详解Windows Server 2008安全日志
Windows系统中的系统日志查看与分析
Windows系统中的系统日志查看与分析Windows操作系统提供了一个系统日志功能，用于记录操作系统和应用程序的活动和事件。
系统日志是管理员和技术支持人员用来诊断系统问题和监视系统性能的重要工具。
本文将介绍在Windows系统中如何查看和分析系统日志。
一、查看系统日志在Windows系统中，可以通过事件查看器来查看系统日志。
以下是查看系统日志的方法：1. 打开事件查看器在Windows操作系统的开始菜单中，搜索并打开“事件查看器”。
2. 导航至系统日志在事件查看器左侧的导航栏中，展开“Windows日志”，然后选择“系统”。
3. 检查日志系统日志中列出了操作系统的各种事件和错误。
可以根据事件级别（如错误、警告、信息）和日期范围进行筛选和排序。
二、分析系统日志系统日志中的事件提供了有关系统的重要信息和警告。
以下是分析系统日志的一些常见方法：1. 查找错误和警告在系统日志中，查找错误（红色叉号）和警告（黄色感叹号）的事件。
这些事件表示可能存在的问题或潜在的系统错误。
2. 查看事件详细信息双击一个事件，以查看其详细信息。
可以获得有关事件的时间戳、源、类别和描述等信息。
此外，还可以查看事件的特定属性和数据。
3. 使用筛选器事件查看器提供了筛选器功能，可以根据关键字、事件ID和事件级别等条件来筛选事件。
这有助于快速找到与特定问题相关的事件。
4. 导出日志有时，需要将系统日志导出并共享给其他技术支持人员。
可以使用事件查看器的导出功能将日志保存为文件，供后续分析和分享。
三、常见的系统日志事件以下是一些常见的系统日志事件及其含义：1. 硬件故障事件这些事件通常与硬件设备（如磁盘驱动器、内存）有关，表示硬件故障或错误。
2. 系统错误事件这些事件表示操作系统遇到了错误或异常情况。
例如，系统崩溃、蓝屏或无响应等。
3. 应用程序错误事件这些事件与特定应用程序有关，表示应用程序遇到了错误或异常情况。
4. 安全事件安全事件包括登录失败、文件访问权限等与系统安全相关的事件。
Windows系统系统日志分析技巧解读系统错误和警告
Windows系统系统日志分析技巧解读系统错误和警告Windows操作系统是目前世界上最常用的操作系统之一，它的稳定性和可靠性备受用户赞赏。
然而，就像任何其他复杂的软件系统一样，Windows也可能出现错误和警告。
为了帮助用户追踪和解决这些问题，Windows提供了系统日志功能。
系统日志是Windows系统中的一项关键功能，记录了系统中发生的各种事件和错误。
通过分析系统日志，用户可以获得有关系统问题的详细信息，并采取相应的措施来修复错误或解决潜在问题。
在本文中，我们将介绍一些分析系统日志的技巧，以帮助用户更好地理解和解读系统错误和警告。
1. 理解系统日志的基本原理系统日志是Windows操作系统的一个核心组件，它负责记录各种事件和错误信息。
系统日志的主要分类包括应用程序、安全性、系统和安全浏览。
每个日志都包含了各自的事件类型，如错误、警告和信息。
对于系统错误和警告的分析，我们需重点关注系统日志中的系统和应用程序事件。
2. 分析系统错误事件系统错误事件是指Windows系统内部发生的严重错误，这些错误通常会导致系统的功能异常或崩溃。
在系统日志中，系统错误事件以红色或黄色的标识出来，用户可以通过以下步骤进行分析：a. 打开事件查看器运行“eventvwr.msc”命令或通过控制面板中的“管理工具”打开事件查看器。
b. 导航到系统日志在事件查看器中，选择“Windows日志”下的“系统”。
c. 过滤系统错误事件在系统日志中，使用筛选功能过滤出系统错误事件。
常见的错误事件类型包括“Kernel-Power”、“BugCheck”和“Disk”。
d. 查看错误详情单击特定错误事件并查看其详细信息，包括错误代码、描述和相关进程信息等。
e. 尝试解决方案根据错误信息，尝试采取相应的措施来解决问题。
这可能包括更新驱动程序、修复操作系统或删除冲突的软件等。
3. 解读系统警告事件系统警告事件是指Windows系统中发生的一些非致命错误或潜在问题的警告信号。
windows_server_2008_lsass占用内存过大的解决方法
windows server 2008 lsass占用内存过大的解决方法1. 引言1.1 概述本文旨在解决Windows Server 2008操作系统中LSASS（本地安全认证子系统）占用内存过大的问题。
LSASS负责处理用户登录、密码验证和安全策略等任务，但有时会出现异常情况导致其占用内存过高，严重影响系统性能和稳定性。
因此，我们将探讨该问题的原因分析，并提供一些解决方法来减轻LSASS的内存压力。
1.2 文章结构本文分为五个部分。
首先，在引言中我们将简要介绍文章的目的和内容结构。
接下来，在正文部分我们将详细介绍Windows Server 2008 LSASS的概念及其占用内存过大的原因分析。
然后，我们将提出三种解决方法，包括应用程序排除法、限制LSASS内存使用量以及更新补丁和服务包方法。
在第三部分“正文续”中，我们将详述解决方法二至三，并对不同解决方法进行总结和比较。
最后，在结论部分对文章进行总结，并提供参考文献供读者深入了解相关领域。
1.3 目的本文的主要目的是帮助管理员或用户理解并解决Windows Server 2008操作系统中LSASS占用内存过大的问题。
通过详细分析LSASS异常情况的原因，我们将提供多种解决方法供读者选择，并比较它们的效果，使读者能够在实际操作中选取最适合自己环境的解决方案。
希望这篇文章能为遇到类似问题的人士提供参考和指导，确保系统的正常运行和安全性。
2. 正文:2.1 Windows Server 2008 LSASS（本地安全认证子系统）简介Windows Server 2008是一款被广泛使用的服务器操作系统，LSASS则是在该操作系统中负责安全策略的执行和用户认证等任务的重要组件。
LSASS扮演着非常关键的角色，它管理着登录验证、访问控制以及密码更改等功能。
然而，有时候我们可能会遇到一个问题，那就是LSASS会占用过大的内存资源。
2.2 LSASS占用内存过大的原因分析造成LSASS占用大量内存的原因可以有很多。
Windows系统中的系统日志和错误报告分析
Windows系统中的系统日志和错误报告分析在Windows操作系统中，系统日志和错误报告是非常重要的工具，它们可以记录和提供有关系统运行状况的详细信息，帮助用户分析和解决各种问题。
本文将详细介绍Windows系统中的系统日志和错误报告，并解释如何分析它们以便有效地定位和解决故障。
一、系统日志系统日志是一种记录和存储系统事件的功能，它包含了系统启动、关机、硬件故障、驱动程序问题、应用程序错误等多种类型的事件。
通过查看系统日志，用户可以及时发现并解决潜在的问题，提高系统的稳定性和可靠性。
Windows系统中的系统日志分为三类：应用程序日志、安全日志和系统日志。
应用程序日志存储与应用程序相关的事件和错误信息，安全日志用于记录安全相关的事件，而系统日志则包含与操作系统本身有关的事件和错误。
要查看系统日志，用户可以按下Win键+R键，打开运行对话框，输入eventvwr.msc命令，然后在事件查看器中选择相应的日志类型。
通过筛选和查找功能，用户可以根据日志的事件ID、级别和来源等信息找到特定的日志记录。
二、错误报告错误报告是一种Windows系统自动生成的记录故障信息的工具，它可以收集有关应用程序和系统崩溃的详细数据，并发送给Microsoft进行分析和提供解决方案。
错误报告能够帮助用户追踪和解决应用程序或系统崩溃的原因。
当应用程序或系统崩溃时，Windows系统会自动弹出错误报告对话框，用户可以选择发送错误报告给Microsoft或不发送。
如果用户选择发送错误报告，相关的错误信息将被记录并匿名上传，用于改进Windows系统的稳定性和性能。
用户也可以主动查看错误报告，方法是打开控制面板并选择“问题报告和解决”选项。
在问题报告和解决窗口中，用户可以查看已发送的错误报告以及与之相关的解决方案。
三、系统日志和错误报告的分析系统日志和错误报告的分析是解决Windows系统问题的重要步骤。
通过仔细分析日志和错误报告，用户可以找到问题的源头，并采取相应的措施进行修复或优化。
维护服务器安全维护技巧之日志分析
维护服务器安全维护技巧之日志分析事件查看器相当于操作系统的保健医生，一些“顽疾”的蛛丝马迹都会在事件查看器中呈现，一个合格的系统管理员和安全维护人员会定期查看应用程序、安全性和系统日志，查看是否存在非法登录、系统是否非正常关机、程序执行错误等信息，通过查看事件属性来判定错误产生的来源和解决方法，使操作系统和应用程序正常工作。
本文介绍了事件查看器的一些相关知识，最后给出了一个安全维护实例，对安全维护人员维护系统有一定的借鉴和参考。
(一)事件查看器相关知识1.事件查看器事件查看器是Microsoft Windows 操作系统工具，事件查看器相当于一本厚厚的系统日志，可以查看关于硬件、软件和系统问题的信息，也可以监视Windows 操作系统中的安全事件。
有三种方式来打开事件查看器：(1)单击“开始”-“设置”-“控制面板”-“管理工具”-“事件查看器”，开事件查看器窗口(2)在“运行”对话框中手工键入“%SystemRoot%\system32\eventvwr.msc /s”打开事件查看器窗口。
(3)在运行中直接输入“eventvwr”或者“eventvwr.msc”直接打开事件查看器。
2.事件查看器中记录的日志类型在事件查看器中一共记录三种类型的日志，即：(1)应用程序日志包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。
如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。
(2)安全性日志记录了诸如有效和无效的登录尝试等事件，以及与资源使用相关的事件，例如创建、打开或删除文件或其他对象，系统管理员可以指定在安全性日志中记录什么事件。
默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。
实验四WindowsServer2008系统安全配置(最新整理)
实验报告院系：信息与工程学院班级：学号姓名：实验课程：《网络安全技术实验》实验名称：实验四 Windows Server2008系统安全配置指导教师：实验四Windows Server 2008系统安全配置实验学时 2一、实验目的与要求1、了解Windows Sever 2008 操作系统的安全功能、缺陷和安全协议；2、熟悉Windows Sever 2008 操作系统的安全配置过程及方法；二、实验仪器和器材计算机一台VMware workstation 10 Windows Sever 2008操作系统三、实验原理网络防火墙及端口安全管理在“深层防御”体系中，网络防火墙处于周边层，而Windows防火墙处于主机层面。
和Windows XP和Windows 2003的防火墙一样，Windows Server 2008的防火墙也是一款基于主机的状态防火墙，它结合了主机防火墙和IPSec，可以对穿过网络边界防火墙和发自企业内部的网络攻击进行防护，可以说基于主机的防火墙是网络边界防火墙的一个有益的补充。
与以前Windows版本中的防火墙相比，Windows Server 2008中的高级安全防火墙（WFAS）有了较大的改进，首先它支持双向保护，可以对出站、入站通信进行过滤。
其次它将Windows防火墙功能和Internet 协议安全(IPSec)集成到一个控制台中。
使用这些高级选项可以按照环境所需的方式配置密钥交换、数据保护(完整性和加密)以及身份验证设置。
而且WFAS还可以实现更高级的规则配置，你可以针对Windows Server上的各种对象创建防火墙规则，配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。
传入数据包到达计算机时，具有高级安全性的Windows防火墙检查该数据包，并确定它是否符合防火墙规则中指定的标准。
如果数据包与规则中的标准匹配，则具有高级安全性的Windows防火墙执行规则中指定的操作，即阻止连接或允许连接。
windows server 2008日志审计策略
windows server 2008日志审计策略一、日志审计的重要性在网络安全领域，日志审计作为一种有效的监管手段，日益受到企业和组织的重视。
通过审计日志，可以了解系统的运行状况、用户行为和潜在的安全威胁，从而及时发现并防范安全事件。
对于Windows Server 2008操作系统来说，日志审计更是保障服务器安全的关键措施之一。
二、Windows Server 2008日志审计策略概述1.启用日志审计功能在Windows Server 2008中，日志审计功能默认未启用。
要启用日志审计功能，需要进入“管理控制台” -> “系统工具” -> “日志查看器” -> “日志配置” -> 选择要启用审计的日志类型，如“安全”，然后启用“审计”选项。
2.配置日志审计规则启用日志审计后，需要配置审计规则以实现对特定事件的监控。
通过“管理控制台”-> “系统工具” -> “日志查看器” -> “日志配置” -> 选择要配置规则的日志类型，如“安全”，然后添加、修改或删除规则。
3.查询和分析审计日志在Windows Server 2008中，可以使用“日志查看器”查询和分析审计日志。
通过筛选、排序和统计等功能，快速定位异常事件，从而进行进一步的调查和处理。
三、日志审计的最佳实践1.确保日志记录的完整性为保障日志审计的准确性，需要确保日志记录的完整性。
定期备份日志文件，防止日志被篡改或丢失。
同时，为日志文件设置合适的权限，防止未授权访问。
2.定期审查和分析审计日志日志审计并非一次性完成，而是一个持续的过程。
建议定期（如每周或每月）审查和分析审计日志，以便发现潜在的安全隐患并及时处理。
3.采取措施应对审计日志中的异常事件当审计日志中出现异常事件时，应迅速采取措施进行调查和处理。
同时，根据异常事件的类型和严重程度，调整审计规则和策略，以提高系统的安全性。
四、日志审计的安全防护策略1.防止恶意攻击针对常见的恶意攻击手段，如SQL注入、跨站脚本攻击等，配置相应的审计规则，以便及时发现并防范这些攻击。
Windows登录类型及安全日志解析
一、Windows登录类型如果你留意Windows系统的安全日志，在那些事件描述中你将会发现里面的“登录类型”并非全部相同，难道除了在键盘上进行交互式登录（登录类型1）之外还有其它类型吗？不错，Windows为了让你从日志中获得更多有价值的信息，它细分了很多种登录类型，以便让你区分登录者到底是从本地登录，还是从网络登录，以及其它更多的登录方式。
因为了解了这些登录方式，将有助于你从事件日志中发现可疑的黑客行为，并能够判断其攻击方式。
下面我们就来详细地看看Windows的登录类型。
登录类型2：交互式登录（Interactive）这应该是你最先想到的登录方式吧，所谓交互式登录就是指用户在计算机的控制台上进行的登录，也就是在本地键盘上进行的登录，但不要忘记通过KVM登录仍然属于交互式登录，虽然它是基于网络的。
登录类型3：网络（Network）当你从网络的上访问一台计算机时在大多数情况下Windows记为类型3，最常见的情况就是连接到共享文件夹或者共享打印机时。
另外大多数情况下通过网络登录IIS时也被记为这种类型，但基本验证方式的IIS登录是个例外，它将被记为类型8，下面将讲述。
登录类型4：批处理（Batch）当Windows运行一个计划任务时，“计划任务服务”将为这个任务首先创建一个新的登录会话以便它能在此计划任务所配置的用户账户下运行，当这种登录出现时，Windows在日志中记为类型4，对于其它类型的工作任务系统，依赖于它的设计，也可以在开始工作时产生类型4的登录事件，类型4登录通常表明某计划任务启动，但也可能是一个恶意用户通过计划任务来猜测用户密码，这种尝试将产生一个类型4的登录失败事件，但是这种失败登录也可能是由于计划任务的用户密码没能同步更改造成的，比如用户密码更改了，而忘记了在计划任务中进行更改。
登录类型5：服务（Service）与计划任务类似，每种服务都被配置在某个特定的用户账户下运行，当一个服务开始时，W indows首先为这个特定的用户创建一个登录会话，这将被记为类型5，失败的类型5通常表明用户的密码已变而这里没得到更新，当然这也可能是由恶意用户的密码猜测引起的，但是这种可能性比较小，因为创建一个新的服务或编辑一个已存在的服务默认情况下都要求是管理员或serversoperators身份，而这种身份的恶意用户，已经有足够的能力来干他的坏事了，已经用不着费力来猜测服务密码了。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
建立安全日志记录为了让大家了解如何追踪计算机安全日志功能的具体方面，首先需要了解如何启动安全日志。
大多数Windows计算机(除了某些域控制器版本系统)默认情况下不会向安全日志(Security Log)启动日志记录信息。
这样的设置有利也有弊，弊的方面在于，除非用户强迫计算机开始日志记录安全事件，否则根本无法进行任何追踪。
好的方面在于，不会发生日志信息爆满的问题以及提示日志已满的错误信息，这也是Windows Server 2003域控制器在没有任何预警下的行为。
安全日志事件跟踪可以使用组策略来建立和配置，当然你可以配置本地组策略对象，但是这样的话，你将需要对每台计算机进行单独配置。
另外，你可以使用Active Directory内的组策略为多台计算机设置日志记录配置。
要建立安全日志追踪，首先打开连接到域的计算机上的Group Policy Management Console (GPMC，组策略管理控制台)，并以管理员权限登录。
在GPMC中，你可以看到所有的组织单位(OU)(如果你事先创建了的话)以及GPO(如果你创建了两个以上)，在本文中，我们将假设你有一个OU，这个OU中包含所有需要追踪相同安全日志信息的计算机，我们将使用台式计算机OU和AuditLog GPO。
编辑AuditLog GPO然后展开至以下节点：Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Audit Policy类别控制范围的简要介绍以下是关于每种类别控制范围的简要介绍：审计帐户登录事件–每次用户登录或者从另一台计算机注销的时候都会对该事件进行审计，计算机执行该审计是为了验证帐户，关于这一点的最好例子就是，当用户登录到他们的Windows XP Professional计算机上，总是由域控制器来进行身份验证。
由于域控制器对用户进行了验证，这样就会在域控制器上生成事件。
除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。
最常见以及最佳的做法就是让所有的域控制器和服务器对这些事件进行审计。
我还发现，在很多环境中，客户端也会配置为审计这些事件。
审计账户管理–这个将对所有与管理计算机(配置了审计)的用户数据库中的帐户的用户有关的事件进行审计，这些事件的示例如下：·创建一个用户帐户·添加用户到一个组·重命名用户帐户·为用户帐户更改密码对于域控制器而言，该管理政策将会对域帐户更改进行审计。
对于服务器或者客户端而言，它将会审计本地安全帐户管理器(Security Accounts Manager)以及相关的帐户。
除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。
最常见以及最佳的做法就是让所有的域控制器和服务器对这些事件进行审计。
对于用户帐户的审计，安全日志以及审计设置是不能捕捉的。
审计目录服务访问–这个将对与访问AD对象(已经被配置为通过系统访问控制列表SACL 追踪用户访问情况)的用户有关的事件进行审计，AD对象的SACL指明了以下三件事：·将会被追踪的帐户(通常是用户或者组)·将会被追踪的访问类型，如只读、创建、修改等·对对象访问的成功或者失败情况由于每个对象都有自己独特的SACL，对将被追踪的AD对象的控制级别应该是非常精确的。
除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。
最佳做法是为所有域控制器的目录服务访问启动成功和失败审计。
审计登陆事件–这将对与登录到、注销或者网络连接到(配置为审计登录事件的)电脑的用户相关的所有事件进行审计，一个很好的例子就是，当这些事件日志记录的时候，恰好是用户使用域用户帐户交互的登录到工作站的时候，这样就会在工作站生成一个事件，而不是执行验证的域控制器上生成。
从根本上讲，追踪事件是在当尝试登录的位置，而不是在用户帐户存在的位置。
除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。
通常会对网络中所有计算机的这些事件进行日志记录。
审计对象访问–当用户访问一个对象的时候，审计对象访问会对每个事件进行审计。
对象内容包括：文件、文件夹、打印机、注册表项和AD对象。
在现实中，任何有SACL的对象丢会被涵盖到这种类型的审计中。
就像对目录访问的审计一样，每个对象都有自己独特的SACL，语序对个别对象进行有针对性的审计。
没有任何对象是配置为魔神进行审计的，这意味着启用这个设置并不会产生任何日志记录信息。
一旦建立了该设置，对象的SACAL就被配置了，对尝试登录访问该对象时就开始出现表项。
除非有特别需要对某些资源的追踪访问，通常是不会配置这种级别的审计，在高度安全的环境中，这种级别的审计通常是启用的，并且会为审计访问配置很多资源。
审计政策更改–这将对与计算机上三个“政策”之一的更改相关的每个事件进行审计，这些政策区域包括：·用户权利分配·审计政策·信任关系除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。
最佳做法就是对网络中的所有计算机配置这种级别的审计。
这种级别的审计不是默认配置来追踪所有操作系统的事件，最佳做法就是对网络中的所有计算机配置这种级别的审计。
审计过程追踪–这将对与计算机中的进程相关的每个事件进行审计，这将包括、程序激活、进程退出、处理重叠和间接对象访问。
这种级别的审计将会产生很多的事件，并且只有当应用程序正在因为排除故障的目的被追踪的时候才会配置。
审计系统事件–与计算机重新启动或者关闭相关的事件都会被审计，与系统安全和安全日志相关的事件同样也会被追踪(当启动审计的时候)。
这是必要的计算机审计配置，不仅当发生的事件需要被日志记录，而且当日志本身被清除的时候也有记录。
除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。
最佳做法就是对网络中的所有计算机配置这种级别的审计。
审计类型的事件ID每个审计类型的Event ID在安全日志中可能会产生成千上万的事件，所以你需要要秘密解码器环来找出寻找的事件，以下是每种类别最重要的事件(你可能想要在安全日志中跟踪的)：审计帐户登录事件Event ID 描述4776 - 域控制器试图验证帐户凭证信息4777 -域控制器未能验证帐户凭证信息4768 -要求有Kerberos验证票(TGT)4769 -要求有Kerberos验证票(TGT)4770 - Kerberos服务票被更新审计帐户管理Event ID 描述4741 - 计算机帐户已创建4742 –计算机帐户已更改4743 –计算机帐户已删除4739 –域政策已经更改4782 - 密码hash帐户被访问4727 - 安全全局组已经创建4728 –一名用户被添加到安全全局组4729 –一名用户从安全全局组解除4730 –安全全局组已经删除4731 - 安全本地组已经创建4732 -一名用户被添加到安全本地组4733 -一名用户被安全本地组解除4734 -安全本地组已经删除4735 - 安全本地组已经更改4737 -安全全局组已经更改4754 -安全通用组已创建4755 -安全通用组已创建更改4756 -一名用户被添加到安全通用组4757 -一名用户被安全通用组解除4758 -安全本地组已经删除4720 –用户帐户已创建4722 –用户帐户已启用4723 - 试图更改帐户密码4724 –试图重置帐户密码4725 –用户帐户被停用4726 -用户帐户已删除4738 -用户帐户已被改变4740 -用户帐户被锁定4765 - SID历史记录被添加到一个帐户4766 -尝试添加SID历史记录到帐户失败4767 -用户帐户被锁定4780 -对管理组成员的帐户设置了ACL4781 -帐户名称已经更改事件ID详解审计目录服务访问4934 - Active Directory 对象的属性被复制4935 -复制失败开始4936 -复制失败结束5136 -目录服务对象已修改5137 -目录服务对象已创建5138 -目录服务对象已删除5139 -目录服务对象已经移动5141 -目录服务对象已删除4932 -命名上下文的AD的副本同步已经开始4933 -命名上下文的AD的副本同步已经结束审计登录事件4634 - 帐户被注销4647 - 用户发起注销4624 - 帐户已成功登录4625 - 帐户登录失败4648 - 试图使用明确的凭证登录4675 - SID被过滤4649 - 发现重放攻击4778 -会话被重新连接到Window Station4779 -会话断开连接到Window Station4800 –工作站被锁定4801 - 工作站被解锁4802 - 屏幕保护程序启用4803 -屏幕保护程序被禁用5378 所要求的凭证代表是政策所不允许的5632 要求对无线网络进行验证5633 要求对有线网络进行验证审计对象访问5140 - 网络共享对象被访问4664 - 试图创建一个硬链接4985 - 交易状态已经改变5051 - 文件已被虚拟化5031 - Windows防火墙服务阻止一个应用程序接收网络中的入站连接4698 -计划任务已创建4699 -计划任务已删除4700 -计划任务已启用4701 -计划任务已停用4702 -计划任务已更新4657 -注册表值被修改5039 -注册表项被虚拟化4660 -对象已删除4663 -试图访问一个对象审计政策变化4715 - 对象上的审计政策(SACL)已经更改4719 - 系统审计政策已经更改4902 - Per-user审核政策表已经创建4906 - CrashOnAuditFail值已经变化4907 - 对象的审计设置已经更改4706 - 创建到域的新信任4707 - 到域的信任已经删除4713 - Kerberos政策已更改4716 - 信任域信息已经修改4717 - 系统安全访问授予帐户4718 - 系统安全访问从帐户移除4864 - 名字空间碰撞被删除4865 - 信任森林信息条目已添加4866 - 信任森林信息条目已删除4867 - 信任森林信息条目已取消4704 - 用户权限已分配4705 - 用户权限已移除4714 - 加密数据复原政策已取消4944 - 当开启Windows Firewall时下列政策启用4945 - 当开启Windows Firewall时列入一个规则4946 - 对Windows防火墙例外列表进行了修改，添加规则4947 - 对Windows防火墙例外列表进行了修改，规则已修改4948 - 对Windows防火墙例外列表进行了修改，规则已删除4949 - Windows防火墙设置已恢复到默认值4950 - Windows防火墙设置已更改4951 - 因为主要版本号码不被Windows防火墙承认，规则已被忽视4952 - 因为主要版本号码不被Windows防火墙承认，部分规则已被忽视，将执行规则的其余部分4953 - 因为Windows防火墙不能解析规则，规则被忽略4954 - Windows防火墙组政策设置已经更改，将使用新设置4956 - Windows防火墙已经更改主动资料4957 - Windows防火墙不适用于以下规则4958 - 因为该规则涉及的条目没有被配置，Windows防火墙将不适用以下规则：6144 - 组策略对象中的安全政策已经成功运用6145 - 当处理组策略对象中的安全政策时发生一个或者多个错误4670 - 对象的权限已更改审计特权使用4672 - 给新登录分配特权4673 - 要求特权服务4674 - 试图对特权对象尝试操作审计系统事件5024 - Windows防火墙服务已成功启动5025 - Windows防火墙服务已经被停止5027 - Windows防火墙服务无法从本地存储检索安全政策，该服务将继续执行目前的政策5028 - Windows防火墙服务无法解析的新的安全政策，这项服务将继续执行目前的政策5029 - Windows防火墙服务无法初始化的驱动程序，这项服务将继续执行目前的政策5030 - Windows防火墙服务无法启动5032 - Windows防火墙无法通知用户它阻止了接收入站连接的应用程序5033 - Windows防火墙驱动程序已成功启动5034 - Windows防火墙驱动程序已经停止5035 - Windows防火墙驱动程序未能启动5037 - Windows防火墙驱动程序检测到关键运行错误，终止。