Журналы Active Directory: Мониторинг безопасности и производительности AD
Ниже приведен список журналов событий Active Directory, которые рекомендуется отслеживать для обеспечения безопасности и производительности.
Эти журналы событий AD можно отслеживать с помощью инструмента аудита Active Directory, чтобы быстро устранять неполадки, проводить аудит
и обнаруживать потенциальные угрозы безопасности.См. статью «Признаки компрометации Active Directory» для получения дополнительной информации о журналах событий.
Я разместил события в таблице, которую можно искать и сортировать.
Идентификатор события Серьезность Описание Категория 1102 Средний до высокого Журнал аудита был очищен 4608 Низкий Windows загружается. Изменение состояния безопасности 4609 Низкий Windows оказывается. Изменение состояния безопасности 4610 Низкий Пакет аутентификации был загружен Местным органом безопасности. Расширение системы безопасности 4611 Низкий С надежным процессом входа в систему была зарегистрирована местная служба безопасности. Расширение системы безопасности 4612 Низкий Внутренние ресурсы, выделенные для очереди аудиторских сообщений, исчерпаны, что привело к потере некоторых аудитов. Целостность системы 4614 Низкий Пакет уведомлений был загружен менеджером учетных записей безопасности. Расширение системы безопасности 4615 Низкий Неверное использование порта LPC. Целостность системы 4616 Низкий Системное время было изменено. Изменение состояния безопасности 4618 Высокий Произошел зафиксированный шаблон события безопасности. Целостность системы 4621 Средний Администратор восстановил систему после CrashOnAuditFail. Пользователи, не являющиеся администраторами, теперь смогут войти в систему. Некоторые аудируемые действия могли не быть зафиксированы. Изменение состояния безопасности 4622 Низкий Пакет безопасности был загружен Местным органом безопасности. Расширение системы безопасности 4624 Низкий Учетная запись была успешно выполнена. Вход 4625 Низкий Не удалось войти в систему. вход 4634 Низкий Учетная запись была отключена. Выход 4646 Низкий Запущен режим предотвращения DoS IKE. Режим основного Ipsec 4647 Низкий Пользователь инициировал выход. Выход 4648 Низкий Попытка входа была осуществлена с использованием явных учетных данных. Вход 4649 Высокий Обнаружена атака повторного воспроизведения. Это может быть безвредный ложный срабатывание из-за ошибки конфигурации. Другие события входа в учетную запись 4650 Низкий Была установлена ассоциация безопасности IPsec в основном режиме. Расширенный режим не был включен. Аутентификация по сертификату не использовалась. Основной режим IPsec 4651 Низкий Была установлена ассоциация безопасности IPsec в основном режиме. Расширенный режим не был включен. Для аутентификации использовался сертификат. Основной режим IPsec 4652 Низкий Не удалось провести переговоры в режиме основного IPsec. Режим основного Ipsec 4653 Низкий Не удалось провести переговоры в режиме основного IPsec. Основной режим IPsec 4654 Низкий Не удалось провести переговоры по быстрому режиму IPsec. 4655 Низкий Состояние безопасности IPsec в основном режиме завершено. Основной режим IPsec 4656 Низкий Запрашивалась ссылка на объект. Манипуляция с ручкой 4657 Низкий Значение реестра было изменено. Реестр 4658 Низкий Ручка на объекте была закрыта. Манипуляция с ручкой 4659 Низкий Было запрошено обращение к объекту с намерением удалить его. Ядерный объект 4660 Низкий Объект был удален. Ядерный объект 4661 Низкий Запрашивалась ссылка на объект. Ядерный объект 4662 Низкий Операция была выполнена над объектом. Доступ к справочной службе 4663 Низкий Была предпринята попытка получить доступ к объекту. Ядерный объект 4664 Низкий Была предпринята попытка создать жесткую ссылку. Файловая система 4665 Низкий Попытка была предпринята для создания контекста клиента приложения. Сгенерировано приложением 4666 Низкий Приложение попыталось выполнить операцию: Сгенерировано приложением 4667 Низкий Контекст клиента приложения был удалён. Сгенерировано приложением 4668 Низкий Приложение было инициализировано. Сгенерировано приложением 4670 Низкий Права на объект были изменены. Другие события изменения политики 4671 Низкий Приложение попыталось получить доступ к заблокированному порядковому номеру через TBS. Другие события доступа к объектам 4672 Низкий Специальные привилегии назначены для нового входа. Чувствительное использование привилегий 4673 Низкий Была вызвана привилегированная служба. Чувствительное использование привилегий 4674 Низкий Была предпринята операция над привилегированным объектом. Чувствительное использование привилегий 4675 Средний SID были отфильтрованы. Вход 4688 Низкий Создан новый процесс. Создание процесса 4689 Низкий Процесс завершился. Завершение процесса 4690 Низкий Попытка была сделана для дублирования дескриптора объекта. Манипуляция с ручкой 4691 Низкий Запрашивался косвенный доступ к объекту. Другие события доступа к объектам 4692 Средний Попытка создания резервной копии мастер-ключа защиты данных была выполнена. Деятельность DPAPI 4693 Средний Была предпринята попытка восстановить мастер-ключ защиты данных. Деятельность DPAPI 4694 Низкий Была предпринята попытка защиты проверяемых защищенных данных. Деятельность DPAPI 4695 Низкий Попытка снятия защиты с проверяемых защищенных данных была предпринята. Активность DPAPI 4696 Низкий Первичный токен был назначен для обработки. Создание процесса 4697 Низкий Попытка установить службу Расширение системы безопасности 4698 Низкий Запланированное задание было создано. Другие события доступа к объектам 4699 Низкий Запланированное задание было удалено. Другие события доступа к объектам 4700 Низкий Запланированное задание было активировано. Другие события доступа к объектам 4701 Низкий Запланированное задание было отключено. Другие события доступа к объектам 4702 Низкий Запланированное задание было обновлено. Другие события доступа к объектам 4704 Низкий Право пользователя было назначено. Изменение авторизации полиции 4705 Низкий Право пользователя было аннулировано. Изменение авторизации полиции 4706 Средний Было создано новое доверие к домену. Изменение авторизации полиции 4707 Низкий Доверие к домену было удалено. Изменение авторизации полиции 4709 Низкий Службы IPsec были запущены. Изменение политики фильтрационной платформы 4710 Низкий Службы IPsec были отключены. Изменение политики фильтрационной платформы 4711 Низкий Может содержать любой из следующих вариантов: PAStore Engine применил локально кэшированную копию политики IPsec для хранилища Active Directory на компьютере. PAStore Engine применил политику IPsec для хранилища Active Directory на компьютере. PAStore Engine применил политику IPsec для локального реестра на компьютере. PAStore Engine не смог применить локально кэшированную копию политики IPsec для хранилища Active Directory на компьютере. PAStore Engine не смог применить политику IPsec для хранилища Active Directory на компьютере. PAStore Engine не смог применить политику IPsec для локального реестра на компьютере. Двигатель PAStore не смог применить некоторые правила активной политики IPsec на компьютере. Двигатель PAStore не смог загрузить политику IPsec из каталога на компьютере. Двигатель PAStore загрузил политику IPsec из каталога на компьютере. Двигатель PAStore не смог загрузить локальную политику IPsec на компьютере. Двигатель PAStore загрузил локальную политику IPsec на компьютере. Двигатель PAStore опросил изменения в активной политике IPsec и не обнаружил изменений. Изменение политики фильтрационной платформы 4712 Низкий Службы IPsec столкнулись с потенциально серьезным сбоем. 4713 Средний Политика Kerberos была изменена. Изменение политики аутентификации 4714 Средний Политика восстановления зашифрованных данных была изменена. Изменение авторизации полиции 4715 Средний Политика аудита (SACL) объекта была изменена. Изменение политики аудита 4716 Средний Достоверная информация о домене была изменена. Изменение политики аутентификации 4717 Низкий Доступ к системной безопасности был предоставлен учетной записи. Изменение политики аутентификации 4718 Низкий Доступ к системной безопасности был удален из учетной записи. Изменение политики аутентификации 4719 Высокий Политика аудита системы была изменена. Изменение политики аудита 4720 Низкий Создана учетная запись пользователя. Управление учетной записью пользователя 4722 Низкий Учетная запись пользователя была включена. Управление учетной записью пользователя 4723 Низкий Была сделана попытка изменить пароль аккаунта. Управление учетной записью пользователя 4724 Средний Была сделана попытка сбросить пароль аккаунта. Управление учетной записью пользователя 4725 Низкий Учетная запись пользователя была отключена. Управление учетной записью пользователя 4726 Низкий Учетная запись пользователя была удалена. Управление учетной записью пользователя 4727 Средний Была создана глобальная группа с включенной безопасностью. Управление группами безопасности 4728 Низкий Член был добавлен в глобальную группу с включенной безопасностью. Управление группами безопасности 4729 Низкий Член был удален из глобальной группы с включенной безопасностью. Управление группами безопасности 4730 Низкий Безопасная глобальная группа была удалена. Управление группами безопасности 4731 Низкий Была создана локальная группа с включенной безопасностью. Управление группами безопасности 4732 Низкий Член был добавлен в локальную группу с включенной безопасностью. Управление группами безопасности 4733 Низкий Член был удален из локальной группы с включенной безопасностью. Управление группами безопасности 4734 Низкий Локальная группа с включенной безопасностью была удалена. Управление группами безопасности 4735 Средний Локальная группа с включенной безопасностью была изменена. Управление группами безопасности 4737 Средний Была изменена глобальная группа с включенной безопасностью. Управление группами безопасности 4738 Низкий Учетная запись пользователя была изменена. Управление учетной записью пользователя 4739 Средний Политика домена была изменена. Изменение политики аутентификации 4740 Низкий Учетная запись пользователя была заблокирована. Управление учетной записью пользователя 4741 Низкий Учетная запись компьютера была изменена. Управление учетными записями компьютеров 4742 Низкий Учетная запись компьютера была изменена. Управление учетными записями компьютеров 4743 Низкий Компьютерная учетная запись была удалена. Управление учетными записями компьютеров 4744 Низкий Была создана локальная группа с отключенной безопасностью. Управление группами распределения 4745 Низкий Локальная группа с отключенной безопасностью была изменена. Управление группами распределения 4746 Низкий В локальную группу с отключенной безопасностью был добавлен член. Управление группами распределения 4747 Низкий Участник был удален из локальной группы с отключенной безопасностью. Управление группами распределения 4748 Низкий Локальная группа с отключенной безопасностью была удалена. Управление группами распределения 4749 Низкий Была создана глобальная группа с отключенной безопасностью. Управление группами распределения 4750 Низкий Глобальная группа с отключенной безопасностью была изменена. Управление группами распределения 4751 Низкий Член был добавлен в глобальную группу с отключенной безопасностью. Управление группами распределения 4752 Низкий Член был удален из глобальной группы с отключенной безопасностью. Управление группами распределения 4753 Низкий Глобальная группа с отключенной безопасностью была удалена. Управление группами распределения 4754 Средний Была создана универсальная группа с включенной безопасностью. Управление группами безопасности 4755 Средний Безопасная универсальная группа была изменена. Управление группами безопасности 4756 Низкий Член был добавлен в универсальную группу с включенной безопасностью. Управление группами безопасности 4757 Низкий Участник был удален из универсальной группы с включенной безопасностью. Управление группами безопасности 4758 Низкий Безопасная универсальная группа была удалена. Управление группами безопасности 4759 Низкий Была создана универсальная группа с отключенной безопасностью. Управление группами распределения 4760 Низкий Универсальная группа с отключенной безопасностью была изменена. Управление группами распределения 4761 Низкий Член был добавлен в универсальную группу с отключенной безопасностью. Управление группами распределения 4762 Низкий Член был удален из универсальной группы с отключенной безопасностью. Управление группами распределения 4764 Средний Тип группы был изменен. Управление группами безопасности 4765 Высокий История SID была добавлена к аккаунту. Управление учетной записью пользователя 4766 Высокий Попытка добавить историю SID к учетной записи не удалась. Управление учетной записью пользователя 4767 Низкий Учетная запись пользователя была разблокирована. Управление учетной записью пользователя 4768 Низкий Билет аутентификации Kerberos (TGT) был запрошен. Аудит службы аутентификации Kerberos 4769 Низкий Запрашивался билет обслуживания Kerberos. Аудит операций с билетами обслуживания Kerberos 4770 Низкий Билет службы Kerberos был обновлён. Аудит операций с билетами службы Kerberos 4771 Низкий Предавторизация Kerberos не удалась. Аудит службы аутентификации Kerberos 4772 Низкий Запрос на получение билета аутентификации Kerberos не удался. Аудит службы аутентификации Kerberos 4774 Низкий Для входа была сопоставлена учетная запись. Аудит проверки учетных данных 4775 Низкий Учетная запись не может быть сопоставлена для входа. Аудит проверки учетных данных 4776 Низкий Контроллер домена попытался проверить учетные данные для учетной записи. Аудит проверки учетных данных 4777 Низкий Контроллер домена не смог подтвердить учетные данные для учетной записи. Аудит проверки учетных данных 4778 Низкий Сессия была переподключена к рабочей станции. Другие события входа в учетную запись 4779 Низкий Сессия была отключена от станции рабочего стола. Другие события входа в учетную запись 4780 Средний ACL был установлен на аккаунты, которые являются членами группы администраторов. Управление учетной записью пользователя 4781 Низкий Имя учетной записи было изменено: Управление учетной записью пользователя 4782 Низкий Хэш пароля был доступен для учетной записи. Другие события управления учетной записью 4783 Низкий Была создана базовая группа приложений. Управление группами приложений 4784 Низкий Базовая группа приложений была изменена. Управление группами приложений 4785 Низкий Член был добавлен в основную группу приложений. Управление группами приложений 4786 Низкий Член был удален из базовой группы приложений. Управление группами приложений 4787 Низкий Непосредствующий член был добавлен в основную группу приложений. Управление группами приложений 4788 Низкий Член, не входящий в состав, был удалён из группы базового приложения. Управление группами приложений 4789 Низкий Базовая группа приложений была удалена. Управление группами приложений 4790 Низкий Была создана группа запросов LDAP. Управление группами приложений 4793 Низкий Был вызван API проверки политики паролей. Другие события управления учетной записью 4794 Высокий Была сделана попытка установить режим восстановления служб каталогов. Управление учетной записью пользователя 4800 Низкий Рабочая станция была заблокирована. Другие события входа в учетную запись 4801 Низкий Рабочая станция была разблокирована. Другие события входа в учетную запись 4802 Низкий Экранная заставка была вызвана. Другие события входа в учетную запись 4803 Низкий Экранная заставка была отключена. Другие события входа в учетную запись 4816 Средний RPC обнаружил нарушение целостности при расшифровке входящего сообщения. Целостность системы 4817 Настройки аудита объекта были изменены. Изменение политики аудита 4864 Низкий Обнаружено столкновение пространств имен. Изменение политики аутентификации 4865 Средний Была добавлена надежная запись о лесной информации. Изменение политики аутентификации 4866 Средний Запись о достоверной информации о лесах была удалена. Изменение политики аутентификации 4867 Средний Запись о достоверной информации о лесах была изменена. Изменение политики аутентификации 4868 Средний Менеджер сертификатов отклонил ожидающий запрос на сертификат. Сертификационные услуги 4869 Низкий Служба сертификатов получила повторно представленную заявку на сертификат. Сертификационные услуги 4870 Средний Служба сертификатов отозвала сертификат. Сертификационные услуги 4871 Низкий Служба сертификатов получила запрос на публикацию списка отзыва сертификатов (CRL). Сертификационные услуги 4872 Низкий Служба сертификатов опубликовала список отозванных сертификатов (CRL). Сертификационные услуги 4873 Низкий Запрос на сертификат изменился. Сертификационные услуги 4874 Низкий Один или несколько атрибутов запроса сертификата изменены. Сертификационные услуги 4875 Низкий Служба сертификатов получила запрос на отключение. Сертификационные услуги 4876 Низкий Резервное копирование служб сертификатов начато. Сертификационные услуги 4877 Низкий Резервное копирование служб сертификатов завершено. Сертификационные услуги 4878 Низкий Восстановление службы сертификатов начато. Службы сертификации 4879 Низкий Восстановление службы сертификатов завершено. Сертификационные услуги 4880 Низкий Службы сертификатов запущены. Сертификационные услуги 4881 Низкий Службы сертификатов остановлены. Сертификационные услуги 4882 Средний Права доступа к службам сертификатов изменились. Сертификационные услуги 4883 Низкий Служба сертификатов извлекла архивированный ключ. Сертификационные услуги 4884 Низкий Служба сертификатов импортировала сертификат в свою базу данных. Сертификационные услуги 4885 Средний Фильтр аудита для служб сертификатов изменился. Сертификационные услуги 4886 Низкий Служба сертификатов получила запрос на сертификат. Сертификационные услуги 4887 Низкий Служба сертификатов одобрила запрос на сертификат и выдала сертификат. Сертификационные услуги 4888 Низкий Служба сертификатов отклонила запрос на сертификат. Сертификационные услуги 4889 Низкий Службы сертификатов установили статус запроса сертификата в ожидании. Сертификационные услуги 4890 Средний Настройки менеджера сертификатов для служб сертификатов изменились. Сертификационные услуги 4891 Низкий Запись конфигурации изменилась в службах сертификатов. Сертификационные услуги 4892 Средний Свойство Службы сертификатов изменилось. Сертификационные услуги 4893 Низкий Служба сертификатов архивировала ключ. Сертификационные услуги 4894 Низкий Службы сертификатов импортировали и архивировали ключ. Сертификационные услуги 4895 Низкий Службы сертификатов опубликовали сертификат CA в службах домена Active Directory. Сертификационные услуги 4896 Средний Одна или несколько строк были удалены из базы данных сертификатов. Сертификационные услуги 4897 Высокий Разделение ролей включено: Сертификационные услуги 4898 Низкий Служба сертификатов загрузила шаблон. Сертификационные услуги 4902 Низкий Была создана таблица политики аудита для каждого пользователя. Изменение политики аудита 4904 Низкий Попытка зарегистрировать источник события безопасности была осуществлена. Изменение политики аудита 4905 Низкий Попытка была предпринята для отмены регистрации источника события безопасности. Изменение политики аудита 4906 Средний Значение CrashOnAuditFail изменилось. Изменение политики аудита 4907 Средний Настройки аудита объекта были изменены. Изменение политики аудита 4908 Средний Таблица входа специальных групп изменена. Изменение политики аудита 4909 Низкий Настройки локальной политики для TBS были изменены. Другие события изменения политики 4910 Низкий Настройки групповой политики для TBS были изменены. Другие события изменения политики 4912 Средний Политика проверки на пользователя была изменена. Изменение политики аудита 4928 Низкий Был установлен контекст имен источника реплики Active Directory. Подробная репликация службы каталогов 4929 Низкий Контекст имен источника реплики Active Directory был удален. Подробная служба репликации каталога 4930 Низкий Контекст имен источника реплики Active Directory был изменен. Подробная служба репликации каталога 4931 Низкий Контекст имен назначения реплики Active Directory был изменен. Подробная репликация службы каталогов 4932 Низкий Синхронизация реплики контекста имен Active Directory началась. Репликация службы каталогов 4933 Низкий Синхронизация реплики контекста имен Active Directory завершилась. Репликация службы каталогов 4934 Низкий Атрибуты объекта Active Directory были реплицированы. Подробная репликация службы каталогов 4935 Низкий Начинается сбой репликации. Подробная репликация службы каталогов 4936 Низкий Завершение сбоя репликации. Подробная репликация службы каталогов 4937 Низкий Задерживающийся объект был удален из реплики. Подробная репликация службы каталогов 4944 Низкий Следующая политика была активна, когда начал работать Windows Firewall. Изменение политических правил уровня MPSSVC 4945 Низкий Правило было перечислено, когда начался брандмауэр Windows. Изменение политических правил уровня MPSSVC 4946 Низкий В список исключений брандмауэра Windows внесены изменения. Правило было добавлено. Изменение политических правил уровня MPSSVC 4947 Низкий В список исключений брандмауэра Windows внесены изменения. Правило было изменено. Изменение политических правил уровня MPSSVC 4948 Низкий В список исключений брандмауэра Windows внесены изменения. Правило было удалено. Изменение политических правил уровня MPSSVC 4949 Низкий Настройки брандмауэра Windows были восстановлены до значений по умолчанию. Изменение политических правил уровня MPSSVC 4950 Низкий Настройки брандмауэра Windows изменены. Изменение политических правил уровня MPSSVC 4951 Низкий Правило было проигнорировано, потому что его основной номер версии не был распознан брандмауэром Windows. Изменение политических правил уровня MPSSVC 4952 Низкий Части правила были проигнорированы, поскольку его номер незначительной версии не был распознан брандмауэром Windows. Другие части правила будут применены. Изменение политических правил уровня MPSSVC 4953 Низкий Правило было игнорировано брандмауэром Windows, потому что он не смог обработать это правило. Изменение политических правил уровня MPSSVC 4954 Низкий Настройки групповый политики Windows Firewall изменились. Новые настройки были применены. Изменение политических правил уровня MPSSVC 4956 Низкий Защитник Windows изменил активный профиль. Изменение политических правил уровня MPSSVC 4957 Низкий Брандмауэр Windows не применил следующее правило: Изменение политических правил уровня MPSSVC 4958 Низкий Защитная стена Windows не применила следующее правило, потому что это правило ссылалось на элементы, не настроенные на этом компьютере: Изменение политических правил уровня MPSSVC 4960 Средний IPsec отбросил входящий пакет, который не прошел проверку целостности. Если эта проблема сохраняется, это может указывать на сетевую проблему или на то, что пакеты модифицируются в процессе передачи на этот компьютер. Проверьте, чтобы пакеты, отправленные с удаленного компьютера, были такими же, как и те, которые получены этим компьютером. Эта ошибка также может указывать на проблемы совместимости с другими реализациями IPsec. Драйвер Ipsec 4961 Средний IPsec отклонил входящий пакет, который не прошёл проверку на повтор. Если эта проблема сохраняется, это может указывать на атаку воспроизведения против этого компьютера. Драйвер Ipsec 4962 Средний IPsec отклонил входящий пакет, который не прошёл проверку на повтор. Входящий пакет имел слишком низкий номер последовательности, чтобы гарантировать, что это не повтор. Драйвер Ipsec 4963 Средний IPsec отклонил входящий открытый пакет, который должен был быть защищен. Обычно это происходит из-за того, что удаленный компьютер изменил свою политику IPsec, не уведомив этот компьютер. Это также может быть попытка атаки методом подмены. Драйвер Ipsec 4964 Высокий Специальные группы были назначены для нового входа. Специальный вход 4965 Средний IPsec получил пакет от удалённого компьютера с некорректным индексом параметра безопасности (SPI). Это обычно вызвано неисправным оборудованием, которое повреждает пакеты. Если эти ошибки продолжаются, проверьте, чтобы пакеты, отправленные с удалённого компьютера, совпадали с полученными этим компьютером. Эта ошибка также может указывать на проблемы совместимости с другими реализациями IPsec. В этом случае, если связь не нарушена, то эти события можно игнорировать. Драйвер Ipsec 4976 Средний Во время переговоров в основном режиме IPsec получил недействительный пакет переговоров. Если эта проблема будет сохраняться, это может указывать на проблему с сетью или попытку изменить или повторить эти переговоры. Основной режим IPsec 4977 Средний Во время переговоров в режиме быстрого обмена IPsec получил недействительный пакет переговоров. Если эта проблема сохраняется, это может указывать на сетевую проблему или попытку изменить или воспроизвести эти переговоры. быстрый режим ipsec 4978 Средний Во время переговоров о Режиме Расширения IPsec получил недействительный пакет переговоров. Если эта проблема сохраняется, это может свидетельствовать о проблемах в сети или о попытке изменить или воспроизвести эти переговоры. Расширенный режим Ipsec 4979 Низкий Были установлены ассоциации безопасности IPsec в основном режиме и расширенном режиме. Расширенный режим Ipsec 4980 Низкий Были установлены ассоциации безопасности IPsec в основном режиме и расширенном режиме. Расширенный режим Ipsec 4981 Низкий Были установлены ассоциации безопасности IPsec в основном режиме и расширенном режиме. Расширенный режим Ipsec 4982 Низкий Были установлены ассоциации безопасности IPsec в основном режиме и расширенном режиме. Расширенный режим Ipsec 4983 Средний Не удалось осуществить переговоры в режиме расширенного IPsec. соответствующая безопасность основного режима была удалена. Расширенный режим Ipsec 4984 Средний Не удалось осуществить переговоры в режиме расширенного IPsec. соответствующая безопасность основного режима была удалена. Расширенный режим Ipsec 4985 Низкий Состояние транзакции изменилось. Файловая система 5024 Низкий Служба брандмауэра Windows успешно запущена. 5025 Низкий Служба брандмауэра Windows была остановлена. 5027 Средний Служба брандмауэра Windows не удалось получить политику безопасности из локального хранилища. Служба продолжит выполнять текущую политику. 5028 Средний Служба брандмауэра Windows не смогла разобрать новую политику безопасности. Служба продолжит работу с текущей применяемой политикой. 5029 Средний Служба Windows Firewall не смогла инициализировать драйвер. Служба продолжит применять текущую политику. 5030 Средний Служба брандмауэра Windows не смогла запуститься. 5031 Низкий Служба брандмауэра Windows заблокировала приложение от принятия входящих соединений в сети. Фильтрация соединения платформы 5032 Низкий Брандмауэр Windows не смог уведомить пользователя о том, что он заблокировал приложению доступ к входящим соединениям в сети. 5033 Низкий Драйвер Windows Firewall был успешно запущен. 5034 Низкий Драйвер брандмауэра Windows был остановлен. 5035 Средний Драйвер Windows Firewall не удалось запустить. 5037 Средний Драйвер Windows Firewall обнаружил критическую ошибку выполнения. Завершение. 5038 Средний Целостность кода определила, что хэш-образ файла недействителен. Файл может быть поврежден из-за несанкционированного изменения, или недействительный хэш может указывать на потенциальную ошибку устройства диска. Целостность системы 5039 Низкий Ключ реестра был виртуализирован. Реестр 5040 Низкий В настройки IPsec были внесены изменения. Был добавлен комплект аутентификации. 5041 Низкий В настройки IPsec были внесены изменения. Набор аутентификации был изменен. 5042 Низкий В настройки IPsec были внесены изменения. Набор аутентификации был удален. 5043 Низкий Изменения были внесены в настройки IPsec. Было добавлено правило безопасности соединения. 5044 Низкий Изменения были внесены в настройки IPsec. Правило безопасности соединения было изменено. 5045 Низкий Изменения были внесены в настройки IPsec. Правило безопасности соединения было удалено. 5046 Низкий В настройки IPsec были внесены изменения. Был добавлен криптонабор. 5047 Низкий В настройки IPsec были внесены изменения. Набор крипто-ключей был изменен. 5048 Низкий В настройки IPsec были внесены изменения. Набор крипто-ключей был удален. 5049 Низкий Ассоциация безопасности IPsec была удалена. Основной режим IPsec 5050 Низкий Попытка программно отключить брандмауэр Windows с помощью вызова InetFwProfile.FirewallEnabled(False) 5051 Низкий Файл был виртуализирован. Файловая система 5056 Низкий Был проведен криптографический самотест. Целостность системы 5057 Низкий Не удалось выполнить криптографическую примитивную операцию. Целостность системы 5058 Низкий Ключевая операция с файлом. 5059 Низкий Ключевая миграционная операция. 5060 Низкий Операция проверки не удалась. Целостность системы 5061 Низкий Криптографическая операция. Целостность системы 5062 Низкий Был проведён самопроверка криптографии в режиме ядра. Целостность системы 5063 Низкий Попытка выполнить операцию поставщика криптографии была осуществлена. Другие события изменения политики 5064 Низкий Была предпринята попытка выполнения криптографической операции. Другие события изменения политики 5065 Низкий Попытка изменения криптографического контекста была осуществлена. Другие события изменения политики 5066 Низкий Была предпринята попытка выполнения криптографической функции. Другие события изменения политики 5067 Низкий Была предпринята попытка модификации криптографической функции. Другие события изменения политики 5068 Низкий Была предпринята операция провайдера криптографической функции. Другие события изменения политики 5069 Низкий Была предпринята операция свойств криптографической функции. Другие события изменения политики 5070 Низкий Была предпринята попытка модификации свойства криптографической функции. Другие события изменения политики 5120 Средний Служба отклика на запросы OCSP запущена 5121 Средний Служба ответчика OCSP остановлена 5122 Средний Запись конфигурации изменилась в сервисе OCSP Responder 5123 Средний Запись конфигурации изменилась в сервисе OCSP Responder 5124 Высокий Настройка безопасности была обновлена на службе OCSP Responder. 5125 Низкий Запрос был отправлен в службу OCSP Responder. 5126 Низкий Сертификат подписи был автоматически обновлен службой OCSP Responder. 5127 Низкий Поставщик отзыва OCSP успешно обновил информацию об отзыве 5136 Низкий Объект службы каталогов был изменен. Изменения в службе директории 5137 Низкий Объект службы каталогов был создан. Изменения в службе директории 5138 Низкий Объект службы каталогов был восстановлен. Изменения в службе директории 5139 Низкий Объект службы каталогов был перемещен. Изменения в службе директории 5140 Низкий Объект сетевого диска был доступен. Обмен файлами 5141 Низкий Объект службы каталогов был удален. Изменения в службе директории 5152 Низкий Платформа фильтрации Windows заблокировала пакет. Фильтрующая платформа потеря пакетов 5153 Низкий Более строгий фильтр платформы фильтрации Windows заблокировал пакет. Фильтрующая платформа потеря пакетов 5154 Низкий Платформа фильтрации Windows разрешила приложению или службе прослушивать порт для входящих подключений. Подробный обмен файлами 5155 Низкий Платформа фильтрации Windows заблокировала приложение или службу от прослушивания порта для входящих соединений. Фильтрация соединения платформы 5156 Низкий Платформа фильтрации Windows разрешила соединение. Фильтрация соединения платформы 5157 Низкий Платформа фильтрации Windows заблокировала соединение. Фильтрация соединения платформы 5158 Низкий Платформа фильтрации Windows разрешила привязку к локальному порту. Фильтрация соединения платформы 5159 Низкий Платформа фильтрации Windows заблокировала привязку к локальному порту. Фильтрация соединения платформы 5376 Средний Учётные данные менеджера учётных записей были сохранены. Управление учетной записью пользователя 5377 Средний Учетные данные диспетчера учетных записей были восстановлены из резервной копии. Управление учетной записью пользователя 5378 Низкий Запрашиваемая делегация учетных данных была запрещена политикой. Другие события входа в учетную запись 5440 Низкий Следующее уведомление было отображено, когда начался основной механизм фильтрации платформы фильтрации Windows. 5441 Низкий Следующий фильтр был представлен, когда запустился базовый механизм фильтрации платформы фильтрации Windows. 5442 Низкий Следующий поставщик был присутствующим, когда начался базовый механизм фильтрации Windows Filtering Platform. 5443 Низкий Следующий контекст поставщика был представлен, когда запустился базовый движок фильтрации Windows Filtering Platform. 5444 Низкий Следующий подслой был присутствует, когда запустился базовый фильтрационный движок Windows Filtering Platform. 5446 Низкий Вызывающий элемент платформы фильтрации Windows был изменен. 5447 Низкий Фильтр платформы фильтрации Windows был изменен. Другие события изменения политики 5448 Низкий Поставщик платформы фильтрации Windows был изменен. 5449 Низкий Контекст провайдера Windows Filtering Platform был изменен. 5450 Низкий Слой фильтрации Windows был изменен. 5451 Низкий Была установлена ассоциация безопасности Quick Mode IPsec. быстрый режим ipsec 5452 Низкий Состояние безопасности Quick Mode IPsec завершено. быстрый режим ipsec 5453 Средний Переговоры по IPsec с удаленным компьютером завершились неудачей, потому что служба IKE и AuthIP IPsec Keying Modules (IKEEXT) не запущена. Режим основного соединения Ipsec 5456 Низкий Движок PAStore применил политику IPsec для хранения Active Directory на компьютере. 5457 Низкий Двигатель PAStore не смог применить политику IPsec хранилища Active Directory на компьютере. 5458 Низкий Двигатель PAStore применил местную кэшированную копию политики IPsec для хранения Active Directory на компьютере. 5459 Низкий Двигатель PAStore не смог применить локально кэшированную копию политики безопасности IPsec для хранилища Active Directory на компьютере. 5460 Низкий PAStore Engine применил политику хранения локального реестра IPsec на компьютере. 5461 Низкий Двигатель PAStore не смог применить местную политику IPsec для хранения реестра на компьютере. 5462 Низкий Двигатель PAStore не смог применить некоторые правила активной политики IPsec на компьютере. Используйте оснастку мониторинга безопасности IP для диагностики проблемы. 5463 Низкий Двигатель PAStore опросил активную политику IPsec на наличие изменений и не обнаружил изменений. 5464 Низкий Движок PAStore опросил изменения в активной политике IPsec, выявил изменения и применил их к сервисам IPsec. 5465 Низкий Двигатель PAStore получил команду на принудительную перезагрузку политики IPsec и успешно обработал эту команду. 5466 Низкий Двигатель PAStore опросил изменения в политике IPsec Active Directory, определил, что к Active Directory нельзя получить доступ, и вместо этого будет использовать кэшированную копию политики IPsec Active Directory. Любые изменения, внесенные в политику IPsec Active Directory с момента последнего опроса, не могли быть применены. 5467 Низкий Двигатель PAStore опросил изменения в политике IPsec Active Directory, установил, что к Active Directory можно получить доступ, и не обнаружил изменений в политике. Кэшированная копия политики IPsec Active Directory больше не используется. 5468 Низкий Двигатель PAStore опросил изменения в политике IPsec Active Directory, установил, что к Active Directory можно получить доступ, нашел изменения в политике и применил эти изменения. Кэшированная копия политики IPsec Active Directory больше не используется. 5471 Низкий Двигатель PAStore загрузил политику IPsec местного хранения на компьютере. 5472 Низкий Двигатель PAStore не смог загрузить локальную политику IPsec хранения на компьютере. 5473 Низкий Двигатель PAStore загрузил политику хранения IPsec в директории на компьютере. 5474 Низкий Двигатель PAStore не смог загрузить хранилище каталога IPsec политики на компьютере. 5477 Низкий Двигатель PAStore не смог добавить фильтр быстрого режима. 5478 Низкий Службы IPsec были успешно запущены. Драйвер Ipsec 5479 Низкий Службы IPsec были успешно отключены. Отключение служб IPsec может подвергнуть компьютер большему риску сетевой атаки илиExpose компьютер потенциальным рискам безопасности. Драйвер Ipsec 5480 Средний Службы IPsec не удалось получить полный список сетевых интерфейсов на компьютере. Это создает потенциальный риск безопасности, поскольку некоторые сетевые интерфейсы могут не получать защиту, обеспечиваемую примененными фильтрами IPsec. Используйте оснастку Монитор IP-Безопасности для диагностики проблемы. Драйвер Ipsec 5483 Средний Службы IPsec не удалось инициализировать сервер RPC. Службы IPsec не удалось запустить. Драйвер Ipsec 5484 Средний Службы IPsec потерпели критическую ошибку и были остановлены. Остановка служб IPsec может подвергнуть компьютер большему риску сетевой атаки или открыть компьютер потенциальным угрозам безопасности. Драйвер Ipsec 5485 Средний Службы IPsec не смогли обработать некоторые фильтры IPsec при событии plug-and-play для сетевых интерфейсов. Это представляет собой потенциальный риск безопасности, так как некоторые сетевые интерфейсы могут не получать защиту, обеспечиваемую применёнными фильтрами IPsec. Используйте оснастку Монитор безопасности IP для диагностики проблемы. Драйвер Ipsec 5632 Низкий Был сделан запрос на аутентификацию в беспроводной сети. Другие события входа в учетную запись 5633 Низкий Был сделан запрос на аутентификацию в проводной сети. Другие события входа в учетную запись 5712 Низкий Попытка вызова удаленной процедуры (RPC) была сделана. События RPC 5827 Средний Служба Netlogon отказала уязвимому соединению защищенного канала Netlogon от учетной записи машины. 5828 Средний Служба Netlogon отказала в уязвимом подключении к безопасному каналу Netlogon с использованием учетной записи доверия. 5888 Низкий Объект в каталоге COM+ был изменен. Другие события доступа к объектам 5889 Низкий Объект был удален из каталога COM+. Другие события доступа к объектам 5890 Низкий Объект был добавлен в каталог COM+. Другие события доступа к объектам 6008 Низкий Предыдущее завершение работы системы было неожиданным. 6144 Низкий Политика безопасности в объектах групповой политики была успешно применена. Другие события изменения политики 6145 Средний При обработке политики безопасности в объектах групповой политики произошла одна или несколько ошибок. Другие события изменения политики 6272 Низкий Сервер сетевой политики предоставил доступ пользователю. Сервер сетевой политики 6273 Средний Сервер сетевой политики отказал в доступе пользователю. Сервер сетевой политики 6274 Средний Сервер сетевой политики отклонил запрос пользователя. Сервер сетевой политики 6275 Средний Сервер сетевой политики отклонил запрос учета для пользователя. Сервер сетевой политики 6276 Средний Сервер политик сети изолировал пользователя. Сервер сетевой политики 6277 Средний Сервер сетевой политики предоставил доступ пользователю, но поставил его под испытательный срок, поскольку хост не соответствовал установленной политике здоровья. Сервер сетевой политики 6278 Средний Сервер сетевой политики предоставил полный доступ пользователю, поскольку хост соответствовал установленной политике здоровья. Сервер сетевой политики 6279 Средний Сервер сетевой политики заблокировал учетную запись пользователя из-за повторных неудачных попыток аутентификации. Сервер сетевой политики 6280 Средний Сервер политик сети разблокировал учетную запись пользователя. Сервер сетевой политики 24577 Низкий Начато шифрование объема 24578 Низкий Шифрование тома остановлено 24579 Низкий Шифрование тома завершено 24580 Низкий Началась декодировка тома 24581 Низкий Декодирование объема остановлено 24582 Низкий Декодирование объема завершено 24583 Низкий Запущен рабочий поток конвертации для тома 24584 Низкий Рабочая нить конвертации для тома временно остановлена 24586 Средний При преобразовании объема произошла ошибка. 24588 Низкий Операция преобразования на томе %2 столкнулась с ошибкой поврежденного сектора. Пожалуйста, проверьте данные на этом томе. 24592 Средний Попытка автоматически перезапустить конвертацию на томе %2 не удалась. 24593 Средний Запись метаданных: Том %2 возвращает ошибки при попытке изменить метаданные. Если ошибки продолжаются, расшифруйте том. 24594 Средний Перестройка метаданных: Попытка записать копию метаданных на томе %2 не удалась и может быть воспринята как повреждение диска. Если ошибки повторяются, расшифруйте том. 24595 Низкий Объем %2 содержит испорченные кластеры. Эти кластеры будут пропущены во время конверсии. 24621 Низкий Проверка начального состояния: Выполнение транзакции конверсии объема на %2. - Средний Изменена база данных общего аккаунта - Средний Политика качества обслуживания изменена Не применимо Средний до высокого Возможная атака типа «отказ в обслуживании» (DoS) Не применимо Низкий Запрашивалась ссылка на объект. Не применимо Низкий Объект открыт для удаления Не применимо Низкий Тип учетной записи пользователя изменен Не применимо Низкий Агент политики IPsec запущен Не применимо Низкий Агент политики IPsec отключен Не применимо Низкий Агент политик IPsec Не применимо Низкий Агент политики IPsec обнаружил потенциально серьезный сбой
Смотрите контрольный список аудита Active Directory, чтобы узнать, какие параметры политики аудита необходимо включить. Без включения правильных параметров политики журналы Active Directory создаваться не будут.