應用程式控制

稽核

在這個部分中:

• 關於篩選
• 事件過濾
• 系統事件

關於篩選

應用程式控制項 稽核功能允許您定義稽核資訊擷取與要引發事件的規則，並且包括可用於指定您想在記錄內擷取之事件的篩選器。可從「管理」功能區存取稽核。

控制一般稽核行為

使用下列選項來控制一般稽核行為，並且選取要引發的事件:

• 傳送事件至應用程式事件記錄 - 選擇是否要傳送事件至「應用程式事件記錄」。
• 傳送事件至 AppSense 事件記錄 - 選擇是否要傳送事件至「AppSense 事件記錄」。您可以僅傳送事件至「應用程式事件記錄」或「AppSense 事件記錄」。
• 讓事件匿名 - 指定事件是否要匿名。若為是，會在所有事件內省略電腦名稱及使用者名稱。匿名記錄也會搜尋任何檔案路徑中目錄與使用者名稱相符的執行個體，並使用字串來取代目錄名稱
• 傳送事件至本機檔案記錄 - 選擇是否傳送事件至本機檔案記錄。若為是，事件會傳送至「文字」方塊指定的本機記錄檔案。預設位置為: %SYSTEMDRIVE%\AppSenseLogs\Auditing\ApplicationManagerEvents_%COMPUTERNAME%
• 本機檔案記錄格式- 指定事件記錄是要儲存為 XML 格式還是 CSV 格式。

在企業安裝中，事件可透過「部署代理程式」(CCA) 轉送至 管理中心。使用此方法進行稽核時，會透過 管理中心 控制台設定事件資料儲存與篩選。

如需詳細資訊，請參閱 管理中心 說明。

選取要引發的事件

對話方塊的此一區段會列出所有 應用程式控制項 事件。依據選取的稽核行為選項，針對要在本機引發的事件選取本機記錄核取方塊。

可用事件

事件 ID	事件名稱	事件說明
9000	拒絕的執行	拒絕的執行要求。
9001	允許的執行	允許的執行要求。 由於 Windows 回應執行要求的方式，對應用程式的單一要求可以產生多個 9001 事件。因此，最好使用事件 9015 準確稽核使用者執行應用程式的次數。
9002	覆寫已變更所有者	覆寫允許的可執行檔案。
9003	重新命名已變更所有者	重新命名拒絕的可執行檔案。
9004	應用程式限制拒絕	應用程式限制拒絕。
9005	時間限制拒絕	時間限制拒絕。
9006	自助授權	使用者的自助授權決定。
9007	允許自助授權	自助授權執行要求。
9009	已編寫指令碼規則逾時	指令碼執行已逾時。
9010	已編寫指令碼規則失敗	指令碼無法完成。 VB 指令碼失敗時才會引發此事件。
9011	已編寫指令碼規則成功	指令碼順利完成。
9012	受信任廠商拒絕	數位憑證未通過受信件廠商檢查。
9013	拒絕的網路項目	拒絕的網路項目要求。
9014	允許的網路項目	允許的網路項目要求。
9015	應用程式已啟動	允許的應用程式已啟動執行。 由於 Windows 回應執行要求的方式，對應用程式的單一要求可以產生多個 9001 事件。因此，最好使用事件 9015 準確稽核使用者執行應用程式的次數。
9016	無法變更擁有權	無法變更檔案的擁有權。
9017	應用程式終止	拒絕的應用程式已遭 應用程式控制項 終止。
9018	應用程式使用者權限已變更	應用程式的使用者權限已變更。
9019	允許的 Web 安裝	允許的 Web 安裝要求。
9020	Web 安裝受限制	受限制的 Web 安裝要求。
9021	Web 安裝受限制	Windows 受限制的 Web 安裝要求。
9022	Web 安裝失敗	Web 安裝無法完成。
9023	允許的自我提高權限	自我提高權限要求。
9024	URL 重新導向	已發生的 URL 重新導向。
9051	已授與原則變更	已授與原則變更要求
9052	原則變更的無效回應代碼	已針對原則變更要求輸入了無效的回應代碼
9053	使用者要求允許	允許的原則變更應用程式已啟動
9054	使用者要求提高權限	提高權限的原則變更應用程式已啟動
9055	服務啟動/停止	服務已啟動或停止。
9056	中繼資料符合的未受信任檔案	比對中繼資料時無法驗證已簽署檔案的憑證
9096	組態合併成功	組態合併已成功完成。
9097	組態合併失敗	組態合併已失敗。
9098	組態合併逾時	因等候預期檔案，組態合併已逾時。
9099	代理程式未獲授權	應用程式控制項 未獲授權。

由於 Windows 回應執行要求的方式，對應用程式的單一要求可以產生多個 9001 事件。因此，最好使用事件 9015 準確稽核使用者執行應用程式的次數。

9001、9007、9014 和 9015 事件會依預設停用，因為它們會在忙碌的端點上產生過量的事件資料。在此建議您僅於疑難排解用途時才使用這些事件，而且僅於短時間內使用。

事件過濾

「事件篩選」允許您篩選想要稽核的檔案類型。若您選擇了一項大量事件，此功能特別有用。按一下「稽核」對話方塊內的事件篩選即可存取事件篩選表。啟用事件篩選會依預設啟用，並且已設定成與推薦的檔案篩選器搭配使用。依需要更新設定，針對各個列出之事件選取要稽核的檔案類型。按一下新增，為所需事件類型指定新的檔案類型。

系統事件

以下是無法設定的系統事件:

事件 ID	事件名稱	事件說明
8000	服務已啟動	應用程式控制項 代理程式: 服務已啟動。
8001	服務已停止	應用程式控制項 代理程式: 服務已停止。
8095	找不到組態	應用程式控制項 找不到有效組態。
8099	無效的授權	應用程式控制項 軟體未獲授權。