| 0x1001 | Использование: AuditPol команда []%nКоманды (можно указать только одну команду при каждом запуске) /? Контекстная справка. /get Отображение текущей политики аудита. /set Установка политики аудита. /list Отображение элементов политики, которые можно выбрать. /backup Сохранение политики аудита в файл. /restore Восстановление политики аудита из файла. /clear Очистка политики аудита. /remove Удаление политики аудита для каждого из пользователей учетной записи. /resourceSACL Настройка системных списков управления доступом для глобальных ресурсов.%nИспользуйте синтаксис AuditPol /?для получения сведений о соответствующей команде |
Usage: AuditPol command []%nCommands (only one command permitted per execution) /? Help (context-sensitive) /get Displays the current audit policy. /set Sets the audit policy. /list Displays selectable policy elements. /backup Saves the audit policy to a file. /restore Restores the audit policy from a file. /clear Clears the audit policy. /remove Removes the per-user audit policy for a user account. /resourceSACL Configure global resource SACLs%nUse AuditPol /? for details on each command |
| 0x1002 | Использование: AuditPol /get [/user[:|]] [/category:*||[,:|...]] [/subcategory:|[,:|...]] [/option:] [/sd] [/r]%nОтображение текущей политики аудита.%nКоманды /? Контекстная справка. /user Субъект безопасности, для которого опрашивается политика аудита по пользователям. Необходимо указать либо параметр /category, либо /subcategory. Пользователь может быть задан с помощью SID или по имени. Если не задана учетная запись пользователя, опрашивается политика аудита системы. /category Одна или несколько категорий аудита, заданные с помощью GUID или по имени. Чтобы установить опрос всех категорий аудита, используйте звездочку (\"*\"). /subcategory Одна или несколько подкатегорий аудита, заданные с помощью GUID или по имени. /sd Извлечение дескриптора безопасности, используемого для делегирования доступа к политике аудита. /option Извлечение существующей политики для CrashOnAuditFail, FullPrivilegeAuditing, AuditBaseObjects или AuditBaseDirectories. /r Отображение результатов в формате отчета (CSV) .%nПример использования: auditpol /get /user:domain\\user /Category:\"Detailed Tracking\",\"Object Access\" auditpol /get /Subcategory:{0cce9212-69ae-11d9-bed3-505054503030} /r auditpol /get /option:CrashOnAuditFail auditpol /get /user:{S-1-5-21-397123417-1234567} /Category:\"System\" auditpol /get /sd |
Usage: AuditPol /get [/user[:|]] [/category:*||[,:|...]] [/subcategory:|[,:|...]] [/option:] [/sd] [/r]%nThis command displays the current audit policy.%nCommands /? Help (context-sensitive) /user The security principal for whom the per-user audit policy is queried. Either the /category or /subcategory option must be specified. The user may be specified as a SID or name. If no user account is specified, then the system audit policy is queried. /category One or more audit categories specified by GUID or name. An asterisk (\"*\") may be used to indicate that all audit categories should be queried. /subcategory One or more audit subcategories specified by GUID or name. /sd Retrieves the security descriptor used to delegate access to the audit policy. /option Retrieve existing policy for CrashOnAuditFail, FullPrivilegeAuditing, AuditBaseObjects or AuditBaseDirectories. /r Display the output in report (CSV) format.%nSample usage: auditpol /get /user:domain\\user /Category:\"Detailed Tracking\",\"Object Access\" auditpol /get /Subcategory:{0cce9212-69ae-11d9-bed3-505054503030} /r auditpol /get /option:CrashOnAuditFail auditpol /get /user:{S-1-5-21-397123417-1234567} /Category:\"System\" auditpol /get /sd |
| 0x1003 | Использование: AuditPol /set [/user[:|][/include][/exclude]] [/category:|[,:|...]] [/success:|][/failure:|] [/subcategory:|[,:|...]] [/success:|][/failure:|] [/option: /value:|]%nУстановка текущей политики аудита.%nКоманды /? Контекстная справка. /user Субъект безопасности, для которого устанавливается политика аудита по пользователям, заданная параметром category или /subcategory. Необходимо задать либо категорию, либо подкатегорию с помощью SID или по имени. /include Указывается вместе с параметром /user, означает, что политикой для данного пользователя создается аудит, даже если он не указан политикой аудита системы. Этот параметр используется по умолчанию и применяется автоматически, если ни параметр /include, ни параметр /exclude не указаны явно. /exclude Указывается вместе с параметром /user, означает, что политикой для данного пользователя запрещается аудит, независимо от параметров политики аудита системы. Этот параметр не учитывается для членов локальной группы \"Администраторы\". /category Одна или несколько категорий аудита, заданные с помощью GUID или по имени. Если пользователь не указан, устанавливается политика системы. /subcategory Одна или несколько категорий аудита, заданные с помощью GUID или по имени. Если пользователь не указан, устанавливается политика системы. /success Установка успешного аудита. Этот параметр используется по умолчанию и применяется автоматически, если ни параметр /success, ни /failure не указаны явно. Этот параметр следует использовать с параметром, разрешающим или запрещающим его. /failure Установка неудачного аудита. Этот параметр следует использовать с параметром, разрешающим или запрещающим его. /option Установка политики аудита для CrashOnAuditFail, FullPrivilegeAuditing, AuditBaseObjects или AuditBaseDirectories. /sd Установка дескриптора безопасности, используемого для делегирования доступа к политике аудита. Дескриптор безопасности следует указывать с помощью SDDL. Дескриптору безопасности должен быть назначен список DACL.%nПример: auditpol /set /user:domain\\user /Category:\"System\" /success:enable /include auditpol /set /subcategory:{0cce9212-69ae-11d9-bed3-505054503030} /failure:disable auditpol /set /option:CrashOnAuditFail /value:enable auditpol /set /sd:D:(A;;DCSWRPDTRC;;;BA)(A;;DCSWRPDTRC;;;SY) |
Usage: AuditPol /set [/user[:|][/include][/exclude]] [/category:|[,:|...]] [/success:|][/failure:|] [/subcategory:|[,:|...]] [/success:|][/failure:|] [/option: /value:|]%nThis command sets the current audit policy.%nCommands /? Help (context-sensitive) /user The security principal for whom per-user audit policy specified by the category/subcategory is set. Either the category or subcategory option must be specified, as a SID or name. /include Specified with /user; indicates that user's per-user policy will cause audit to be generated even if not specified by the system audit policy. This setting is the default and is automatically applied if neither the /include nor /exclude options are explicitly specified. /exclude Specified with /user; indicates that the user's per-user policy will cause audit to be suppressed regardless of the system audit policy. This setting is not honored for users who are members of the Administrators local group. /category One or more audit categories specified by GUID or name. If no user is specified, the system policy is set. /subcategory One or more audit subcategories specified by GUID or name. If no user is specified, system policy is set. /success Specifies success auditing. This setting is the default and is automatically applied if neither the /success nor /failure options are explicitly specified. This setting must be used with a parameter indicating whether to enable or disable the setting. /failure Specifies failure auditing. This setting must be used with a parameter indicating whether to enable or disable the setting. /option Set the audit policy for CrashOnAuditFail, FullPrivilegeAuditing, AuditBaseObjects or AuditBaseDirectories. /sd Sets the security descriptor used to delegate access to the audit policy. The security descriptor must be specified using SDDL. The security descriptor must have a DACL.%nExample: auditpol /set /user:domain\\user /Category:\"System\" /success:enable /include auditpol /set /subcategory:{0cce9212-69ae-11d9-bed3-505054503030} /failure:disable auditpol /set /option:CrashOnAuditFail /value:enable auditpol /set /sd:D:(A;;DCSWRPDTRC;;;BA)(A;;DCSWRPDTRC;;;SY) |
| 0x1004 | Использование: AuditPol /list [/user|/category|/subcategory[:||*] [/v] [/r]%nВывод списка категорий или подкатегорий политики аудита, либо спискапользователей, для которых определена политика аудита по пользователям.%nКоманды /? Контекстная справка. /user Вывод списка всех пользователей, для которых определена политика аудита по пользователям. При использовании с параметром /v также отображается SID пользователя. /category Отображение распознанных системой имен категорий. Если используется с параметром /v, также отображается GUID. /subcategory Отображение распознанных системой имен подкатегорий для указанной категории. Если используется параметр /v, также отображаются GUID подкатегорий.%nПример: auditpol /list /user auditpol /list /category /v auditpol /list /subcategory:\"Detailed Tracking\",\"Object Access\" |
Usage: AuditPol /list [/user|/category|/subcategory[:||*] [/v] [/r]%nThis command lists audit policy categories, subcategories, or lists users forwhom per-user audit policy is defined.%nCommands /? Help (context-sensitive) /user Retrieves all users for whom per-user audit policy has been defined. If used with the /v option, the sid of the user is also displayed. /category Displays the names of categories understood by the system. If used with the /v option, the category GUID is also displayed. /subcategory Displays the names of subcategories understood by the system, for subcategories in a specified category. The subcategory GUIDs are also displayed if the /v option is used.%nExample: auditpol /list /user auditpol /list /category /v auditpol /list /subcategory:\"Detailed Tracking\",\"Object Access\" |
| 0x1005 | Использование: AuditPol /clear [/y]Удаление политики аудита по пользователям для всех пользователей, сбросполитики аудита системы для всех подкатегорий и отключение всех параметров аудита.%nПараметры /? Контекстная справка. /y Запрос на подтверждение очистки всех политик аудита не отображается.%nПример: auditpol /clear auditpol /clear /y |
Usage: AuditPol /clear [/y]This command deletes per-user audit policy for all users, resets systemaudit policy for all subcategories and sets all the auditing options to disabled.%nOptions /? Help (context-sensitive). /y Suppresses the prompt to confirm if all the audit policy should be cleared.%nExample: auditpol /clear auditpol /clear /y |
| 0x1006 | Использование: AuditPol /remove [/user[:|]] [/allusers]%nУдаление политики аудита по пользователям для заданной учетной записи.%nПараметры /? Контекстная справка. /user SID или имя пользователя, чью политику аудита по пользователям требуется удалить. /allusers Удаление политики аудита для всех пользователей.%nПример: auditpol /remove /user:{S-1-5-21-397123417-1234567} auditpol /remove /allusers |
Usage: AuditPol /remove [/user[:|]] [/allusers]%nThis command removes per-user audit policy for a specified account.%nOptions /? Help (context-sensitive). /user Specifies the SID or user name for the user for whom per-user audit policy is to be deleted /allusers Deletes per-user audit policy for all users.%nExample: auditpol /remove /user:{S-1-5-21-397123417-1234567} auditpol /remove /allusers |
| 0x1007 | Использование: AuditPol /backup /file:%nДанная команда используется для архивирования параметров политикиаудита системы, параметров политики аудита по пользователямдля всех пользователей, а также всех параметров аудита.Выходные данные будут записаны в формате CSV.%nПараметры /? Контекстная справка. /file Файл архивной копии политики аудита%nПример: auditpol /backup /file:c:\\auditpolicy.csv |
Usage: AuditPol /backup /file:%nThis command backs up system audit policy settings and per-user audit policysettings for all users and all auditing options into a file. The backup willbe written to a CSV-formatted text file.%nOptions /? Help (context-sensitive). /file Specifies the name of the file to which the audit policy will be backed-up.%nExample: auditpol /backup /file:c:\\auditpolicy.csv |
| 0x1008 | Использование: AuditPol /restore /file:%nДанная команда используется для восстановления параметровполитики аудита системы, параметров политики аудита попользователям для всех пользователей, а также всех параметроваудита из архивного файла, созданного с помощью параметра /backup.%nПараметры /? Контекстная справка. /file Файл, из которого считывается политика аудита. Файл должен быть создан с помощью параметра /backup или быть синтаксически согласованным с форматом такого файла.%nПример: auditpol /restore /file:c:\\auditpolicy.csv |
Usage: AuditPol /restore /file:%nThis command restores system audit policy settings, per-user audit policysettings for all users and all auditing options from a file created with the/backup command.%nOptions /? Help (context-sensitive). /file Specifies the file where the audit policy should be read from. The file must have been created by the /backup option or must be syntactically consistent with that file format.%nExample: auditpol /restore /file:c:\\auditpolicy.csv |
| 0x1009 | Использование: AuditPol /resourceSACL [/set /type: [/success] [/failure] /user: [/access:] [/condition:]] [/remove /type: /user: [/type:]] [/clear [/type:]] [/view [/user:] [/type:]]%nЭта команда настраивает параметры аудита доступа к глобальным объектам.Необходимо включить соответствующую подкатегорию доступа к объектамдля событий, вызываемых системой. Для получения дополнительных сведений введите команду \"auditpol /set /?\".%nКоманды /? Выводит справку по команде. /set Добавляет новую или обновляет существующую запись в системном списке управления доступом для указанного типа ресурса. /remove Удаляет все записи для данного пользователя из списка аудита доступа к глобальным объектам, указанного типом ресурса. /clear Удаляет все записи из списка аудита доступа к глобальным объектам для указанного типа ресурса. /view Отображает список записей аудита доступа к глобальным объектам для указанного типа ресурса и пользователя. Пользователя указывать не обязательно.%nАргументы%n/type Ресурс, для которого выполняется настройка аудита доступа к объектам. Поддерживаемые значения аргумента: File и Key (с учетом регистра). File — каталоги и файлы. Key — разделы реестра./success Задает аудит успехов./failure Задает аудит отказов./user Задает пользователя в одной из следующих форм: — имя_домена\\учетная_запись (например, DOM\\Administrators) — автономный_сервер\\группа — учетная запись (см. API-интерфейс LookupAccountName) — {S-1-x-x-x-x}. Здесь x имеет десятичный формат, а весь ИД безопасности должен быть заключен в фигурные скобки. Например: {S-1-5-21-5624481-130208933-164394174-1001} Предупреждение. Если используется ИД безопасности, проверка существования учетной записи не выполняется./access Маска разрешения в одной из двух форм: — Последовательность простых прав: права универсального доступа: GA - полный универсальный доступ GR - универсальный доступ на чтение GW - универсальный доступ на запись GX - универсальный доступ на выполнение Права доступа к файлам: FA - полный доступ к файлу FR - доступ к файлу на чтение FW - доступ к файлу на запись FX - доступ к файлу на выполнение Права доступа к разделам реестра: KA - полный доступ к разделу KR - доступ к разделу на чтение KW - доступ к разделу на запись KX - доступ к разделу на выполнение Пример: \"/access:FRFW\" — включение событий аудита для операция чтения и записи. — Шестнадцатеричное значение, представляющее маску доступа (например, 0x1200a9). Это полезно при использовании битовых масок ресурсов, не входящих в стандарт SDDL. Если значение не задано, используется полный доступ./condition Добавление выражения на основе атрибутов, такого как: документ имеет конфиденциальность HBI (\"Высокая\") \"(@Resource.Sensitivity == \\\"Высокая\\\")\"%nПримеры:%n auditpol /resourceSACL /set /type:Key /user:MYDOMAIN\\myuser /success auditpol /resourceSACL /set /type:File /user:MYDOMAIN\\myuser /success /failure /access:FRFW auditpol /resourceSACL /set /type:File /user:everyone /success /failure /access:FRFW /condition:\"(@Resource.Sensitivity == \\\"Высокая\\\")\" auditpol /resourceSACL /type:File /clear auditpol /resourceSACL /remove /type:File /user:{S-1-5-21-56248481-1302087933-1644394174-1001} auditpol /resourceSACL /type:File /view auditpol /resourceSACL /type:File /view /user:MYDOMAIN\\myuser |
Usage: AuditPol /resourceSACL [/set /type: [/success] [/failure] /user: [/access:] [/condition:]] [/remove /type: /user: [/type:]] [/clear [/type:]] [/view [/user:] [/type:]]%nThis command configures settings for global object access auditing. Thecorresponding object access subcategory needs to be enabled for the eventsto be generated by the system. Type auditpol /set /? for more information.%nCommands /? Displays Help for the command. /set Adds a new entry to or updates an existing entry in the resource system access control list for the resource type specified. /remove Removes all entries for the given user from the global object access auditing list specified by the resource type. /clear Removes all entries from the global object access auditing list for the specified resource type. /view Lists the global object access auditing entries for the specified resource type and user. Specifying a user is optional.%nArguments%n/type The resource for which object access auditing is being configured. The supported argument values are File and Key. Note that these values are case sensitive. File: Directories and files. Key: Registry keys./success Specifies success auditing./failure Specifies failure auditing./user Specifies a user in one of the following forms: - DomainName\\Account (such as DOM\\Administrators) - StandaloneServer\\Group - Account (see LookupAccountName API) - {S-1-x-x-x-x}. x is expressed in decimal, and the entire SID must be enclosed in curly braces. For example: {S-1-5-21-5624481-130208933-164394174-1001} Warning: If SID form is used, no check is done to verify the existence of this account./access Specifies a permission mask that can be specified in one of two forms: - A sequence of simple rights: Generic access rights: GA - GENERIC ALL GR - GENERIC READ GW - GENERIC WRITE GX - GENERIC EXECUTE Access rights for files: FA - FILE ALL ACCESS FR - FILE GENERIC READ FW - FILE GENERIC WRITE FX - FILE GENERIC EXECUTE Access rights for registry keys: KA - KEY ALL ACCESS KR - KEY READ KW - KEY WRITE KX - KEY EXECUTE For example: '/access:FRFW' will enable audit events for read and write operations. - A hex value representing the access mask (such as 0x1200a9). This is useful when using resource-specific bit masks that are not part of the SDDL standard. If omitted, Full access is used./condition Appends an attribute based expression like the following: Document sensitivity is HBI (\"High\") \"(@Resource.Sensitivity == \\\"High\\\")\"%nExamples:%n auditpol /resourceSACL /set /type:Key /user:MYDOMAIN\\myuser /success auditpol /resourceSACL /set /type:File /user:MYDOMAIN\\myuser /success /failure /access:FRFW auditpol /resourceSACL /set /type:File /user:everyone /success /failure /access:FRFW /condition:\"(@Resource.Sensitivity == \\\"High\\\")\" auditpol /resourceSACL /type:File /clear auditpol /resourceSACL /remove /type:File /user:{S-1-5-21-56248481-1302087933-1644394174-1001} auditpol /resourceSACL /type:File /view auditpol /resourceSACL /type:File /view /user:MYDOMAIN\\myuser |
| 0x100A | Политика аудита определена для следующих учетных записей пользователей:%n |
Audit policy is defined for the following user accounts:%n |
| 0x100B | Учетная запись пользователя%n |
User Account%n |
| 0x100C | ИД безопасности |
SID |
| 0x100D | Политика аудита для данной учетной записи пользователя не определена.%n |
No audit policy is defined for the user account.%n |
| 0x100E | Команда выполнена успешно.%n |
The command was successfully executed.%n |
| 0x100F | Дескриптор безопасности политики аудита: %%s%n |
Audit Policy Security Descriptor: %%s%n |
| 0x1010 | В настоящий момент нет глобального системного списка управления доступом для ресурса этого типа.%n |
Currently, there is no global SACL for this resource type.%n |
| 0x1011 | Запись: %%luТип ресурса: %%sПользователь: %%sФлаги: %%sУсловие: %%sСлучаи доступа: |
Entry: %%luResource Type: %%sUser: %%sFlags: %%sCondition: %%sAccesses: |
| 0x1012 | [Ошибка при преобразовании ИД безопасности учетной записи] |
[Error converting account SID] |
| 0x1013 | Нет |
None |
| 0x1014 | Успешно |
Success |
| 0x1015 | Сбой |
Failure |
| 0x1016 | Успешно и сбой |
Success and failure |
| 0x1017 | Ошибка 0x%%08X произошла:%n%%s%n |
Error 0x%%08X occurred:%n%%s%n |