Условия и исходная связь
Начните с определения того, какое обнаружение предполагается обработанным. Запрос «угроза устранена?» нельзя закрыть одним номером 1117 из общего уведомления. Нужны исходная запись, тот же узел, ресурсы, момент и сведения о действии. Запишите, откуда получены данные и какая часть сообщения была обрезана сборщиком. Уточните версии продукта и фактическую политику на момент события через владельца источника. Текущая настройка после изменения политики может не объяснять историческое действие. Команды этой карточки не меняют защиту и не повторяют обработку объекта.
Способ чтения
Выберите Operational-журнал и 1117 за ограниченный интервал. Пример Get-WinEvent читает локальные события; дополнительный столбец TimeCreatedUtc создаётся нашей проекцией и не подменяет исходную временную отметку. Сохраните полный Message, ProviderName, LogName, RecordId и имя машины. Если журнал анализируется в центральной системе, проверьте соответствие полей экспортированной записи исходному EventRecord. Нормализованное поле action в SIEM может иметь собственные значения; не считайте их дословным Action Defender без проверки преобразования.
Разбор примера с Allow
В учебной записи Action равен Allow. Из этого примера следует лишь, что для указанного обнаружения в иллюстрации показано разрешающее действие. Нельзя писать «1117 — значит объект отправлен в карантин»: действие необходимо прочитать. Отсутствующие статус и ошибка здесь намеренно не выдуманы. Для реального вывода запросите оставшуюся часть сообщения и связанные события. Вымышленный DemoThreat-A не является названием настоящего семейства угроз. Пример создан для разбора логики и не является инструкцией настраивать Allow или ослаблять защиту.
Проверка результата
Разделите три утверждения: продукт обнаружил объект, продукт зарегистрировал действие, состояние ресурса после действия подтверждено. Последнее требует дополнительной проверки в доступных сведениях продукта и последующих записях. Если действие содержит ошибку, сохраните код и текст вместе с именем ресурса; неполный фрагмент не позволяет уверенно определить исход. Карантин файла также не доказывает, что ранее запущенный процесс не оставил другие изменения. Повторные записи сравнивайте по контексту: одинаковые имя угрозы и путь могут относиться к новым экземплярам объекта.
Следующий шаг
Найдите связанное 1116 и проверьте последовательность на временной шкале. Сопоставьте ресурс, идентификатор угрозы, процесс и доступные сообщения об ошибках, оставляя неподтверждённые связи отдельными гипотезами. Для вопроса о дальнейшем исполнении обратитесь к процессной телеметрии и связанным событиям устройства; для исключения ложного срабатывания нужен установленный порядок проверки у владельца защиты. Итоговая запись расследования должна содержать фактический тип действия, известный результат, оставшиеся вопросы и источник каждого вывода. Самостоятельное удаление объекта из карточки не требуется.
Если записи нет или нет пары
Проверьте период, канал, ротацию и полноту доставки. Поиск пары только в пределах нескольких секунд может быть слишком узким: расширьте окно по известной хронологии, не теряя границ расследования. Уточните, не относится ли исходный сигнал к другому компоненту или системе. Если есть обнаружение без доступного действия, статус обработки остаётся неизвестным; отсутствие пары не доказывает ни успешную очистку, ни отказ. Запросите у владельца продукта полный контекст и сохраняйте это как ограничение данных, а не как завершённый результат реагирования.