Home
  •  

恶意软件已清除警报规则

Microsoft.FEP.MalwareCleanedAlertRule (Rule)

当 Microsoft Forefront Endpoint Protection 客户端报告已清除恶意软件时生成警报。

Knowledge Base article:

摘要

此规则跟踪成功的恶意软件清除操作。

配置

建议您使用默认配置保持此规则为打开状态。

原因

如果客户端报告它成功清除了恶意软件，则此规则将生成一条信息警报。

Element properties:

TargetMicrosoft.FEP.ProtectedServer
CategoryCustom
EnabledTrue
Alert GenerateTrue
Alert SeverityInformation
Alert PriorityLow
RemotableTrue
Alert Message
恶意软件已清除
Forefront Endpoint Protection 从“{0}”中检测并清除恶意软件。 无需进一步操作。

恶意软件详细信息：
检测时间 (GMT)： {1}
威胁名称： {2}
威胁位置： {3}
更多信息： {4}
恶意软件严重性： {5}
类别： {6}

Member Modules:

ID Module Type TypeId RunAs 
EventsDS DataSource Microsoft.FEP.ProtectedServer.MalwareCleanedEventDS Default
GenerateAlert WriteAction System.Health.GenerateAlert Default

Source Code:

<Rule ID="Microsoft.FEP.MalwareCleanedAlertRule" Enabled="true" Target="FEPLibrary!Microsoft.FEP.ProtectedServer" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>Custom</Category>

  <DataSources>

    <DataSource ID="EventsDS" TypeID="FEPLibrary!Microsoft.FEP.ProtectedServer.MalwareCleanedEventDS"/>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>0</Priority>

      <Severity>0</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.FEP.MalwareCleanedAlertRule.Alert"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Target/Property[Type="FEPLibrary!Microsoft.FEP.ProtectedServer"]/ServerId$</AlertParameter1>

        <AlertParameter2>$Data/Params/Param[4]$</AlertParameter2>

        <!-- Detection Time -->

        <AlertParameter3>$Data/Params/Param[8]$</AlertParameter3>

        <!-- Threat Name -->

        <AlertParameter4>$Data/Params/Param[22]$</AlertParameter4>

        <!-- Path -->

        <AlertParameter5>$Data/Params/Param[13]$</AlertParameter5>

        <!-- FW Link -->

        <AlertParameter6>$Data/Params/Param[10]$</AlertParameter6>

        <!-- Severity -->

        <AlertParameter7>$Data/Params/Param[12]$</AlertParameter7>

        <!-- Category -->

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/Params/Param[8]$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>