![转发的事件未在事件收集器上显示文件路径](https://linux22.com/image/676148/%E8%BD%AC%E5%8F%91%E7%9A%84%E4%BA%8B%E4%BB%B6%E6%9C%AA%E5%9C%A8%E4%BA%8B%E4%BB%B6%E6%94%B6%E9%9B%86%E5%99%A8%E4%B8%8A%E6%98%BE%E7%A4%BA%E6%96%87%E4%BB%B6%E8%B7%AF%E5%BE%84.png)
我已经将我们域中的一台服务器设置为客户端计算机的 AppLocker 事件收集器。然后我(通过 GPO)配置了两个客户端,以将其事件转发到事件收集器。
这很好用,我在事件收集器上接收来自两个客户端的事件。但是,其中一个客户端的事件未在事件详细信息中显示文件名。相反,它包含以下内容:
%11 被允许运行。
在客户端本地查看事件日志时,事件详细信息包含允许或阻止的文件的路径和文件名。为什么这些信息没有随事件转发?(编辑:事实证明,如果我切换到“详细信息”选项卡,FilePath 和其他信息都会在友好视图和 XML 视图中正常显示,但我希望它也显示在“常规”选项卡上。)
此外,来自其他客户端的事件也无法正确显示。事件没有获取实际的事件详细信息,而是包含以下内容:
无法找到来自源 Microsoft-Windows-AppLocker 的事件 ID 8020 的描述。引发此事件的组件未安装在您的本地计算机上,或者安装已损坏。您可以在本地计算机上安装或修复该组件。
如果事件源自另一台计算机,则显示信息必须与事件一起保存。
此次活动包含以下信息:
所需消息的区域特定资源不存在
这些事件在本地计算机上也能正常显示。在这里我也可以切换到事件收集器上的“详细信息”选项卡并查看事件中包含的所有信息,但在“常规”选项卡上看不到。
我找到了一个可能的解决方法,即运行wecutil ss <subscriptionName> /cf:Events
以更改订阅的 ContentFormat,但这并不能解决问题。
更新:我在设置中添加了第三台机器,它显示的内容与第一个客户端相同,例如%11 was allowed to run
。然后我尝试将订阅的 ContentFormat 从 RenderedText(默认)更改为 Events,现在第二个客户端的事件显示的内容与另外两个客户端的事件相同,例如:
%11 被允许运行。
但遗憾的是,“常规”选项卡上仍然没有显示文件路径。
更新:我刚刚尝试将自己的计算机(受 AppLocker 策略约束)配置为事件收集器,但在这里我也遇到了事件显示为“%11 被允许运行”的问题。
事件收集器运行的是 Windows Server 2012 R2,而客户端运行的是 Windows 10 Enterprise。
有什么建议么?