![通过注册表更改审计策略](https://linux22.com/image/1488504/%E9%80%9A%E8%BF%87%E6%B3%A8%E5%86%8C%E8%A1%A8%E6%9B%B4%E6%94%B9%E5%AE%A1%E8%AE%A1%E7%AD%96%E7%95%A5.png)
我正在开发一个应用程序来读取审计事件日志条目。但我只能在家里的笔记本上Windows 10 家庭版我无法启动
gpedit.msc
或secpol.msc
。因此我必须通过注册表启用登录审核事件。我想到了这个位置:
HKEY_LOCAL_MACHINE\SECURITY\Policy\PolAdtEv
这些是我找到的资源:
这是我当前的设置:
我应该如何更改设置才能将登录成功记录到事件日志中?
答案1
我不确定家庭版是否有auditpol.exe
,但如果有,此命令将启用所有登录相关活动的成功和失败审核:
auditpol /set /category:"Logon/Logoff" /success:enable /failure:enable
如果你真的想破坏注册表,你可以利用那份优秀的文件您找到的。(Microsoft 的版本已经过时了 - 它适用于 Windows NT,而 Windows NT 没有审计子类别。)您首先需要系统级的注册表访问权限。看起来您已经完成了这一操作,但对于其他人来说,可以使用执行程序:
psexec -s -i regedit
(这将创建以 SYSTEM 身份运行的注册表编辑器实例。)完成后,打开默认值HKLM\SECURITY\Policy\PolAdtEv
。文档的第二页给出了控制每个子类别的位置。例如,登录从第 22 个字节开始,或者以十六进制(注册表编辑器的侧边栏使用)表示为 16。在此屏幕截图中,我突出显示了控制登录的部分:
这些都是 16 位(双字节)值。00 00
表示无审计,01 00
表示成功审计,02 00
表示失败审计,03 00
表示所有审计。
因此,如果您想要审核登录和注销成功,则需要将从位置 0x16 开始的数据替换为01 00 01 00
。在上面的屏幕截图中,我启用了所有审核。如果您想要整个登录/注销类别,则需要九个,01 00
因为有九个子类别。
您需要重新启动才能使更改生效。