windows安全相关

审核对象访问
“审核对象访问”设置用于确定是否对用户访问指定了自身 SACL 的对象（如文件、文件夹、注册表项和打印机等）这一事件进行审核。如果定义了此策略设置，则可指定是否审核成功、审核失败或根本不审核此事件类型。成功审核会在用户成功访问指定了 SACL 的对象时生成一个审核项。失败审核会在用户尝试访问指定了 SACL 的对象失败时生成一个审核项。许多失败事件在正常的系统运行期间都是可以预料的。例如，许多应用程序（如 Microsoft Word）总是试图使用读写特权来打开文件。如果无法这样做，它们就会试图使用只读特权来打开文件。如果已经在该文件上启用了失败审核和适当的 SACL，则发生上述情况时，将记录一个失败事件。
如果启用审核对象访问并在对象上配置 SACL，可以在企业系统上的安全日志中生成大量审核项，因此，仅在确实要使用记录的信息时才应启用这些设置。
注意：在 Microsoft Windows Server 2003 中，启用审核对象（如文件、文件夹、打印机或注册表项）功能可以分为两个步骤。启用审核对象访问策略之后，必须确定要监视其访问的对象，然后相应修改其 SACL。例如，如果要对用户打开特定文件的任何尝试进行审核，可以使用 Windows 资源管理器或组策略直接在要监视特定事件的文件上设置“成功”或“失败”属性。
审核策略更改
“审核策略更改”设置用于确定是否对更改用户权限分配策略、审核策略或信任策略的每个事件进行审核。如果定义了此策略设置，则可指定是否审核成功、审核失败或根本不审核此事件类型。成功审核会在成功更改用户权限分配策略、审核策略或信任策略时生成一个审核项，该审核项的信息对于计帐以及事件发生后的辩论十分有用，可用来确定谁在域或单个计算机上成功修改了策略。失败审核会在对用户权限分配策略、审核策略或信任策略的更改失败时生成一个审核项。
审核登录事件
“审核登录事件”设置用于确定是否对用户在记录审核事件的计算机上登录、注销或建立网络连接的每个实例进行审核。如果正在域控制器上记录成功的帐户登录审核事件，工作站登录尝试将不生成登录审核。只有域控制器自身的交互式登录和网络登录尝试才生成登录事件。总而言之，帐户登录事件是在帐户所在的位置生成的，而登录事件是在登录尝试发生的位置生成的。
如果定义了此策略设置，则可指定是否审核成功、审核失败或根本不审核此事件类型。成功审核会在登录尝试成功时生成一个审核项。该审核项的信息对于记帐以及事件发生后的辩论十分有用，可用来确定哪个人成功登录到哪台计算机。失败审核会在登录尝试失败时生成一个审核项，该审核项对于入侵检测十分有用，但此设置可能会导致进入 DoS 状态，因为攻击者可以生成数百万次登录失败，并将安全事件日志填满。