософт защиты от вредоносных программ -
Найдите последний кодом 1000, а затем записать его значение ScanID.
-
Если нет EventID 1001 и 1002 после последнего кодом 1000, имеющий же ScanID, записанный на шаге 1, последний кодом 1000 можно использовать для определения времени начала сканирования в данный момент.
