// Nachschlagewerk

Event-IDs im Kanal AppLocker

Event-IDs aus den AppLocker-Kanälen Microsoft-Windows-AppLocker/EXE and DLL und MSI and Script: blockierte und im Auditmodus protokollierte Programme, Bibliotheken, Installer und Skripte.

Anwendungssteuerung ist eine der wirksamsten Schutzmaßnahmen gegen Schadsoftware aus E-Mail-Anhängen und Downloads, weil diese fast immer aus Benutzerverzeichnissen startet. Die AppLocker-Events zeigen dir jeden Ausführungsversuch, der an einer Regel scheitert, mit Pfad, Hash und Benutzer.

Die Kanäle liefern erst Daten, wenn eine AppLocker-Richtlinie aktiv ist und der Dienst Anwendungsidentität läuft. Leite sie ausdrücklich an dein SIEM weiter.

Alle
AppLocker
Aufgabenplanung
BITS
Defender
Directory Service
NTLM
PowerShell
Remote-Zugriff
Security
Sysmon
System
WMI

Initial Access
Execution
Persistence
Privilege Escalation
Defense Evasion
Credential Access
Discovery
Lateral Movement
Collection
Command and Control
Impact

ID	Bedeutung	Kanal	Relevanz	MITRE
8004	AppLocker hat Programm oder Skript blockiert	AppLocker	mittel	T1204.002, T1059