Eventviewer Eventid для блокировки и разблокировки

Question

Что такое идентификатор события в Event Viewer для блокировки, разблокировки для компьютера в Windows XP, Windows 7, Windows Vista и Windows Server 2008?

Answer 1

Идентификаторы событий, которые нужно искать в Windows до Vista: 528, 538 и 680. 528 обычно означает успешную разблокировку рабочей станции.

Коды для более новых версий Windows отличаются, см. Ответы ниже для получения дополнительной информации.

Answer 2

Идентификатор события блокировки - 4800, а разблокировка - 4801. Вы можете найти их в журналах безопасности. Возможно, вам придется активировать их аудит с помощью локальной политики безопасности (secpol.msc, локальные параметры безопасности в Windows XP) -> локальные политики -> политика аудита.

См. Описание событий безопасности в Windows 7 и Windows Server 2008 R2 в подкатегории: Другие события входа / выхода.

Answer 3

Вам нужно будет включить ведение журнала этих событий. Сделайте это, открыв редактор групповой политики:

запустить -> gpedit.msc

и настройка следующей категории:

Конфигурация компьютера ->
Настройки Windows ->
Настройки безопасности ->
Расширенная настройка политики аудита ->
Политики аудита системы - Объект локальной групповой политики ->
Вход / Выход из системы ->
Аудит Другое Войти / Выйти События

(На вкладке " Объяснение " написано "... позволяет проводить аудит... Блокировка и разблокировка рабочей станции".)

Answer 4

Для более новых версий Windows (включая, помимо прочего, Windows 10 и Windows Server 2016) идентификаторы событий:

• 4800 - Рабочая станция была заблокирована.
• 4801 - Рабочая станция была разблокирована.

Блокировка и разблокировка рабочей станции также включают в себя следующие события входа и выхода:

• 4624 - Учетная запись успешно вошла в систему.
• 4634 - Учетная запись была отключена.
• 4648 - попытка входа в систему с использованием явных учетных данных.

При использовании сеанса служб терминалов блокировка и разблокировка могут также включать в себя следующие события, если сеанс отключен, а событие 4778 может заменить событие 4801:

• 4779 - Сеанс был отключен от оконной станции.
• 4778 - Сеанс был переподключен к оконной станции.

События 4800 и 4801 по умолчанию не проверяются, и их необходимо включить с помощью редактора локальной групповой политики (gpedit.msc) или локальная политика безопасности (secpol.msc).

Путь для политики с использованием редактора локальной групповой политики:

• Политика локального компьютера
• Конфигурация компьютера
• Настройки Windows
• Настройки безопасности
• Расширенная настройка политики аудита
• Политики аудита системы - объект локальной групповой политики
• Вход / выход
• Аудит других событий входа / выхода

Путь для политики, использующей локальную политику безопасности, является следующим подмножеством пути для редактора локальной групповой политики:

• Настройки безопасности
• Расширенная настройка политики аудита
• Политики аудита системы - объект локальной групповой политики
• Вход / выход
• Аудит других событий входа / выхода

Answer 5

К сожалению, нет такой вещи, как блокировка / разблокировка. Что вам нужно сделать, это:

1. Нажмите "Фильтровать текущий журнал..."
2. Выберите вкладку XML и нажмите "Редактировать запрос вручную"

3. Введите следующий запрос:

   
     
       
       * [EventData [Data [@ Name = 'Тип входа']='7']
        а также
        (Система [(EventID='4634')] или Система [(EventID='4624')])
        ]
     
   это оно
                                           
                                       
                                   
                                   
   
                                       
   
                                           
   
                                               
                                                   
   
                                                       6
                                                       
                                                   
                                               
                                           
                                           
                                       
                                       
   
                                           
   
                                               
                                                   Источник
                                                                                           
                                               Поделиться
                                           
                                           
   
                                               
                                                   
                                                       user2726925
                                                                                                       
                                               
                                                13 фев '15 в 09:33
                                               2015-02-13 09:33
                                           
                                       
                                   
                                   2015-02-13 09:33
                               
                           
                       
                           
                           
                    
                               
   
                                   
   
                                       
                                           
                                               
   Для идентификации экрана разблокировки я считаю, что вы можете использовать идентификатор 4624. Но тогда вам также нужно взглянуть на тип входа в систему, который в данном случае равен 7: http://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4624
   Идентификатор события для выхода из системы - 4634
                                           
                                       
                                   
                                   
   
                                       
   
                                           
   
                                               
                                                   
   
                                                       4
                                                       
                                                   
                                               
                                           
                                           
                                       
                                       
   
                                           
   
                                               
                                                   Источник
                                                                                           
                                               Поделиться
                                           
                                           
   
                                               
                                                   
                                                       user3437081
                                                                                                       
                                               
                                                19 мар '14 в 10:18
                                               2014-03-19 10:18
                                           
                                       
                                   
                                   2014-03-19 10:18
                               
                           
                       
                           
                           
                    
                               
   
                                   
   
                                       
                                           
                                               
   Настройки безопасности -> Расширенная политика аудита -> Системный аудит -> Вход / выход из системы -> Аудит других событий входа / выключения -> В случае успеха
   Включает следующее:
   4800 - workstation locked
   4801 - workstation unlocked
   4802 - screensaver invoke
   4803 - screensaver dismissed
   Windows 10 профессиональный
                                           
                                       
                                   
                                   
   
                                       
   
                                           
   
                                               
                                                   
   
                                                       4
                                                       
                                                   
                                               
                                           
                                           
                                       
                                       
   
                                           
   
                                               
                                                   Источник
                                                                                           
                                               Поделиться
                                           
                                           
   
                                               
                                                   
                                                       user1170023
                                                                                                       
                                               
                                                04 дек '18 в 18:53
                                               2018-12-04 18:53
                                           
                                       
                                   
                                   2018-12-04 18:53
                               
                           
                       
                           
                           
                    
                               
   
                                   
   
                                       
                                           
                                               
   Для Windows 10 идентификатор события для lock=4800 и unlock=4801.
   Как сказано в ответе, предоставленном Mario и Пользователем 00000, вам нужно будет включить ведение журнала событий блокировки и разблокировки, используя их метод, описанный выше, запустив gpedit.msc и перейдя к указанной ветке:
   Конфигурация компьютера -> Параметры Windows -> Параметры безопасности -> Конфигурация расширенной политики аудита -> Политики аудита системы - Объект локальной групповой политики -> Вход / Выход из системы -> Аудит другого входа / выхода из системы
   Включите как события успеха, так и ошибки.
   После включения регистрации этих событий вы можете напрямую отфильтровать события с кодом 4800 и 4801.
   Этот метод работает для Windows 10, так как я просто использовал его для фильтрации журналов безопасности после блокировки и разблокировки компьютера.
                                           
                                       
                                   
                                   
   
                                       
   
                                           
   
                                               
                                                   
   
                                                       2
                                                       
                                                   
                                               
                                           
                                           
                                       
                                       
   
                                           
   
                                               
                                                   Источник
                                                                                           
                                               Поделиться
                                           
                                           
   
                                               
                                                   
                                                       user1902209
                                                                                                       
                                               
                                                24 май '18 в 17:08
                                               2018-05-24 17:08
                                           
                                       
                                   
                                   2018-05-24 17:08
                               
                           
                       
                           
                           
                    
                               
   
                                   
   
                                       
                                           
                                               
   Используется Windows 10 Home edition. Мне не удалось заставить мою программу просмотра событий фиксировать события 4800 и 4801 даже после установки редактора групповой политики Windows, включения аудита всех соответствующих событий и перезагрузки компьютера. Однако мне удалось обнаружить другие события, связанные с блокировкой и разблокировкой, которые можно использовать в качестве точных и надежных индикаторов того, когда компьютер был заблокирован. См. Конфигурации ниже - первый для PC Locked (событие, связанное с отображением C:\Windows\System32\LogonUI.exe) - а второй - для PC Unlocked (событие для успешного входа в систему).
    
    
                                           
                                       
                                   
                                   
   
                                       
   
                                           
   
                                               
                                                   
   
                                                       1
                                                       
                                                   
                                               
                                           
                                           
                                       
                                       
   
                                           
   
                                               
                                                   Источник
                                                                                           
                                               Поделиться
                                           
                                           
   
                                               
                                                   
                                                       user5042013
                                                                                                       
                                               
                                                15 авг '20 в 23:37
                                               2020-08-15 23:37
                                           
                                       
                                   
                                   2020-08-15 23:37
                               
                           
                                    
   
                       
   
       
           
           
       
   
   
                       
                       
   
                       
   
       
                   
       
   
                       
                       
   
                           
   
                               
   
                                   Другие вопросы по тегам
                                   
   
   
       windows
   
       event-viewer
   
                               
                           
                       
                       
                   
                   
               
               
               
               
   
       
       
   
           
               
               
               
           
       
   
   
   
           
       
   
   
       
       
   
   
   
   
       
   
           
   
               
   
                   
                       
                   
               
               
   
                   [e-mail]
                   
   
                   licensed under cc by-sa 3.0 with attribution
               
           
       
   
   
   
       
     
     
       
           
   
   
   
       
       
       
           
   
   
       
     
   
     
       
   
   
     
   
   
   
   

Answer 6

Для идентификации экрана разблокировки я считаю, что вы можете использовать идентификатор 4624. Но тогда вам также нужно взглянуть на тип входа в систему, который в данном случае равен 7: http://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4624

Идентификатор события для выхода из системы - 4634

Answer 7

Настройки безопасности -> Расширенная политика аудита -> Системный аудит -> Вход / выход из системы -> Аудит других событий входа / выключения -> В случае успеха

Включает следующее:

4800 - workstation locked
4801 - workstation unlocked
4802 - screensaver invoke
4803 - screensaver dismissed

Windows 10 профессиональный

Answer 8

Для Windows 10 идентификатор события для lock=4800 и unlock=4801.

Как сказано в ответе, предоставленном Mario и Пользователем 00000, вам нужно будет включить ведение журнала событий блокировки и разблокировки, используя их метод, описанный выше, запустив gpedit.msc и перейдя к указанной ветке:

Конфигурация компьютера -> Параметры Windows -> Параметры безопасности -> Конфигурация расширенной политики аудита -> Политики аудита системы - Объект локальной групповой политики -> Вход / Выход из системы -> Аудит другого входа / выхода из системы

Включите как события успеха, так и ошибки.

После включения регистрации этих событий вы можете напрямую отфильтровать события с кодом 4800 и 4801.

Этот метод работает для Windows 10, так как я просто использовал его для фильтрации журналов безопасности после блокировки и разблокировки компьютера.

Answer 9

Используется Windows 10 Home edition. Мне не удалось заставить мою программу просмотра событий фиксировать события 4800 и 4801 даже после установки редактора групповой политики Windows, включения аудита всех соответствующих событий и перезагрузки компьютера. Однако мне удалось обнаружить другие события, связанные с блокировкой и разблокировкой, которые можно использовать в качестве точных и надежных индикаторов того, когда компьютер был заблокирован. См. Конфигурации ниже - первый для PC Locked (событие, связанное с отображением C:\Windows\System32\LogonUI.exe) - а второй - для PC Unlocked (событие для успешного входа в систему).