windows NT事件日志说明

windows NT事件日志说明
原作者:NtWak0
翻译整理:补天-苏樱

概要

以下内容是关于WINDOWS NT事件日志的非常好的、深入的文章。 日志通常用审计机或某种工具来管理。
这篇文章也包含：当一个用户被Locked out时，在事件日志里报告的SID有点小问题。


详细资料

日志类型：
这里有三种类型的NT事件日志：

系统日志
跟踪各种各样的系统事件，比如跟踪系统启动过程中的事件或者硬件和控制器的故障。

应用程序日志
跟踪应用程序关联的事件，比如应用程序产生的象装载DLL（动态链接库）失败的信息将出现在日志中。

安全日志
跟踪事件如登录上网、下网、改变访问权限以及系统启动和关闭。注意：安全日志的默认状态是关闭的。


日志位置以及启动方法
NT日志的位置是：
%SYSTEMROOT%/system32/config/SysEvent.Evt
%SYSTEMROOT%/system32/config/SecEvent.Evt
%SYSTEMROOT%/system32/config/AppEvent.Evt

通常，NT不是将所有的事件都记录日志，你不得不手动启动审计，照下面的步骤做：

1-从开始菜单中选择程序，然后再选择管理工具。 从管理工具子菜单选择用户管理器，显示出用户管理器窗口。
2-从用户管理器的菜单中单击POLICIES（策略），然后单击AUDIT（审计），审计策略窗口就出现了。
3-选择单选框“AUDIT THEST EVENTS”（审计这些事件）
4-选择你需要启动的按OK，然后关闭用户管理器。

特殊权限的审计：
系统中某些特殊权限是不能被默认的事件来审计的，甚至是特权的审计已经被启动。这是妥当的控制审计日志的增长。
特殊权限有以下这些：

1-绕过验证限制----（对每个人）是同意每个人的，所以从审计的观点来看对它进行审计是无意义的。

2-DEBUG程序（对管理员）。 它在工作系统不使用，并能从管理员组中移掉（或者说取消）。

3-创建一个象征意义的对象（没有人）， 它对谁也不准许。

4-替换过程级别标记（没有人࿰