Windows 7和Windows Server 2008 R2 安全事件id的说明

Windows 7与Server 2008 R2安全事件ID详解

最新推荐文章于 2022-01-21 12:25:07 发布

尸者狗

最新推荐文章于 2022-01-21 12:25:07 发布

阅读量2.9k

点赞数

CC 4.0 BY-SA版权

分类专栏： blue team 文章标签： windows 安全信息安全

本文链接：https://blog.csdn.net/Alexhcf/article/details/106429195

本文详述了Windows 7和Windows Server 2008 R2的安全事件ID，涵盖账户登录、管理、详细跟踪、DS访问等多个类别，帮助理解并解释这些安全审计事件，适用于系统管理员进行安全监控和故障排查。

简介

本文介绍了在 Windows 7 和 Windows Server 2008 R2 中的各种与安全和审核有关事件。本文还提供了有关如何解释这些事件的信息。所有这些事件出现在安全日志中，并与源的安全审核记录。本文还介绍如何检索有关个别事件的更具说明性数据。

适用于： Windows Server 2008 R2 DatacenterWindows Server 2008 R2 EnterpriseWindows Server 2008 R2 StandardWindows 7 EnterpriseWindows 7 ProfessionalWindows 7 UltimateWindows Server 2008 R2 Service Pack 1

详细信息

本节列出按类别和子类别的所有 Windows 7 和 Windows Server 2008 R2 安全审计相关事件。

类别︰帐户登录

子类别︰凭据验证

标识	消息
4774	帐户已登录映射。
4775	无法映射的登录帐户。
4776	计算机试图验证的帐户凭据。
4777	域控制器无法验证帐户的凭据。

子类别︰ Kerberos 身份验证服务

标识	消息
4768	Kerberos 身份验证票证 (TGT) 请求。
4771	Kerberos 预身份验证失败。
4772	Kerberos 身份验证票证请求失败。

子类别︰ Kerberos 服务票据操作

标识	消息
4769	Kerberos 服务票证请求。
4770	Kerberos 服务票证续订。
4773	Kerberos 服务票证请求失败。

类别︰帐户管理

子类别︰应用程序组管理

标识	消息
4783	基本应用程序组已创建。
4784	基本应用程序组已更改。
4785	已将成员添加到基本应用程序组。
4786	已从基本应用程序组中删除成员。
4787	非成员被添加到基本应用程序组。
4788	非成员已从基本应用程序组。
4789	基本应用程序组已被删除。
4790	创建 LDAP 查询组。
4791	基本应用程序组已更改。
4792	LDAP 查询组已被删除。

子类别︰计算机帐户管理

标识	消息
4741	计算机帐户已创建。
4742	计算机帐户已更改。
4743	计算机帐户已被删除。

子类别︰通讯组管理

标识	消息
4744	已创建禁用安全的本地组。
4745	禁用安全的本地组已更改。
4746	成员已添加至禁用安全的本地组。
4747	成员已从禁用安全的本地组中删除。
4748	已删除禁用安全的本地组。
4749	已创建禁用安全的全局组。
4750	禁用安全的全局组已更改。
4751	成员已添加至禁用安全的全局组。
4752	成员已从禁用安全的全局组删除。
4753	已删除禁用安全的全局组。
4759	已创建禁用安全的通用组。
4760	禁用安全的通用组已更改。
4761	成员已添加至禁用安全的通用组。
4762	成员已从禁用安全的通用组删除。

子类别︰其他帐户管理事件

标识	消息
4782	访问帐户的密码哈希。
4793	密码策略检查 API 被调用。

子类别︰安全组管理

标识	消息
4727	启用安全的全局组已创建。
4728	成员已添加至已启用安全的全局组。
4729	已从启用安全的全局组中删除成员。
4730	启用安全的全局组已删除。
4731	启用安全的本地组已创建。
4732	已将成员添加到启用安全的本地组。
4733	已从启用安全的本地组中删除成员。
4734	启用安全的本地组已删除。
4735	启用安全的本地组已更改。
4737	启用安全的全局组已更改。
4754	启用安全的通用组已创建。
4755	启用安全的通用组已更改。
4756	成员已添加至已启用安全的通用组。
4757	成员已从启用安全的通用组删除。
4758	启用安全的通用组已删除。
4764	组的类型已更改。

子类别︰用户帐户管理

标识	消息
4720	用户帐户已创建。
4722	用户帐户被启用。
4723	尝试更改帐户密码。
4724	尝试重置帐户密码。
4725	已禁用的用户帐户。
4726	用户帐户已被删除。
4738	用户帐户已更改。
4740	用户帐户被锁定。
4765	SID 历史记录已添加到帐户。
4766	要添加到帐户的 SID 历史记录的尝试失败。
4767	用户帐户的锁定。
4780	在管理员组成员的帐户上设置 ACL。
4781	帐户名称已更改︰
4794	尝试设置目录服务还原模式。
5376	凭据管理器凭据进行备份。
5377	凭据管理器凭据已从备份中还原。

类别︰详细的跟踪

子类别︰ DPAPI 活动

标识	消息
4692	尝试进行备份的数据保护主密钥。
4693	尝试恢复数据保护主密钥。
4694	试图进行可审核的受保护数据的保护。
4695	Unprotection 可审核的受保护数据的尝试。