使用 事件查看器 查看事件和错误

  • 适用于: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

本文提供Microsoft Defender for Endpoint服务报告的事件的说明和故障排除步骤。 在各个设备上使用Windows 事件查看器查看这些事件，并确定用于解决服务问题的相应操作。

在 Defender for Endpoint 服务事件日志中查看事件

可以在单个设备上的事件查看器中查看事件 ID。 例如，当某个设备未显示在“设备”列表中时，在事件查看器中查看事件 ID 可能会有所帮助。 在此方案中，可以在设备上查找事件 ID，然后使用本文中的事件 ID 引用表来确定基于相应事件 ID 的进一步故障排除步骤。

若要打开 Defender for Endpoint 服务事件日志，请执行以下操作：

  1. 在 Windows 菜单上选择“开始”，键入事件查看器，然后按 Enter 打开事件查看器。

  2. 在日志列表中的 “日志摘要”下，滚动，直到看到 Microsoft-Windows-SENSE/Operational。 双击该项以打开日志。

    还可以通过展开 应用程序和服务日志>Microsoft>Windows>SENSE 并选择 操作 来访问该日志。

    注意

    SENSE 是用来指代为 Microsoft Defender for Endpoint 提供支持的行为传感器的内部名称。

  3. 服务记录的事件显示在日志中。

本文中的服务事件 ID 表列出了服务记录的事件。

事件标识符 邮件 说明 操作
1 Microsoft Defender for Endpoint 服务已启动（版本 variable）。 在系统启动、关闭和载入期间发生。 正常操作通知;无需执行任何操作。
2 Microsoft Defender for Endpoint 服务关闭。 当设备关机或解除纳管时发生。 正常操作通知;无需执行任何操作。
3 Microsoft Defender for Endpoint服务无法启动。 失败代码： variable。 服务未启动。 查看其他消息以确定可能的原因和故障排除步骤。
4 Microsoft Defender for Endpoint 服务联系了位于 variable 的服务器。 变量 = Defender for Endpoint 处理服务器的 URL。

此 URL 与防火墙或网络活动中显示的 URL 匹配。		 正常操作通知;无需执行任何操作。
5 Microsoft Defender for Endpoint服务无法连接到 处variable的服务器。 变量 = Defender for Endpoint 处理服务器的 URL。

服务无法通过该 URL 联系外部处理服务器。		 检查与 URL 的连接。 请参阅 配置代理和 Internet 连接。
6 Microsoft Defender for Endpoint服务未载入，并且未找到任何载入参数。 设备未正确完成接入，且未向门户上报数据。 在启动服务之前，必须先完成初始化设置。

检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 将客户端设备加入系统。
7 Microsoft Defender for Endpoint服务无法读取载入参数。 失败： variable。 变量 = 详细的错误说明。 设备未正确完成接入，且未向门户上报数据。 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入客户端设备。
8 Microsoft Defender for Endpoint服务无法清理其配置。 失败代码： variable。 载入期间： 在载入期间，服务未能清理其配置。 载入过程仍在继续。

在卸载期间： 服务在卸载期间未能清理其配置。 卸载过程已完成，但服务继续运行。		 载入： 无需执行任何操作。

卸载： 重新启动系统。

请参阅 将客户端设备载入系统。
9 Microsoft Defender for Endpoint服务无法更改其启动类型。 失败代码： variable。 载入期间： 设备未正确载入，并且未向门户报告。

在卸载期间： 未能更改服务启动类型。 卸载过程将继续进行。		 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 将客户端设备加入系统。
10 Microsoft Defender for Endpoint服务无法保留载入信息。 失败代码： variable。 设备未正确完成接入，且未向门户上报数据。 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。
11 已完成 Defender for Endpoint 服务的载入或重新载入。 设备已成功接入。 正常操作通知;无需执行任何操作。

设备可能需要几个小时才能显示在门户中。
12 Microsoft Defender for Endpoint未能应用默认配置。 服务无法应用默认配置。 默认配置错误应在短时间内解决。
13 已计算出 Microsoft Defender for Endpoint 设备 ID：variable。 正常运行过程。 正常操作通知;无需执行任何操作。
15 Microsoft Defender for Endpoint 无法使用以下 URL 启动命令通道：variable。 变量 = Defender for Endpoint 处理服务器的 URL。

服务无法通过该 URL 联系外部处理服务器。		 检查与 URL 的连接。 请参阅 配置代理和 Internet 连接。
17 Microsoft Defender for Endpoint 服务无法更改 Connected User Experiences and Telemetry 服务的位置。 失败代码： variable。 Windows 遥测服务出错。 确保已启用诊断数据服务“>确保已启用诊断数据服务。

检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。
18 OOBE（Windows 欢迎体验）已完成。 仅在任何 Windows 更新完成安装后，服务才会启动。 正常操作通知;无需执行任何操作。
19 OOBE（Windows 欢迎体验）尚未完成。 只有在安装完任何 Windows 更新后，服务才会启动。 正常操作通知;无需执行任何操作。

如果此错误在系统重启后仍然存在，请确保所有 Windows 更新都已完全安装。
20 无法等待 OOBE（Windows 欢迎界面）完成。 失败代码： variable。 内部错误。 如果此错误在系统重启后仍然存在，请确保已安装所有 Windows 更新。
25 Microsoft Defender for Endpoint服务未能重置注册表中的运行状况状态。 失败代码： variable。 设备未正确完成接入。 它向门户报告;但是，该服务可能不会在SCCM或注册表中显示为已注册。 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。
26 Microsoft Defender for Endpoint服务未能在注册表中设置载入状态。 失败代码： variable。 设备未能正确完成接入。

它向门户报告;但是，服务可能不会在SCCM或注册表中显示为已注册。		 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。
27 Microsoft Defender for Endpoint 服务未能在 Microsoft Defender 防病毒中启用 SENSE 感知模式。 载入过程失败。 失败代码： variable。 通常，如果另一个实时反恶意软件产品在设备上正确运行，并且设备正在向 Defender for Endpoint 报告，Microsoft Defender防病毒将进入特殊的被动状态。 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。

确保实时反恶意软件保护正常运行。
28 Microsoft Defender for Endpoint连接用户体验和遥测服务注册失败。 失败代码： variable。 Windows 遥测服务出错。 确保已启用诊断数据服务。

检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。
29 无法读取卸载参数。 错误类型： %1，错误代码： %2，说明： %3 当系统无法读取卸载参数时，会发生此事件。 确保设备可以访问 Internet，然后再次运行整个卸载过程。 确保离岗包未过期。
30 Microsoft Defender for Endpoint 服务未能在 Microsoft Defender 防病毒中禁用“SENSE 感知”模式。 失败代码： variable。 通常，如果另一个实时反恶意软件产品在设备上正确运行，并且设备正在向 Defender for Endpoint 报告，Microsoft Defender防病毒将进入特殊的被动状态。 检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 将运行 Windows 或 macOS 的客户端设备加入系统。

确保实时反恶意软件保护正常运行。
31 Microsoft Defender for Endpoint连接用户体验和遥测服务取消注册失败。 失败代码： variable。 加入期间 Windows 遥测服务出错。 卸载过程将继续进行。 检查 Windows 遥测服务是否有错误。
32 Microsoft Defender for Endpoint服务在卸载过程后未能请求停止自身。 失败代码： %1 卸载期间发生错误。 重新启动设备。
33 Microsoft Defender for Endpoint 服务未能持久保存 SENSE GUID。 失败代码： variable。 唯一标识符用于表示向门户报告的每个设备。

如果标识符未保留，则同一设备可能会在门户中出现两次。		 检查设备上的注册表权限，确保服务可以更新注册表。
34 Microsoft Defender for Endpoint服务无法将自身添加为连接用户体验和遥测服务的依赖项，从而导致载入过程失败。 失败代码： variable。 Windows 遥测服务出错。 确保已启用诊断数据服务。

检查是否已正确部署载入设置和脚本。 尝试重新部署配置包。

请参阅 载入运行 Windows 或 macOS 的客户端设备。
35 通信配额已更新。 磁盘配额（以 MB 为单位）： variable每日上传配额（以 MB 为单位）： variable 变量 = 磁盘配额（以 MB 为单位）。 正常操作通知;无需执行任何操作。
36 Microsoft Defender for Endpoint 的连接用户体验和遥测服务注册成功。 完成代码： variable。 使用连接用户体验和遥测服务注册 Defender for Endpoint 已成功完成。 正常操作通知;无需执行任何操作。
37 Microsoft Defender for Endpoint 的某个模块即将超出其配额限制。 模块： %1，配额： {%2} {%3}，配额利用率百分比： %4。 设备已接近其分配的当前 24 小时时段配额。 它即将被限流。 正常操作通知;无需执行任何操作。
38 网络连接被识别为较弱。 Microsoft Defender for Endpoint每 %1 分钟联系一次服务器。 按流量计费的连接： %2，Internet 可用： %3，可用免费网络： %4。 设备使用按流量计费/付费的网络，并且不太频繁地与服务器联系。 正常操作通知;无需执行任何操作。
39 网络连接被标识为正常。 Microsoft Defender for Endpoint每 %1 分钟联系一次服务器。 按流量计费的连接： %2，Internet 可用： %3，可用免费网络： %4。 设备未使用按流量计费/付费的连接，并照常与服务器联系。 正常操作通知;无需执行任何操作。
40 检测到电池状态较低。 Microsoft Defender for Endpoint每 %1 分钟联系一次服务器。 电池状态： %2。 设备的电池电量较低，与服务器接触的频率较低。 正常操作通知;无需执行任何操作。
41 电池状态标识为正常。 Microsoft Defender for Endpoint每 %1 分钟联系一次服务器。 电池状态： %2。 设备电池电量不低，并照常与服务器通信。 正常操作通知;无需执行任何操作。
42 Microsoft Defender for Endpoint组件无法执行操作。 组件： %1，操作： %2，异常类型： %3，异常消息： %4 内部错误。 服务无法启动。 如果此错误仍然存在，请联系支持人员。
43 Microsoft Defender for Endpoint组件无法执行操作。 组件： %1，操作： %2，异常类型： %3，异常错误： %4，异常消息： %5 内部错误。 服务无法启动。 如果此错误仍然存在，请联系支持人员。
44 Defender for Endpoint 服务的卸载已完成。 该服务已下线。 正常操作通知;无需执行任何操作。
45 未能注册 并启动事件跟踪会话 [%1]。 错误代码： %2 创建 ETW 会话时服务启动时出错。 这会导致服务启动失败。 如果此错误仍然存在，请联系支持人员。
46 由于缺少资源，无法注册和启动事件跟踪会话 [%1]。 错误代码： %2。 这很可能是因为活动事件跟踪会话太多。 服务将在 1 分钟后重试。 由于缺少资源，创建 ETW 会话时服务启动时出错。 服务正在运行，但在 ETW 会话启动之前不会报告传感器事件。 正常操作通知;无需执行任何操作。 服务尝试每分钟启动一次会话。
47 已成功注册并启动事件跟踪会话 - 在以前的尝试失败后恢复。 此事件在成功启动 ETW 会话后，紧随上一个事件发生。 正常操作通知;无需执行任何操作。
48 无法将提供程序 [%1] 添加到事件跟踪会话 [%2]。 错误代码：%3。 这意味着来自该提供程序的事件不会上报。 无法将提供程序添加到 ETW 会话。 因此，提供程序事件不会被报告。 检查错误代码。 如果错误仍然存在，请联系支持人员。
49 收到无效的云配置命令，已忽略。 版本： %1，状态： %2，错误代码： %3，消息： %4 从云服务收到被忽略的无效配置文件。 如果此错误仍然存在，请联系支持人员。
50 已成功应用新的云配置。 版本：%1。 已成功从云服务应用新配置。 正常操作通知;无需执行任何操作。
51 新的云配置应用失败，版本：%1。 已成功应用上次已知正常配置，版本 %2。 从云服务收到错误的配置文件。 已成功应用上次正确配置。 如果此错误仍然存在，请联系支持人员。
52 新的云配置应用失败，版本：%1。 也未能应用上一个已知良好的配置版本 %2。 已成功应用默认配置。 从云服务收到错误的配置文件。 未能应用上次已知正常的配置，已应用默认配置。 该服务尝试在 5 分钟内下载新的配置文件。 如果“已成功应用新云配置”事件（事件 ID 50）在 5 分钟后未显示，请联系支持人员。
53 从持久性存储加载的云配置，版本：%1。 配置是在服务启动时从持久性存储加载的。 正常操作通知;无需执行任何操作。
55 未能创建安全 ETW 自动日志记录器。 失败代码： %1 未能创建安全的 ETW 记录器。 重新启动设备。 如果此错误仍然存在，请联系支持人员。
56 无法删除安全 ETW 自动记录器。 失败代码： %1 未能在卸载时删除安全 ETW 会话。 联系支持人员。
57 捕获计算机快照以进行故障排除。 正在收集调查包（也称为取证包）。 正常操作通知;无需执行任何操作。
59 启动命令： %1 正在启动响应命令执行。 正常操作通知;无需执行任何操作。
60 无法运行命令 %1，错误： %2。 未能执行响应命令。 如果此错误仍然存在，请联系支持人员。
61 数据收集命令参数无效：SasUri： %1，compressionLevel： %2。 无法读取或分析数据收集命令参数 (无效参数) 。 如果此错误仍然存在，请联系支持人员。
62 无法启动连接用户体验和遥测服务。 失败代码： %1 连接用户体验和遥测 (diagtrack) 服务无法启动。 此计算机不会发送非 Microsoft Defender for Endpoint 的遥测数据。 在事件日志中查找更多故障排除提示：Microsoft-Windows-UniversalTelemetryClient/Operational。
63 更新外部服务的启动类型。 名称： %1，实际启动类型： %2，预期启动类型： %3，退出代码： %4 更新了外部服务的启动类型。 正常操作通知;无需执行任何操作。
64 启动已停止的外部服务。 名称： %1，退出代码： %2 启动外部服务。 正常操作通知;无需执行任何操作。
65 无法加载Microsoft安全事件组件微筛选器驱动程序。 失败代码： %1 无法加载 MsSecFlt.sys 文件系统微筛选器。 重新启动设备。 如果此错误仍然存在，请联系支持人员。
66 策略更新：延迟模式 - %1 更新了 C&C 连接频率策略。 正常操作通知;无需执行任何操作。
68 服务的启动类型异常。 服务名称： %1，实际启动类型： %2，预期启动类型： %3 异常的外部服务启动类型。 修复外部服务启动类型。
69 服务已停止。 服务名称： %1 外部服务已停止。 启动外部服务。
70 策略更新：允许示例收集 - %1 示例收集策略已更新。 正常操作通知;无需执行任何操作。
71 成功运行命令： %1 命令已成功执行。 正常操作通知;无需执行任何操作。
72 已尝试发送第一份完整的机器配置报告。 结果代码： %1 仅提供信息。 正常操作通知;无需执行任何操作。
73 从平台开始的感知： %1 仅提供信息。 正常操作通知;无需执行任何操作。
74 注册表中的设备标记超出了长度限制。 标签名称：%2。 长度限制：%1。 设备标记超出长度限制。 使用较短的设备标签。
81 无法创建 Microsoft Defender for Endpoint ETW 自动记录器。 失败代码： %1 未能创建 ETW 会话。 重新启动设备。 如果此错误仍然存在，请联系支持人员。
82 无法删除 Microsoft Defender for Endpoint ETW 自动记录器。 失败代码： %1 未能删除 ETW 会话。 联系支持人员。
84 设置Microsoft Defender防病毒运行模式。 强制被动模式：%1，结果代码：%2。 (主动或被动) 设置 defender 运行模式。 正常操作通知;无需执行任何操作。
85 无法触发 Microsoft Defender for Endpoint 可执行文件。 失败代码： %1 星标 SenseIR 可执行文件失败。 重新启动设备。 如果此错误仍然存在，请联系支持人员。
86 再次启动导致本应处于运行状态的外部服务停止。 名称： %1，退出代码： %2 再次启动外部服务。 正常操作通知;无需执行任何操作。
87 无法启动外部服务。 名称：%1 未能启动外部服务。 联系支持人员。
88 再次更新外部服务的启动类型。 名称： %1，实际启动类型： %2，预期启动类型： %3，退出代码： %4 更新了外部服务的启动类型。 正常操作通知;无需执行任何操作。
89 无法更新外部服务的启动类型。 名称： %1，实际启动类型： %2，预期启动类型： %3 无法更新外部服务的启动类型。 联系支持人员。
90 未能将 System Guard 运行时监视器配置为连接到异地区域 %1 中的云服务。 失败代码： %2 System Guard 运行时监视器不会将证明数据发送到云服务。 检查注册路径上的权限：“HKLM\Software\Microsoft\Windows\CurrentVersion\Sgrm”。 如果未发现任何问题，请联系支持人员。
91 无法删除 System Guard 运行时监视器的地理位置信息。 失败代码： %1 System Guard 运行时监视器不会将证明数据发送到云服务。 检查注册路径上的权限：“HKLM\Software\Microsoft\Windows\CurrentVersion\Sgrm”。 如果未发现任何问题，请联系支持人员。
92 由于数据配额已超限，停止发送传感器网络安全数据。 配额期限过后，将恢复发送。 状态掩码：%1 超过节流限制。 正常操作通知;无需执行任何操作。
93 恢复发送传感器网络数据。 状态掩码：%1 恢复网络数据的提交。 正常操作通知;无需执行任何操作。
94 Microsoft Defender for Endpoint 的可执行程序已启动 SenseCE 可执行文件已启动。 正常操作通知;无需执行任何操作。
95 Microsoft Defender for Endpoint可执行文件已结束 SenseCE 可执行程序已终止。 正常操作通知;无需执行任何操作。
96 Microsoft Defender for Endpoint Init 已调用。 结果代码： %2 SenseCE 可执行文件已调用 MCE 初始化。 正常操作通知;无需执行任何操作。
97 DLP 方案与云的连接存在问题 存在影响 DLP 分类流的网络连接问题。 检查网络连接。
98 DLP 场景与云的连接已恢复 与网络的连接已恢复，DLP 分类流可以继续。 正常操作通知;无需执行任何操作。
99 Sense 在与服务器通信时遇到以下错误： (%1) 。 结果： (%2) 发生通信错误。 有关更多详细信息，请查看 Microsoft-Windows-SENSE/Operational 事件日志中的后续事件。
100 Microsoft Defender for Endpoint可执行文件无法启动。 失败代码： %1 SenseCE 可执行文件无法启动。 重新启动设备。 如果此错误仍然存在，请联系支持人员。
102 Microsoft Defender for Endpoint 的网络检测和响应可执行文件已启动 SenseNdr 可执行文件已启动。 正常操作通知;无需执行任何操作。
103 Microsoft Defender for Endpoint 网络检测和响应可执行程序已终止 SenseNdr 可执行文件已终止。 正常操作通知;无需执行任何操作。
104 无法对异步驱动程序卸载进行排队。 失败代码： %1。 在卸载期间发生。 正常操作通知;无需执行任何操作。
105 未能等待驱动程序卸载 在卸载期间发生。 正常操作通知;无需执行任何操作。
106 Microsoft Defender for Endpoint服务无法启动。 失败代码 %1 ;未能加载 MsSense DLL。 模块。 在启动期间发生。 请联系支持人员。
107 Microsoft Defender for Endpoint服务无法启动。 失败代码 %1 ;MsSense DLL 模块的问题。 在启动期间发生。 请联系支持人员。
108 更新阶段：%1，新平台版本：%2，消息：%3。 在更新期间发生。 正常操作通知;无需执行任何操作。
109 更新阶段：%1 新平台版本： %2，失败消息： %3，错误： %4。 在更新期间发生。 请联系支持人员。
110 无法删除 MDEContain WFP 筛选器。 在卸载期间发生。 请联系支持人员。
307 未能更新驱动程序权限 失败代码： %1。 在载入期间发生。 请联系支持人员。
308 无法对文件夹 %1 设置 ACL。错误代码：%2。 在载入期间发生。 请联系支持人员。
401 Microsoft Defender for Endpoint服务无法生成密钥。 失败代码： %1。 未能创建加密密钥。 如果计算机未报告，请联系支持人员。 否则，无需执行任何操作。
402 Microsoft Defender for Endpoint服务无法保留身份验证状态。 失败代码： %1。 无法保留身份验证状态。 如果设备未报告，请联系支持人员。 否则，无需执行任何操作。
403 已完成Microsoft Defender for Endpoint服务的注册。 成功注册到身份验证服务。 正常操作通知;无需执行任何操作。
404 Microsoft Defender for Endpoint服务已成功生成密钥。 成功生成加密密钥。 正常操作通知;无需执行任何操作。
405 无法与身份验证服务通信。 %1 请求失败，hresult： %2，HTTP 错误代码： %3。 未能将请求发送到身份验证服务。 正常操作通知;无需执行任何操作。
406 身份验证服务拒绝了 %1 的请求。 Hresult： %2，错误代码： %3。 请求返回了非预期的响应。 正常操作通知;无需执行任何操作。
407 Microsoft Defender for Endpoint 服务未能对消息进行签名（身份验证）。 失败代码： %1。 未能对请求进行签名。 正常操作通知;无需执行任何操作。
408 Microsoft Defender for Endpoint服务无法删除持久身份验证状态。 状态：%1，失败代码：%2。 无法保留身份验证状态。 如果设备未报告，请联系支持人员。 否则，无需执行任何操作。
409 Microsoft Defender for Endpoint服务无法打开密钥。 失败代码： %1。 无法打开加密密钥。 如果设备未报告，请联系支持人员。 否则，无需执行任何操作。
410 作为重新载入Microsoft Defender for Endpoint服务的一部分，需要注册。 在重新引导期间发生。 正常操作通知;无需执行任何操作。
411 由于令牌无效/过期，Microsoft Defender for Endpoint服务已暂停网络遥测上传。 网络上传暂时暂停。 正常操作通知;无需执行任何操作。
412 由于令牌已重新刷新，Microsoft Defender for Endpoint 服务的网络安全遥测数据上传已恢复。 已成功恢复网络上传。 正常操作通知;无需执行任何操作。
1800 CSP：获取 Node's 值。 NodeId： (%1) ，TokenName： (%2) 。 Get 操作即将开始。 请联系支持人员。
1801 CSP：无法获取 Node's 值。 NodeId： (%1) ，TokenName： (%2) ，结果： (%3) 。 Get 的某项操作失败了。 请联系支持人员。
1802 CSP：获取 Node's 值已完成。 NodeId： (%1) ，TokenName： (%2) ，结果： (%3) 。 Get 操作已成功完成。 请联系支持人员。
1803 CSP：获取“上次连接”值完成。 结果（%1），IsDefault：（%2）。 设备上次与 CNC 通信的时间 正常操作通知;无需执行任何操作。
1804 CSP：获取完整的组织 ID 值。 结果：(%1)，IsDefault：(%2)。 组织 ID 设备在载入期间获取。 正常操作通知;无需执行任何操作。
1805 CSP：获取 Sense Is Running 值已完成。 结果：(%1)。 在载入后感知正在运行的消息。 正常操作通知;无需执行任何操作。
1806 CSP：获取引导状态值已完成。 结果：(%1)，IsDefault：(%2)。 让 Get is Sense 完成接入。 正常操作通知;无需执行任何操作。
1807 CSP：完成载入值。 载入 Blob 哈希： (%1) ，IsDefault： (%2) ，载入状态： (%3) ，载入状态 IsDefault： (%4) 。 获取 Sense 已载入和载入中的 Blob 哈希值。 正常操作通知;无需执行任何操作。
1808 CSP：获取卸载值完成。 移除 Blob 的哈希值：(%1)，IsDefault：(%2)。 获取取消注册 Blob 哈希值。 正常操作通知;无需执行任何操作。
1809 CSP：获取示例共享值完成。 结果：(%1)，是否为默认值：(%2)。 允许上传示例。 正常操作通知;无需执行任何操作。
1810 CSP：载入过程。 已启动。 已启动引导流程。 正常操作通知;无需执行任何操作。
1811 CSP：载入过程。 删除停用 Blob 对象已完成。 结果：(%1)。 删除了作为载入流的一部分的卸载 Blob。 正常操作通知;无需执行任何操作。
1812 CSP：载入过程。 写入 Onboarding Blob 完成。 结果：(%1)。 作为引导流程的一部分，将引导 Blob 数据写入注册表。 正常操作通知;无需执行任何操作。
1813 CSP：载入过程。 服务已成功启动。 作为载入流的一部分启动 Sense 服务。 正常操作通知;无需执行任何操作。
1814 CSP：载入过程。 待处理的服务运行状态已完成。 结果：(%1)。 已完成在引导流程中等待 Sense 启动。 正常操作通知;无需执行任何操作。
1815 CSP：设置示例共享值完成。 上一个值： (%1) ，IsDefault： (%2) ，新值： (%3) ，结果： (%4) 。 设置示例共享值。 正常操作通知;无需执行任何操作。
1816 CSP：离网流程。 删除 Onboarding blob 完成。 结果 (%1) 。 删除了加入 Blob 作为卸载流的一部分。 正常操作通知;无需执行任何操作。
1817 CSP：离网流程。 离职 Blob 写入完成。 结果 (%1) 。 将 blob 卸载到注册表作为卸载流的一部分写入。 正常操作通知;无需执行任何操作。
1818 CSP：开始设置 Node's 的值。 NodeId： (%1) ，TokenName： (%2) 。 Set 的操作即将启动。 正常操作通知;无需执行任何操作。
1819 CSP：无法设置 Node's 值。 NodeId： (%1) ，TokenName： (%2) ，结果： (%3) 。 Set 的操作失败。 请联系支持人员。
1820 CSP：Node's 值设置完成。 NodeId： (%1) ，TokenName： (%2) ，结果： (%3) 。 Set 的操作已成功。 正常操作通知;无需执行任何操作。
1821 CSP：设置遥测报告频率已开始。 新值： (%1) 。 开始设置 TelemetryReportingFrequency 的值。 正常操作通知;无需执行任何操作。
1822 CSP：设置遥测报告频率完成。 上一个值： (%1) ，IsDefault： (%2) ，新值： (%3) ，结果： (%4) 。 完成对 TelemetryReportingFrequency 值的设置。 正常操作通知;无需执行任何操作。
1823 CSP：获取遥测上报频率已完成。 值：(%1)，注册表值：(%2)，是否为默认值：(%3)。 获取 TelemetryReportingFrequency 的值。 正常操作通知;无需执行任何操作。
1824 CSP：获取组 ID 完成。 值：(%1)，IsDefault：(%2)。 已从注册表获取组 ID。 正常操作通知;无需执行任何操作。
1825 CSP：设置组 ID 超出了允许的限制。 允许： (%1) ，实际： (%2) 。 由于长度限制，无法设置 groupIds。 正常操作通知;无需执行任何操作。
1826 CSP：设置组 ID 已完成。 值： (%1) ，结果： (%2) 。 设置 groupIds。 正常操作通知;无需执行任何操作。
1827 CSP：接入流程。 服务正在运行： (%1) 、以前的载入 Blob 哈希： (%2) 、IsDefault： (%3) 、载入状态： (%4) 、载入状态 IsDefault： (%5) 、新载入 Blob 哈希： (%6) 。 在载入过程中跟踪值。 正常操作通知;无需执行任何操作。
1828 CSP：载入过程。 服务正在运行：(%1)，以前的停用 Blob 哈希值：(%2)，是否为默认值：(%3)，启用状态：(%4)，启用状态是否为默认值：(%5)，新的停用 Blob 哈希值：(%6)。 作为卸载的一部分的跟踪值。 正常操作通知;无需执行任何操作。
1829 CSP：未能设置示例共享值。 请求的值： (%1) ，允许的值介于 (%2) 和 (%3) 之间。 SampleSharing 操作的值无效。 请联系支持人员。
1830 CSP：未能设置遥测报告频率值。 请求的值：（%1）。 设置 TelemetryReportingFrequency 的值失败。 如果问题仍然存在，请联系支持人员。
1831 CSP：Get Sense 正在运行。 服务配置为延迟启动，但 hasn't 尚未启动。 获取 SenseIsRunning 结果。 正常操作通知;无需执行任何操作。
1832 CSP：完成设备标记组。 值：(%1)，IsDefault：(%2)。 从注册表中获取设备标记组已完成。 正常操作通知;无需执行任何操作。
1833 CSP：获取设备标记关键性值已完成。 在注册表中： (%1) ，IsDefault： (%2) ，转换成功： (%3) ，结果： (%4) 。 已完成从注册表中获取设备标记严重性。 正常操作通知;无需执行任何操作。
1834 CSP：获取设备标记标识方法值完成。 在注册表中： (%1) ，IsDefault： (%2) ，转换成功： (%3) ，结果： (%4) 。 从注册表获取 DeviceTagging ID 的方法已完成。 正常操作通知;无需执行任何操作。
1835 CSP：设备标记组设置完成。 值： (%1) ，结果： (%2) 。 在注册表中设置设备标记组已完成。 正常操作通知;无需执行任何操作。
1836 CSP：设置设备标记组超出允许的限制。 允许： (%1) ，实际： (%2) 。 设置 DeviceTagging 组失败，因为超过了最大长度限制。 如果问题仍然存在，请联系支持人员。
1837 CSP：设置设备标记严重性值已完成。 上一个值： (%1) ，IsDefault： (%2) ，新值： (%3) ，结果： (%4) 。 已在注册表中完成 DeviceTagging Criticality 的设置。 正常操作通知;无需执行任何操作。
1838 CSP：未能设置设备标记严重性值。 请求的值： (%1) ，允许的值介于 (%2) 和 (%3) 之间。 设置 DeviceTagging Criticality 失败，因为该值不在预期范围内。 如果问题仍然存在，请联系支持人员。
1839 CSP：设置设备标记标识方法值完成。 上一个值： (%1) ，IsDefault： (%2) ，新值： (%3) ，结果： (%4) 。 在注册表中设置 DeviceTagging Id 方法已完成。 正常操作通知;无需执行任何操作。
1840 CSP：无法设置设备标记标识方法的值。 请求的值： (%1) ，允许的值介于 (%2) 和 (%3) 之间。 设置 DeviceTagging Id 方法失败，因为值不在预期范围内。 如果问题仍然存在，请联系支持人员。

在系统事件日志中查看 Defender for Endpoint 事件

Microsoft Defender for Endpoint事件也显示在系统事件日志中。

注意

事件查看器 UI 可能因 Windows 版本而异。 本文中的步骤反映了Windows 11的最新版本。

打开系统事件日志：

  1. 在 Windows 菜单上选择“开始”，键入事件查看器，然后按 Enter 打开事件查看器。
  2. 在日志列表中的 “日志摘要”下，滚动，直到看到 “系统”。 双击该项以打开日志。

使用下表查找有关系统事件日志中 Defender for Endpoint 事件的更多信息，并确定后续故障排除步骤。

事件标识符 邮件 说明 操作
1 实时会话“SenseNdrPktmon”的后备文件已达到其最大大小。 因此，在空间可用之前，不会将新事件记录到此会话。 Pktmon（用于捕获网络流量的 Windows 内置服务）与我们的代理（SenseNDR，用于异步分析数据包）之间的此实时会话被配置为受限，以防止潜在的性能问题。 因此，如果在短时间内截获了过多的数据包，则可能会出现此警报，从而导致跳过某些数据包。 此警报在网络流量较高时更常见。 正常操作通知;无需执行任何操作。

另请参阅

  • Last updated on