[请教]Windows审核策略中的 '审核登陆事件' 和 '审核帐户登陆事件' 有什么区别?

[coolstar14]

看了Windows自己提供的帮助, 没弄明白.
不知道这儿有没有人可以给解释的稍浅显易懂一点.

[coolstar14]

自己 顶 一下下.

[andyzgx1]

审核登陆事件
确定是否审核用户登录到该计算机、从该计算机注销或建立与该计算机的网络连接的每一个实例

换句话说是指登陆的地方

审核帐户登陆事件
确定是否审核在这台计算机用于验证帐户时，用户登录到其他计算机或者从其他计算机注销的每个实例。

指时长多点！

[hr88rong]

还是迷糊。。。。

[coolstar14]

谢谢andyzgx1(飞刀，又见飞刀)的解答.

审核帐户登陆事件是 本机用户连往其他机器的审核, 审核登陆事件, 是其他机器连往本机的审核, 这样理解对不对?

另外, 有没有办法审核, 通过网络连接到服务器的事件, 能不能只审核特定用户通过网络连接到服务器的事件?

谢谢.

[andyzgx1]

这个问题不好办了！

[彼得大帝的轮回]

第一，上面飞刀兄的解释来自微软的知识库，里面解释的区别理解起来比较困难，但是两种审核生成的事件ID不同；登陆事件多审核用户尝试登陆计算机或者域控制器，帐户登陆事件主要审核用户登陆过程中的一些事件，如已成功发布并确认验证服务 (AS) 票证，身份验证票证请求失败，用户已经重新连接到一个断开的终端服务器会话等等。具体可以去微软的知识库参考。
第二，审核是在组策略中定义的，可以在本机进行设置，也可以在网络中的其他机器上进行设置，但审核的内容都是针对对象而言。
第三，审核连接到服务器上的事件一般都是基于对象的，而不能基于某个特殊的访问事件定义一个审核策略，就我所知，你的想法还不能实现。
如果你在组策略中曾经设置过这些审核，你就会明白了。自己可以找个环境试试。

[彼得大帝的轮回]

你可以仔细查看事件日志的内容，里面会列出非常详细的信息，希望你能自己分析，其实系统经常会进行这种操作。另外，你可以设置事件日志替换日志设置。在日志的属性中可以找到。建议只审核登陆事件，用户登陆事件就不要审核了。

[coolstar14]

谢谢 firefox68(呵呵) , 支持firefox, 希望可以尽快发布3.0.

我是在一个服务器上设置过审核策略的, 无奈产生的日志太多. 所以过来问一下希望可以减少记录和尽量记录有效的内容.
我看到事件ID大多是538,540, 产生日志的用户为NT AUTHORITY\ANONYMOUS LOGON, 几乎整天都有, 每隔10-20秒就出现一个. 如果在上班时间出现也就罢了, 问题是下了班仍然是大量的这种日志, 所以怀疑是不是有问题? 希望能帮忙分析下.

[benxiaohai78]

我是新手,上CSDN都找不到提问的发贴在哪里.所以只能通过回复来提问了,请有经验的人指导我.
我刚买的电脑,不小心将administrators用户停用了,也没有在此类用户中新建过新用户,如何才能激活此用户类型.
已经试过取消"计算机管理"中的"本地用户和组"中的"用户"的"adminstrator" 的"属性"选项中的"帐户已停用"的选择.机器总是提示"拒绝访问".
请哪位专家帮忙解决一下.谢谢了!

[coolstar14]

事件事日志的内容, 肯定是看过的.
里面列出的非常详细的信息, 只是相对于微软的开发人员来讲, 很多解释其实是不清楚.

[coolstar14]

问题明确, 结此贴. 有问题开新贴.