L'ID evento 1000 è una voce comune del registro Applicazione di Windows che registra un arresto anomalo imprevisto di un processo. Si vede spesso insieme al nome dell'eseguibile in errore, al modulo che ha causato l'errore e a un codice di errore come 0xc0000409. L'evento di solito significa che un programma in modalità utente è terminato in modo anomalo, non che il sistema operativo stesso abbia avuto un guasto.
Nella sicurezza informatica, l'ID evento 1000 è importante perché gli addetti alla difesa lo usano per individuare bug software, problemi di compatibilità, driver instabili e talvolta malware che va in crash durante il rilevamento o dopo aver eseguito una chiamata errata. Gli aggressori possono anche provocare arresti anomali mentre sondano i bersagli, ma il solo evento non è una prova di compromissione. Gli analisti dovrebbero correlarlo con i tempi delle patch, la genealogia dei processi, gli hash e altre telemetrie prima di procedere all'escalation. In molti ambienti, voci ripetute di ID evento 1000 sono un segnale per indagare prima sull'affidabilità e poi su una possibile intrusione.