![禁用登录注销审核](https://linux22.com/image/529147/%E7%A6%81%E7%94%A8%E7%99%BB%E5%BD%95%E6%B3%A8%E9%94%80%E5%AE%A1%E6%A0%B8.png)
我的域中有一个 SBS 08,有 50 个用户。在事件查看器中:Windows 日志 > 安全,我仅在 2 天内就获得了近 300,000 个有关 EventID 4624 登录、4634 注销、4776 凭证验证、4769 Kerberos 服务票证操作的事件!!!
我想简单地禁用它。我尝试在本地策略或组策略中禁用审核,但所有内容都变灰了:安全设置 > 本地策略 > 审核策略 > 审核登录事件:无审核
答案1
寻找加载了 apache web 服务的 HP 打印机。
当我使用我的一台工作站上的那个奇怪的打印机客户端时,我的 DC 出现了 50,000 个 Kerb 错误。
就像其他人所说的那样,找到根本原因,不要掩盖正在发生的事情。
答案2
如果这里的所有内容都显示为灰色:开始>运行> gpedit.msc 本地计算机策略
Windows 设置
安全设定
当地政策
审计政策
审核登录事件的属性
那么您无权更新域/服务器上的组策略。一旦您获得了编辑 gpol 的能力,您就能够禁用成功的审核。一旦您禁用了它们,请运行“gpupdate /force”以强制更新服务器上的 gpol。
答案3
我相信我已通过以下方式停止记录登录/注销事件:打开本地安全策略安全设置->高级审核策略配置->系统审核策略->登录/注销:
默认情况下,审计注销和审计登录均未配置。右键单击每个属性。选中配置以下审计事件。不要选中成功或失败。
在我应用此功能之后,这些事件不再被记录。
答案4
我相信 SBS 也很可能就是您的 DC,其中一些事件通常会分散在多台服务器上。我大胆猜测,它的审核策略是由默认域控制器 GPO 或其他一些覆盖您此处设置的 GPO 定义的。策略解析(或用于)本地、站点、域、OU。最有可能是默认域控制器策略在执行此操作。
我真的不认为有那么多事件。我会运行 GPresult.msc 来查看该设置的来源,然后进行调整。
汤姆