auditpolmsg.dll.mui Сообщения оснастки MMC политики аудита 30d50421ef9dc9434b87f35a20c6e5b9

  1. File Info
  2. MUI

File info

File name: auditpolmsg.dll.mui
Size: 103424 byte
MD5: 30d50421ef9dc9434b87f35a20c6e5b9
SHA1: cfb8d02ad6659957fa9651c596c7c8ac5c22c4d5
SHA256: 5e9ffce16ccbeb4a441e358b252207991398289f7b36e2c2e0aedfd8ba765afa
Operating systems: Windows 10
Extension: MUI

Translations messages and strings

If an error occurred or the following message in Russian language and you cannot find a solution, than check answer in English. Table below helps to know how correctly this phrase sounds in English.

id Russian English
1Успех Success
2Отказ Failure
3Успех и отказ Success and Failure
4Нет аудита No Auditing
5Не настроено Not Configured
99Политики аудита Audit Policies
100Политики аудита системы System Audit Policies
101Управление учетными записями Account Management
102Аудит управления учетными записями пользователей Audit User Account Management
103Аудит управления учетными записями компьютеров Audit Computer Account Management
104Аудит управления группами безопасности Audit Security Group Management
105Аудит управления группами распространения Audit Distribution Group Management
106Аудит управления группами приложений Audit Application Group Management
107Аудит других событий управления учетными записями Audit Other Account Management Events
121Вход/выход Logon/Logoff
122Аудит входа в систему Audit Logon
123Аудит выхода из системы Audit Logoff
124Аудит блокировки учетных записей Audit Account Lockout
125Аудит основного режима IPsec Audit IPsec Main Mode
126Аудит быстрого режима IPsec Audit IPsec Quick Mode
127Аудит расширенного режима IPsec Audit IPsec Extended Mode
128Аудит специального входа Audit Special Logon
129Аудит других событий входа и выхода Audit Other Logon/Logoff Events
130Аудит сервера политики сети Audit Network Policy Server
131Аудит заявок пользователей или устройств на доступ Audit User / Device Claims
132Членство в группе аудита Audit Group Membership
151Изменение политики Policy Change
152Аудит изменения политики аудита Audit Audit Policy Change
153Аудит изменения политики проверки подлинности Audit Authentication Policy Change
154Аудит изменения политики авторизации Audit Authorization Policy Change
155Аудит изменения политики на уровне правил MPSSVC Audit MPSSVC Rule-Level Policy Change
156Аудит изменения политики платформы фильтрации Audit Filtering Platform Policy Change
157Аудит других событий изменения политики Audit Other Policy Change Events
181Использование привилегий Privilege Use
182Аудит использования привилегий, затрагивающих конфиденциальные данные Audit Sensitive Privilege Use
183Аудит использования привилегий, не затрагивающих конфиденциальные данные Audit Non Sensitive Privilege Use
184Аудит других событий использования привилегий Audit Other Privilege Use Events
201Подробное отслеживание Detailed Tracking
202Аудит создания процессов Audit Process Creation
203Аудит завершения процессов Audit Process Termination
204Аудит активности DPAPI Audit DPAPI Activity
205Аудит событий RPC Audit RPC Events
206PNP-действие аудита Audit PNP Activity
207Проверка изменений прав маркера Audit Token Right Adjusted
231Система System
232Аудит изменения состояния безопасности Audit Security State Change
233Аудит расширения системы безопасности Audit Security System Extension
234Аудит целостности системы Audit System Integrity
235Аудит драйвера IPsec Audit IPsec Driver
236Аудит других системных событий Audit Other System Events
261Доступ к объектам Object Access
262Аудит файловой системы Audit File System
263Аудит реестра Audit Registry
264Аудит объектов ядра Audit Kernel Object
265Аудит диспетчера учетных записей безопасности Audit SAM
266Аудит служб сертификации Audit Certification Services
267Аудит событий, создаваемых приложениями Audit Application Generated
268Аудит работы с дескрипторами Audit Handle Manipulation
269Аудит общего файлового ресурса Audit File Share
270Аудит отбрасывания пакетов платформой фильтрации Audit Filtering Platform Packet Drop
271Аудит подключения платформы фильтрации Audit Filtering Platform Connection
272Аудит других событий доступа к объектам Audit Other Object Access Events
273Аудит сведений об общем файловом ресурсе Audit Detailed File Share
274Аудит съемного носителя Audit Removable Storage
275Аудит сверки с централизованной политикой доступа Audit Central Access Policy Staging
291Доступ к службе каталогов (DS) DS Access
292Аудит доступа к службе каталогов Audit Directory Service Access
293Аудит изменения службы каталогов Audit Directory Service Changes
294Аудит репликации службы каталогов Audit Directory Service Replication
295Аудит подробной репликации службы каталогов Audit Detailed Directory Service Replication
321Вход учетной записи Account Logon
322Аудит проверки учетных данных Audit Credential Validation
323Аудит операций с билетами службы Kerberos Audit Kerberos Service Ticket Operations
324Аудит других событий входа учетных записей Audit Other Account Logon Events
325Аудит службы проверки подлинности Kerberos Audit Kerberos Authentication Service
400Конфигурация расширенной политики аудита Advanced Audit Policy Configuration
500Конфигурация расширенного аудита Advanced Audit Configuration
501Microsoft Corporation Microsoft Corporation
502Настройка политик детального аудита для Windows. Configure granular audit policies for Windows.
5031.0 1.0
602Управление учетными записями пользователей

Этот параметр политики позволяет вести аудит изменений, вносимых в учетные записи пользователей. Отслеживаются следующие события:
Создание, изменение, удаление, переименование, отключение, включение, блокировка и снятие блокировки учетных записей.
Установка или изменение пароля учетной записи пользователя.
Добавление идентификатора безопасности (SID) к журналу SID учетной записи пользователя.
Установка пароля для режима восстановления служб каталогов.
Изменение разрешений для учетных записей администраторов.
Архивация или восстановление учетных данных диспетчера учетных данных.

Если этот параметр политики настроен, при попытке изменения учетной записи пользователя возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях. Если этот параметр политики не настроен, при изменении учетной записи пользователя никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: успех.		 User Account Management

This policy setting allows you to audit changes to user accounts. Events include the following:
A user account is created, changed, deleted; renamed, disabled, enabled, locked out, or unlocked.
A user account’s password is set or changed.
A security identifier (SID) is added to the SID History of a user account.
The Directory Services Restore Mode password is configured.
Permissions on administrative user accounts are changed.
Credential Manager credentials are backed up or restored.

If you configure this policy setting, an audit event is generated when an attempt to change a user account is made. Success audits record successful attempts and Failure audits record unsuccessful attempts. If you do not configure this policy setting, no audit event is generated when a user account changes.

Volume: Low.

Default: Success.
603Управление учетными записями компьютеров

Этот параметр политики позволяет вести аудит событий, возникающих при изменении учетных записей компьютеров, например, при их создании, изменении или удалении.

Если этот параметр политики настроен, при попытке изменения учетной записи компьютера возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении учетной записи компьютера никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию в клиентских выпусках: нет аудита.

По умолчанию в серверных выпусках: успех.		 Computer Account Management

This policy setting allows you to audit events generated by changes to computer accounts such as when a computer account is created, changed, or deleted.

If you configure this policy setting, an audit event is generated when an attempt to change a computer account is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a computer account changes.

Volume: Low.

Default on Client editions: No Auditing.

Default on Server editions: Success.
604Управление группами безопасности

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении следующих изменений групп безопасности:
Создание, изменение или удаление группы безопасности.
Добавление участника в группу безопасности или удаление из нее.
Изменение типа группы.

Если этот параметр политики настроен, при попытке изменения группы безопасности возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении группы безопасности никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: успех.		 Security Group Management

This policy setting allows you to audit events generated by changes to security groups such as the following:
Security group is created, changed, or deleted.
Member is added or removed from a security group.
Group type is changed.

If you configure this policy setting, an audit event is generated when an attempt to change a security group is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a security group changes.

Volume: Low.

Default: Success.
605Управление группами распространения

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении следующих изменений групп распространения:
Создание, изменение или удаление группы распространения.
Добавление участника в группу распространения или удаление из нее.
Изменение типа группы распространения.

Если этот параметр политики настроен, при попытке изменения группы распространения возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении группы распространения никакие события аудита не возникают.

Примечание. События этой подкатегории регистрируются только на контроллерах домена.

Частота появления: низкая.

По умолчанию: нет аудита.		 Distribution Group Management

This policy setting allows you to audit events generated by changes to distribution groups such as the following:
Distribution group is created, changed, or deleted.
Member is added or removed from a distribution group.
Distribution group type is changed.

If you configure this policy setting, an audit event is generated when an attempt to change a distribution group is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a distribution group changes.

Note: Events in this subcategory are logged only on domain controllers.

Volume: Low.

Default: No Auditing.
606Управление группами приложений

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении следующих изменений групп приложений:
Создание, изменение или удаление группы приложений.
Добавление или удаление члена в группе приложений.

Если этот параметр политики настроен, при попытке изменения группы приложений возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении группы приложений никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: нет аудита.		 Application Group Management

This policy setting allows you to audit events generated by changes to application groups such as the following:
Application group is created, changed, or deleted.
Member is added or removed from an application group.

If you configure this policy setting, an audit event is generated when an attempt to change an application group is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when an application group changes.

Volume: Low.

Default: No Auditing.
607Другие события управления учетными записями

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении других изменений учетных записей пользователя, не указанных в этой категории:
Обращение к хэшу пароля для учетной записи пользователя. Эта операция обычно выполняется при миграции паролей с использованием средства управления Active Directory.
Вызов API проверки политики паролей. Вызов этой функции может выполняться при атаках в тех случаях, когда вредоносное приложение проверяет политику, чтобы уменьшить число попыток во время словарной атаки.
Изменения групповой политики домена по умолчанию по следующим путям групповой политики:
Конфигурация компьютера\Параметры Windows\Параметры безопасности\Политики учетных записей\Политики паролей
Конфигурация компьютера\Параметры Windows\Параметры безопасности\Параметры учетных записей\Политика блокировки учетных записей

Примечание. Событие аудита безопасности регистрируется в случае применения параметра политики. Во время изменения параметров события не регистрируются.

Частота появления: низкая.

По умолчанию: нет аудита.		 Other Account Management Events

This policy setting allows you to audit events generated by other user account changes that are not covered in this category, such as the following:
The password hash of a user account was accessed. This typically happens during an Active Directory Management Tool password migration.
The Password Policy Checking API was called. Calls to this function can be part of an attack when a malicious application tests the policy to reduce the number of attempts during a password dictionary attack.
Changes to the Default Domain Group Policy under the following Group Policy paths:
Computer Configuration\Windows Settings\Security Settings\Account Policies\Password Policy
Computer Configuration\Windows Settings\Security Settings\Account Policies\Account Lockout Policy

Note: The security audit event is logged when the policy setting is applied. It does not occur at the time when the settings are modified.

Volume: Low.

Default: No Auditing.
622Аудит входа

Этот параметр политики позволяет вести аудит событий, возникающих при попытке входа в систему с использованием учетной записи пользователя.
События этой подкатегории связаны с созданием сеансов входа в систему и возникают на компьютере, к которому осуществляется доступ. При интерактивном входе в систему событие аудита безопасности возникает на компьютере, на котором выполнен вход с использованием учетной записи. При входе в сеть, например при обращении к общей папке в сети, событие аудита безопасности возникает на компьютере, на котором размещается ресурс. Отслеживаются следующие события:
Успешные попытки входа в систему.
Неудачные попытки входа в систему.
Попытки входа в систему с использованием явно указанных учетных данных. Это событие возникает при попытке входа процесса в учетную запись с явным указанием соответствующих учетных данных. Обычно это событие возникает в конфигурациях пакетного входа в систему, например при выполнении запланированных задач или команд RUNAS.
Запрет на вход в систему в результате фильтрации идентификаторов безопасности (SID).

Частота появления: низкая на клиентских компьютерах, средняя на контроллере домена или на сетевом сервере.

По умолчанию в клиентских выпусках: успех.

По умолчанию в серверных выпусках: успех, отказ.		 Audit Logon

This policy setting allows you to audit events generated by user account logon attempts on the computer.
Events in this subcategory are related to the creation of logon sessions and occur on the computer which was accessed. For an interactive logon, the security audit event is generated on the computer that the user account logged on to. For a network logon, such as accessing a shared folder on the network, the security audit event is generated on the computer hosting the resource. The following events are included:
Successful logon attempts.
Failed logon attempts.
Logon attempts using explicit credentials. This event is generated when a process attempts to log on an account by explicitly specifying that account’s credentials. This most commonly occurs in batch logon configurations, such as scheduled tasks or when using the RUNAS command.
Security identifiers (SIDs) were filtered and not allowed to log on.

Volume: Low on a client computer. Medium on a domain controller or a network server

Default on Client editions: Success.

Default on Server editions: Success, Failure.
623Выход из системы

Этот параметр политики позволяет вести аудит событий, возникающих при закрытии сеанса входа в систему. Эти события возникают на компьютере, к которому осуществлялся доступ. При интерактивном выходе из системы событие аудита безопасности возникает на компьютере, на который выполнен вход с использованием учетной записи пользователя.

Если этот параметр политики настроен, событие аудита возникает при закрытии сеанса входа в систему. Успешные и неудачные попытки закрытия сеансов регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при закрытии сеанса входа в систему никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: успех.		 Logoff

This policy setting allows you to audit events generated by the closing of a logon session. These events occur on the computer that was accessed. For an interactive logoff the security audit event is generated on the computer that the user account logged on to.

If you configure this policy setting, an audit event is generated when a logon session is closed. Success audits record successful attempts to close sessions and Failure audits record unsuccessful attempts to close sessions.
If you do not configure this policy setting, no audit event is generated when a logon session is closed.

Volume: Low.

Default: Success.
624Блокировка учетных записей

Этот параметр политики позволяет выполнять аудит событий, созданных при неудачной попытке входа в блокированную учетную запись.

Если этот параметр политики настроен, то в случае, когда вход в компьютер с учетной записью невозможен из-за блокировки этой учетной записи, создается событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.

События входа в систему важны для понимания действий пользователя и обнаружения возможных атак.

Частота появления: низкая.

По умолчанию: успех.		 Account Lockout

This policy setting allows you to audit events generated by a failed attempt to log on to an account that is locked out.

If you configure this policy setting, an audit event is generated when an account cannot log on to a computer because the account is locked out. Success audits record successful attempts and Failure audits record unsuccessful attempts.

Logon events are essential for understanding user activity and to detect potential attacks.

Volume: Low.

Default: Success.
625Основной режим IPsec

Этот параметр политики позволяет вести аудит событий, вызываемых протоколом IKE и протоколом IP с проверкой подлинности в процессе согласования основного режима.

Если этот параметр политики настроен, в процессе согласования основного режима IPsec возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, в процессе согласования основного режима IPsec никакие события аудита не возникают.

Частота появления: высокая.

По умолчанию: нет аудита.		 IPsec Main Mode

This policy setting allows you to audit events generated by Internet Key Exchange protocol (IKE) and Authenticated Internet Protocol (AuthIP) during Main Mode negotiations.

If you configure this policy setting, an audit event is generated during an IPsec Main Mode negotiation. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated during an IPsec Main Mode negotiation.

Volume: High.

Default: No Auditing.
626Быстрый режим IPsec

Этот параметр политики позволяет вести аудит событий, вызываемых протоколом IKE и протоколом IP с проверкой подлинности в процессе согласования быстрого режима.

Если этот параметр политики настроен, в процессе согласования быстрого режима IPsec возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, в процессе согласования быстрого режима IPsec никакие события аудита не возникают.

Частота появления: высокая.

По умолчанию: нет аудита.		 IPsec Quick Mode

This policy setting allows you to audit events generated by Internet Key Exchange protocol (IKE) and Authenticated Internet Protocol (AuthIP) during Quick Mode negotiations.

If you configure this policy setting, an audit event is generated during an IPsec Quick Mode negotiation. Success audits record successful attempts and Failure audits record unsuccessful attempts.If
you do not configure this policy setting, no audit event is generated during an IPsec Quick Mode negotiation.

Volume: High.

Default: No Auditing.
627Расширенный режим IPsec

Этот параметр политики позволяет вести аудит событий, вызываемых протоколом IKE и протоколом IP с проверкой подлинности в процессе согласования расширенного режима.

Если этот параметр политики настроен, в процессе согласования расширенного режима IPsec возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, в процессе согласования расширенного режима IPsec никакие события аудита не возникают.

Частота появления: высокая.

По умолчанию: нет аудита.		 IPsec Extended Mode

This policy setting allows you to audit events generated by Internet Key Exchange protocol (IKE) and Authenticated Internet Protocol (AuthIP) during Extended Mode negotiations.

If you configure this policy setting, an audit event is generated during an IPsec Extended Mode negotiation. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated during an IPsec Extended Mode negotiation.

Volume: High.

Default: No Auditing.
628Специальный вход

Этот параметр политики обеспечивает аудит событий, возникающих при выполнении операций специального входа, как указано ниже.
Специальный вход, позволяющий войти в систему с правами, аналогичными правам администратора, и повысить уровень процесса.
Вход в систему участника специальной группы. Использование специальных групп позволяет выполнять аудит событий, которые возникают при входе в сеть участника конкретной группы. В реестре можно настроить список идентификаторов безопасности (SID) группы. Событие регистрируется, если во время входа к токену добавляется один из заданных идентификаторов SID и включена данная подкатегория. Дополнительные сведения об этой функции см. в статье 947223 в базе знаний Майкрософт (https://go.microsoft.com/fwlink/?LinkId=121697).

Частота появления: низкая.

По умолчанию: успешные попытки.		 Special Logon

This policy setting allows you to audit events generated by special logons such as the following :
The use of a special logon, which is a logon that has administrator-equivalent privileges and can be used to elevate a process to a higher level.
A logon by a member of a Special Group. Special Groups enable you to audit events generated when a member of a certain group has logged on to your network. You can configure a list of group security identifiers (SIDs) in the registry. If any of those SIDs are added to a token during logon and the subcategory is enabled, an event is logged. For more information about this feature, see article 947223 in the Microsoft Knowledge Base (https://go.microsoft.com/fwlink/?LinkId=121697).

Volume: Low.

Default: Success.
629Другие события входа и выхода

Этот параметр политики позволяет вести аудит других событий входа и выхода, которые не регулируются параметром политики "Вход/выход", например:
Завершение сеансов служб терминалов.
Создание новых сеансов служб терминалов.
Блокировка и отмена блокировки рабочей станции.
Вызов заставки.
Отключение заставки.
Обнаружение атаки Kerberos с повторением пакетов, при которой дважды отправляется запрос Kerberos с одинаковыми данными. Это состояние может быть связано с неправильными настройками сети.
Предоставление доступа к беспроводной сети учетной записи пользователя или компьютера.
Предоставление доступа к проводной сети 802.1x учетной записи пользователя или компьютера.

Частота появления: низкая.

По умолчанию: нет аудита.		 Other Logon/Logoff Events

This policy setting allows you to audit other logon/logoff-related events that are not covered in the “Logon/Logoff” policy setting such as the following:
Terminal Services session disconnections.
New Terminal Services sessions.
Locking and unlocking a workstation.
Invoking a screen saver.
Dismissal of a screen saver.
Detection of a Kerberos replay attack, in which a Kerberos request was received twice with identical information. This condition could be caused by network misconfiguration.
Access to a wireless network granted to a user or computer account.
Access to a wired 802.1x network granted to a user or computer account.

Volume: Low.

Default: No Auditing.
630Сервер политики сети

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении запросов на доступ пользователей по протоколам RADIUS (IAS) и защиты доступа к сети (NAP). Отслеживаются запросы на предоставление, отказ, отзыв, помещение в карантин, блокировку и разблокировку.
Если этот параметр политики настроен, событие аудита возникает для каждого запроса на доступ пользователей по протоколу IAS или NAP. Успешные и неудачные запросы на доступ пользователей регистрируются в соответствующих записях.
Если этот параметр политики не настроен, аудит запросов на доступ пользователей по протоколам IAS и NAP не осуществляется.

Частота появления: средняя или высокая на серверах политики сети и IAS-серверах. На других компьютерах отсутствуют.

По умолчанию: успех, отказ.		 Network Policy Server

This policy setting allows you to audit events generated by RADIUS (IAS) and Network Access Protection (NAP) user access requests. These requests can be Grant, Deny, Discard, Quarantine, Lock, and Unlock.
If you configure this policy setting, an audit event is generated for each IAS and NAP user access request. Success audits record successful user access requests and Failure audits record unsuccessful attempts.
If you do not configure this policy settings, IAS and NAP user access requests are not audited.

Volume: Medium or High on NPS and IAS server. No volume on other computers.

Default: Success, Failure.
631Заявки пользователей или устройств на доступ

Эта политика позволяет вести аудит содержащихся в токене входа пользователя сведений о заявках пользователей или устройств на доступ. События в этой подкатегории создаются на компьютере, на котором создается сеанс входа в систему. Для интерактивного входа событие аудита безопасности создается на компьютере, на котором выполнен вход пользователя. Для входа в сеть, такого как доступ к общей папке в сети, событие аудита безопасности создается на компьютере, на котором размещен данный ресурс.

Заявки пользователя добавляются в токен входа, когда они включены в атрибуты учетной записи пользователя в Active Directory. Заявки устройства добавляются в токен входа, когда они включены в атрибуты учетной записи компьютера устройства в Active Directory. Кроме того, должно быть включено составное удостоверение для домена и на компьютере, на котором выполнен вход пользователя.

Когда этот параметр настроен, одно или несколько событий аудита безопасности создаются для каждого успешного входа. Вы также должны включить параметр "Аудит входа в систему" в разделе "Конфигурация расширенной политики аудита\Политики аудита системы\Вход/выход". Несколько событий создается, если сведения заявки пользователя и устройства не помещаются в одно событие аудита безопасности.

Частота появления: низкая на клиентских компьютерах, средняя на контроллерах домена или серверах сети.

По умолчанию: нет аудита.		 User / Device Claims

This policy allows you to audit user and device claims information in the user's logon token. Events in this subcategory are generated on the computer on which a logon session is created. For an interactive logon, the security audit event is generated on the computer that the user logged on to. For a network logon, such as accessing a shared folder on the network, the security audit event is generated on the computer hosting the resource.

User claims are added to a logon token when claims are included with a user's account attributes in Active Directory. Device claims are added to the logon token when claims are included with a device's computer account attributes in Active Directory. In addition, compound identity must be enabled for the domain and on the computer where the user logged on.

When this setting is configured, one or more security audit events are generated for each successful logon. You must also enable the Audit Logon setting under Advanced Audit Policy Configuration\System Audit Policies\Logon/Logoff. Multiple events are generated if the user and device claims information cannot fit in a single security audit event.

Volume: Low on a client computer. Medium on a domain controller or a network server

Default: No Auditing.
632Членство в группе

Эта политика позволяет проводить аудит сведений о членстве в группе в маркерах входа пользователей. События в этой подкатегории генерируются на том компьютере, где создается сеанс входа. Для интерактивного входа на компьютере, в систему которого входит пользователь, создается событие аудита безопасности. Для сетевого входа, например для доступа к общей папке в сети, событие аудита безопасности создается на том компьютере, где размещен ресурс.

Если настроен этот параметр, для каждого успешного входа генерируется одно или несколько событий аудита безопасности. Кроме того, необходимо включить параметр "Аудит входа в систему" в разделе "Конфигурация расширенной политики аудита\Политики аудита системы\Вход/Выход". Несколько событий генерируются, если сведения о членстве в группе не соответствуют одному событию аудита безопасности.

Частота появления: низкая на клиентских компьютерах, средняя на контроллере домена или на сетевом сервере.

По умолчанию: без аудита.		 Group Membership

This policy allows you to audit the group memberhsip information in the user's logon token. Events in this subcategory are generated on the computer on which a logon session is created. For an interactive logon, the security audit event is generated on the computer that the user logged on to. For a network logon, such as accessing a shared folder on the network, the security audit event is generated on the computer hosting the resource.

When this setting is configured, one or more security audit events are generated for each successful logon. You must also enable the Audit Logon setting under Advanced Audit Policy Configuration\System Audit Policies\Logon/Logoff. Multiple events are generated if the group memberhsip information cannot fit in a single security audit event.

Volume: Low on a client computer. Medium on a domain controller or a network server

Default: No Auditing.
652Изменение политики аудита

Этот параметр политики позволяет вести аудит изменений параметров политики аудита безопасности, таких как следующие:
Установка разрешений и параметров аудита для объекта политики аудита.
Изменения в политике аудита системы.
Регистрация источников событий безопасности.
Отмена регистрации источников событий безопасности.
Изменения параметров аудита для отдельных пользователей.
Изменения значения параметра CrashOnAuditFail.
Изменения системного списка управления доступом для объекта файловой системы или реестра.
Изменения списка специальных групп.

Примечание. Аудит изменений в системном списке управления доступом (SACL) выполняется при изменении списка SACL для объекта, если при этом включена категория изменений политики. Аудит изменений в списке управления доступом на уровне пользователей (DACL) и изменений владения осуществляется в том случае, если включен аудит доступа к объектам и для списка SACL объекта настроен аудит изменений списка DACL или владения.

Если этот параметр политики настроен, событие аудита возникает при попытке установления удаленного подключения RPC. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при попытке установления удаленного подключения RPC никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: успех.		 Audit Policy Change

This policy setting allows you to audit changes in the security audit policy settings such as the following:
Settings permissions and audit settings on the Audit Policy object.
Changes to the system audit policy.
Registration of security event sources.
De-registration of security event sources.
Changes to the per-user audit settings.
Changes to the value of CrashOnAuditFail.
Changes to the system access control list on a file system or registry object.
Changes to the Special Groups list.

Note: System access control list (SACL) change auditing is done when a SACL for an object changes and the policy change category is enabled. Discretionary access control list (DACL) and ownership changes are audited when object access auditing is enabled and the object's SACL is configured for auditing of DACL/Owner change.

If you configure this policy setting, an audit event is generated when a remote RPC connection is attempted. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a remote RPC connection is attempted.

Volume: Low.

Default: Success.
653Изменение политики проверки подлинности

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении изменений групп безопасности, таких как следующие:
Создание отношений доверия для леса или домена.
Изменение отношений доверия для леса или домена.
Удаление отношений доверия для леса или домена.
Изменения политики Kerberos по следующему пути: Конфигурация компьютера\Параметры Windows\Параметры безопасности\Политики учетных записей\Политика Kerberos.
Предоставление пользователю или группе следующих прав:
Доступ к компьютеру из сети.
Локальный вход.
Вход с использованием служб терминалов.
Вход с использованием пакетного задания.
Вход в службу.
Конфликт пространств имен (например, если имя нового отношения доверия совпадает с именем существующего пространства имен).

Если этот параметр настроен, при попытке изменения политики проверки подлинности возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении политики проверки подлинности никакие события аудита не возникают.

Примечание. Событие аудита безопасности регистрируется в случае применения параметра политики. Во время изменения параметров события не регистрируются.

Частота появления: низкая.

По умолчанию: успех.		 Authentication Policy Change

This policy setting allows you to audit events generated by changes to the authentication policy such as the following:
Creation of forest and domain trusts.
Modification of forest and domain trusts.
Removal of forest and domain trusts.
Changes to Kerberos policy under Computer Configuration\Windows Settings\Security Settings\Account Policies\Kerberos Policy.
Granting of any of the following user rights to a user or group:
Access This Computer From the Network.
Allow Logon Locally.
Allow Logon Through Terminal Services.
Logon as a Batch Job.
Logon a Service.
Namespace collision. For example, when a new trust has the same name as an existing namespace name.

If you configure this policy setting, an audit event is generated when an attempt to change the authentication policy is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when the authentication policy is changed.

Note: The security audit event is logged when the group policy is applied. It does not occur at the time when the settings are modified.

Volume: Low.

Default: Success.
654Изменение политики авторизации

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении изменений политики авторизации, таких как следующие:
Назначение прав (привилегий) пользователей, например, SeCreateTokenPrivilege, которые не проходят аудит в подкатегории "Изменение политики проверки подлинности".
Удаление прав (привилегий) пользователей, например, SeCreateTokenPrivilege, которые не проходят аудит в подкатегории "Изменение политики проверки подлинности".
Изменения политики шифрованной файловой системы (EFS).
Изменения атрибутов ресурса объекта.
Изменения централизованной политики доступа (CAP), примененной к объекту.

Если этот параметр политики настроен, событие аудита возникает при попытке изменения политики авторизации. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении политики авторизации никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: нет аудита.		 Authorization Policy Change

This policy setting allows you to audit events generated by changes to the authorization policy such as the following:
Assignment of user rights (privileges), such as SeCreateTokenPrivilege, that are not audited through the “Authentication Policy Change” subcategory.
Removal of user rights (privileges), such as SeCreateTokenPrivilege, that are not audited through the “Authentication Policy Change” subcategory.
Changes in the Encrypted File System (EFS) policy.
Changes to the Resource attributes of an object.
Changes to the Central Access Policy (CAP) applied to an object.

If you configure this policy setting, an audit event is generated when an attempt to change the authorization policy is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when the authorization policy changes.

Volume: Low.

Default: No Auditing.
655Изменение политики на уровне правил MPSSVC

Этот параметр политики позволяет вести аудит событий, возникающих при изменении правил политики, используемых службой защиты Майкрософт (MPSSVC). Эта служба используется брандмауэром Windows. Отслеживаются следующие события:
Сообщения от активных политик при запуске службы брандмауэра Windows.
Изменения правил брандмауэра Windows.
Изменения в списке исключений брандмауэра Windows.
Изменения параметров брандмауэра Windows.
Пропуск или неприменение правил службой брандмауэра Windows.
Изменения параметров групповой политики брандмауэра Windows.

Если этот параметр политики настроен, при попытке изменения правил, используемых службой MPSSVC, возникает событие аудита. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении правил политики, используемых службой MPSSVC, никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: нет аудита.		 MPSSVC Rule-Level Policy Change

This policy setting allows you to audit events generated by changes in policy rules used by the Microsoft Protection Service (MPSSVC). This service is used by Windows Firewall. Events include the following:
Reporting of active policies when Windows Firewall service starts.
Changes to Windows Firewall rules.
Changes to Windows Firewall exception list.
Changes to Windows Firewall settings.
Rules ignored or not applied by Windows Firewall Service.
Changes to Windows Firewall Group Policy settings.

If you configure this policy setting, an audit event is generated by attempts to change policy rules used by the MPSSVC. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated by changes in policy rules used by the MPSSVC.

Volume: Low.

Default: No Auditing.
656Изменение политики платформы фильтрации

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении изменений платформы фильтрации Windows (WFP), таких как следующие:
Состояние служб IPsec.
Изменения параметров политики IPsec.
Изменения параметров политики брандмауэра Windows.
Изменения поставщиков и модуля WFP.

Если этот параметр политики настроен, событие аудита возникает при попытке изменений платформы WFP. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при изменении платформы WFP никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: нет аудита.		 Filtering Platform Policy Change

This policy setting allows you to audit events generated by changes to the Windows Filtering Platform (WFP) such as the following:
IPsec services status.
Changes to IPsec policy settings.
Changes to Windows Firewall policy settings.
Changes to WFP providers and engine.

If you configure this policy setting, an audit event is generated when a change to the WFP is attempted. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a change occurs to the WFP.

Volume: Low.

Default: No Auditing.
657Другие события изменения политики

Этот параметр политики позволяет проводить аудит событий, возникающих при внесении других изменений политики безопасности, не проходящих аудит в этой категории, таких как:
изменения конфигурации доверенного платформенного модуля (TPM);
самотестирование шифрования в режиме ядра;
операции поставщиков служб шифрования;
контекстные операции или изменения шифрования;
изменения применяемых центральных политик доступа;
изменения данных конфигурации загрузки.

Частота появления: низкая.

По умолчанию: без аудита.		 Other Policy Change Events

This policy setting allows you to audit events generated by other security policy changes that are not audited in the policy change category, such as the following:
Trusted Platform Module (TPM) configuration changes.
Kernel-mode cryptographic self tests.
Cryptographic provider operations.
Cryptographic context operations or modifications.
Applied Central Access Policies (CAPs) changes.
Boot Configuration Data (BCD) modifications.

Volume: Low.

Default: No Auditing.
682Использование прав, затрагивающее конфиденциальные данные

Этот параметр политики обеспечивает аудит событий, возникающих при использовании прав, затрагивающем конфиденциальные данные (пользовательских прав), следующим образом:
Вызов привилегированной службы.
Вызов одной из следующих привилегий:
Действие от имени компонента операционной системы.
Архивация файлов и каталогов.
Создание объекта-токена.
Отладка программ.
Включение учетных записей компьютеров и пользователей, которым разрешено делегирование.
Создание аудита безопасности.
Олицетворение клиента после проверки подлинности.
Загрузка и выгрузка драйверов устройств.
Управление журналом аудита и безопасности.
Изменение значения параметров аппаратной среды.
Замена токена на уровне процесса.
Восстановление файлов и каталогов.
Смена владельца файла или другого объекта.

Если этот параметр политики настроен, события аудита возникают при выполнении запросов с использованием прав, затрагивающим конфиденциальные данные. Успешные и неудачные запросы регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при выполнении запросов с использованием прав, затрагивающим конфиденциальные данные, никакие события аудита не возникают.

Частота появления: высокая.		 Sensitive Privilege Use

This policy setting allows you to audit events generated when sensitive privileges (user rights) are used such as the following:
A privileged service is called.
One of the following privileges are called:
Act as part of the operating system.
Back up files and directories.
Create a token object.
Debug programs.
Enable computer and user accounts to be trusted for delegation.
Generate security audits.
Impersonate a client after authentication.
Load and unload device drivers.
Manage auditing and security log.
Modify firmware environment values.
Replace a process-level token.
Restore files and directories.
Take ownership of files or other objects.

If you configure this policy setting, an audit event is generated when sensitive privilege requests are made. Success audits record successful requests and Failure audits record unsuccessful requests.
If you do not configure this policy setting, no audit event is generated when sensitive privilege requests are made.

Volume: High.
683Использование привилегий, не затрагивающих конфиденциальные данные

Этот параметр политики обеспечивает аудит событий, возникающих при использовании привилегий, не затрагивающих конфиденциальные данные (права пользователя).
Использование следующих привилегий не затрагивает конфиденциальные данные:
Доступ к диспетчеру учетных данных от имени доверенного вызывающего.
Доступ к компьютеру из сети.
Добавление рабочих станций к домену.
Настройка квот памяти для процесса.
Локальный вход в систему.
Вход в систему через службу терминалов.
Обход перекрестной проверки.
Изменение системного времени.
Создание файла подкачки.
Создание глобальных объектов.

Создание постоянных общих объектов.
Создание символических ссылок.
Запрет на доступ к компьютеру из сети.
Отказ во входе в качестве пакетного задания.
Отказ во входе в качестве службы.
Запрет на локальный вход.
Запрет на вход в систему через службу терминалов.
Принудительное удаленное завершение работы.
Увеличение рабочего набора процесса.
Увеличение приоритета выполнения.
Блокировка страниц в памяти.
Вход в качестве пакетного задания.
Вход в качестве службы.
Изменение метки объекта.
Выполнение задач по обслуживанию томов.
Профилирование одного процесса.
Профилирование производительности системы.
Отключение компьютера от стыковочного узла.
Завершение работы системы.
Синхронизация данных службы каталогов.

Если этот параметр политики настроен, событие аудита возникает при вызове привилегий, не затрагивающих конфиденциальные данные. Успешные и неудачные вызовы регистрируются в соответствующих записях аудита.
Если этот параметр политики не настроен, при вызове привилегий, не затрагивающих конфиденциальные данные, никакие события аудита не возникают.

Частота появления: очень высокая.		 Non Sensitive Privilege Use

This policy setting allows you to audit events generated by the use of non-sensitive privileges (user rights).
The following privileges are non-sensitive:
Access Credential Manager as a trusted caller.
Access this computer from the network.
Add workstations to domain.
Adjust memory quotas for a process.
Allow log on locally.
Allow log on through Terminal Services.
Bypass traverse checking.
Change the system time.
Create a pagefile.
Create global objects.

Create permanent shared objects.
Create symbolic links.
Deny access this computer from the network.
Deny log on as a batch job.
Deny log on as a service.
Deny log on locally.
Deny log on through Terminal Services.
Force shutdown from a remote system.
Increase a process working set.
Increase scheduling priority.
Lock pages in memory.
Log on as a batch job.
Log on as a service.
Modify an object label.
Perform volume maintenance tasks.
Profile single process.
Profile system performance.
Remove computer from docking station.
Shut down the system.
Synchronize directory service data.

If you configure this policy setting, an audit event is generated when a non-sensitive privilege is called. Success audits record successful calls and Failure audits record unsuccessful calls.
If you do not configure this policy setting, no audit event is generated when a non-sensitive privilege is called.

Volume: Very High.
684Не используется. Not used.
702Создание процесса

Этот параметр политики обеспечивает аудит событий, возникающих при создании или запуске процесса. Также осуществляется аудит имени пользователя или приложения, создавшего процесс.

Если этот параметр политики настроен, событие аудита возникает при создании процесса. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при создании процесса никакие события аудита не возникают.

Частота появления: в зависимости от типа используемого компьютера.		 Process Creation

This policy setting allows you to audit events generated when a process is created or starts. The name of the application or user that created the process is also audited.

If you configure this policy setting, an audit event is generated when a process is created. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a process is created.

Volume: Depends on how the computer is used.
703Завершение процесса

Этот параметр политики обеспечивает аудит событий, возникающих при завершении процесса.

Если этот параметр политики настроен, событие аудита возникает при завершении процесса. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при завершении процесса никакие события аудита не возникают.

Частота появления: в зависимости от типа используемого компьютера.		 Process Termination

This policy setting allows you to audit events generated when a process ends.

If you configure this policy setting, an audit event is generated when a process ends. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a process ends.

Volume: Depends on how the computer is used.
704Активность DPAPI

Этот параметр политики обеспечивает аудит событий, которые возникают при запросах на шифрование или расшифровку к интерфейсу приложений защиты данных (DPAPI). Интерфейс DPAPI используется для защиты конфиденциальных данных, например паролей и ключей. Дополнительные сведения об интерфейсе DPAPI см. на веб-странице https://go.microsoft.com/fwlink/?LinkId=121720.

Если этот параметр политики настроен, события аудита возникают при выполнении запросов на шифрование или расшифровку к интерфейсу DPAPI. При аудите успешных попыток регистрируются успешные попытки, при аудите неудачных — неудачные.
Если этот параметр политики не настроен, при выполнении запросов на шифрование и расшифровку к интерфейсу DPAPI никакие события аудита не возникают.

Частота появления: низкая.		 DPAPI Activity

This policy setting allows you to audit events generated when encryption or decryption requests are made to the Data Protection application interface (DPAPI). DPAPI is used to protect secret information such as stored password and key information. For more information about DPAPI, see https://go.microsoft.com/fwlink/?LinkId=121720.

If you configure this policy setting, an audit event is generated when an encryption or decryption request is made to DPAPI. Success audits record successful requests and Failure audits record unsuccessful requests.
If you do not configure this policy setting, no audit event is generated when an encryption or decryption request is made to DPAPI.

Volume: Low.
705События RPC

Этот параметр политики обеспечивает аудит входящих подключений удаленного вызова процедур (RPC).

Если этот параметр политики настроен, событие аудита возникает при попытке установления удаленного подключения RPC. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при попытке установления удаленного подключения RPC никакие события аудита не возникают.

Частота появления: высокая на серверах RPC.		 RPC Events

This policy setting allows you to audit inbound remote procedure call (RPC) connections.

If you configure this policy setting, an audit event is generated when a remote RPC connection is attempted. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a remote RPC connection is attempted.

Volume: High on RPC servers.
706Активность PNP

Этот параметр политики позволяет выполнять аудит, когда самонастраивающееся устройство обнаруживает внешнее устройство.

Если настроить этот параметр политики, событие аудита создается при каждом обнаружении внешнего устройства самонастраивающимся устройством. Для этой категории регистрируются только успешные события аудита.
Если не настроить этот параметр политики, при обнаружении внешнего устройства самонастраивающимся устройством событие аудита не создается.

Громкость: низкая		 PNP Activity

This policy setting allows you to audit when plug and play detects an external device.

If you configure this policy setting, an audit event is generated whenever plug and play detects an external device. Only Success audits are recorded for this category.
If you do not configure this policy setting, no audit event is generated when an external device is detected by plug and play.

Volume: Low
707Событие изменения прав маркера

Данный параметр политики позволяет проверять события, вызванные изменением привилегий маркера.

Объем: высокий.

По умолчанию: нет проверки.		 Token Right Adjustment Event

This policy setting allows you to audit events generated by adjusting the privileges of a token.

Volume: High.

Default: No Auditing.
732Изменение состояния безопасности

Этот параметр политики позволяет вести аудит событий, возникающих при выполнении изменений состояния безопасности компьютера, таких как следующие:
Запуск и завершение работы компьютера.
Изменение системного времени.
Восстановление системы при событии CrashOnAuditFail, которое регистрируется после перезапуска системы в том случае, если журнал событий заполнен и настроена запись реестра CrashOnAuditFail.

Частота появления: низкая.

По умолчанию: успех.		 Security State Change

This policy setting allows you to audit events generated by changes in the security state of the computer such as the following events:
Startup and shutdown of the computer.
Change of system time.
Recovering the system from CrashOnAuditFail, which is logged after a system restarts when the security event log is full and the CrashOnAuditFail registry entry is configured.

Volume: Low.

Default: Success.
733Расширение системы безопасности

Этот параметр политики позволяет вести аудит событий, связанных с расширением системы безопасности, таких как следующие:
Загрузка расширения системы безопасности, например, пакета проверки подлинности, уведомления или безопасности, и его регистрация в системе администратора локальной безопасности (LSA). Оно используется для проверки подлинности при попытке входа, отправки запросов на вход в систему, а также при любых изменениях учетных записей или паролей. Примерами расширений системы безопасности являются Kerberos и NTLM.
Установка и регистрация службы в диспетчере управления службами. В журнале аудита регистрируются сведения об имени, двоичных файлах, типе, типе запуска и учетной записи службы.
Если этот параметр политики настроен, события аудита возникают при попытке загрузки расширения системы безопасности. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при загрузке расширения системы безопасности никакие события аудита не возникают.

Частота появления: низкая. События расширения системы безопасности чаще возникают на контроллере домена, а не на клиентских компьютерах или рядовых серверах.

По умолчанию: нет аудита.		 Security System Extension

This policy setting allows you to audit events related to security system extensions or services such as the following:
A security system extension, such as an authentication, notification, or security package is loaded and is registered with the Local Security Authority (LSA). It is used to authenticate logon attempts, submit logon requests, and any account or password changes. Examples of security system extensions are Kerberos and NTLM.
A service is installed and registered with the Service Control Manager. The audit log contains information about the service name, binary, type, start type, and service account.
If you configure this policy setting, an audit event is generated when an attempt is made to load a security system extension. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when an attempt is made to load a security system extension.

Volume: Low. Security system extension events are generated more often on a domain controller than on client computers or member servers.

Default: No Auditing.
734Целостность системы

Этот параметр политики позволяет вести аудит событий, связанных с нарушениями целостности подсистемы безопасности, такими как следующие:
События, которые не удается записать в журнал событий из-за ошибок системы аудита.
Процессы, использующие недопустимый порт локального вызова процедур (LPC) для олицетворения клиента посредством ответа, чтения или записи в адресном пространстве клиента.
Обнаружение удаленного вызова процедур (RPC), нарушающего целостность системы.
Обнаружение недопустимого значения хэша исполняемого файла средством проверки целостности кода.
Операции шифрования, нарушающие целостность системы.

Частота появления: низкая.

По умолчанию: успех, отказ.		 System Integrity

This policy setting allows you to audit events that violate the integrity of the security subsystem, such as the following:
Events that could not be written to the event log because of a problem with the auditing system.
A process that uses a local procedure call (LPC) port that is not valid in an attempt to impersonate a client by replying, reading, or writing to or from a client address space.
The detection of a Remote Procedure Call (RPC) that compromises system integrity.
The detection of a hash value of an executable file that is not valid as determined by Code Integrity.
Cryptographic operations that compromise system integrity.

Volume: Low.

Default: Success, Failure.
735Драйвер IPsec

Этот параметр политики позволяет вести аудит событий, возникающих в драйвере фильтров IPsec, таких как следующие:
Запуск и завершение работы служб IPsec.
Отбрасывание сетевых пакетов из-за сбоя проверки целостности.
Отбрасывание сетевых пакетов из-за сбоя проверки получения повторного пакета.
Отбрасывание сетевых пакетов из-за наличия в них открытого текста.
Получение сетевых пакетов с неверным значением индекса параметра безопасности (SPI). Это может свидетельствовать о неправильной работе сетевой карты или необходимости обновления драйвера.
Ошибки при обработке фильтров IPsec.

Если этот параметр политики настроен, события аудита возникают при выполнении операций драйвера фильтров IPsec. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при выполнении операций драйвера фильтров IPsec никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию: нет аудита.		 IPsec Driver

This policy setting allows you to audit events generated by the IPsec filter driver such as the following:
Startup and shutdown of the IPsec services.
Network packets dropped due to integrity check failure.
Network packets dropped due to replay check failure.
Network packets dropped due to being in plaintext.
Network packets received with incorrect Security Parameter Index (SPI). This may indicate that either the network card is not working correctly or the driver needs to be updated.
Inability to process IPsec filters.

If you configure this policy setting, an audit event is generated on an IPsec filter driver operation. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated on an IPSec filter driver operation.

Volume: Low.

Default: No Auditing.
736Другие системные события

Этот параметр политики позволяет вести аудит следующих событий:
Запуск и завершение работы службы и драйвера брандмауэра Windows.
Обработка политики безопасности службой брандмауэра Windows.
Операции с файлами ключей шифрования и операции миграции.

Частота появления: низкая.

По умолчанию: успех, отказ.		 Other System Events

This policy setting allows you to audit any of the following events:
Startup and shutdown of the Windows Firewall service and driver.
Security policy processing by the Windows Firewall Service.
Cryptography key file and migration operations.

Volume: Low.

Default: Success, Failure.
762Файловая система

Этот параметр политики обеспечивает аудит попыток доступа к объектам файловой системы со стороны пользователей. События аудита безопасности возникают только для тех объектов, для которых заданы системные списки управления доступом (SACL), и только в том случае, если запрашивается тип доступа на запись, чтение или изменение и запрашивающая учетная запись соответствует параметрам, установленным в списке SACL. Дополнительные сведения о включении аудита доступа к объектам см. на веб-странице https://go.microsoft.com/fwlink/?LinkId=122083.

Если этот параметр политики настроен, событие аудита возникает каждый раз, когда со стороны учетной записи осуществляется операция доступа к объекту файловой системы с соответствующим списком SACL. При аудите успешных попыток регистрируются успешные попытки, при аудите неудачных — неудачные.
Если этот параметр политики не настроен, при доступе к объекту файловой системы с соответствующим списком SACL со стороны учетной записи никаких событий аудита не возникает.

Примечание: чтобы задать список SACL для объекта файловой системы, воспользуйтесь вкладкой "Безопасность" диалогового окна "Свойства" объекта.

Частота появления: зависит от параметров списков SACL файловой системы.		 File System

This policy setting allows you to audit user attempts to access file system objects. A security audit event is generated only for objects that have system access control lists (SACL) specified, and only if the type of access requested, such as Write, Read, or Modify and the account making the request match the settings in the SACL. For more information about enabling object access auditing, see https://go.microsoft.com/fwlink/?LinkId=122083.

If you configure this policy setting, an audit event is generated each time an account accesses a file system object with a matching SACL. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when an account accesses a file system object with a matching SACL.

Note: You can set a SACL on a file system object using the Security tab in that object's Properties dialog box.

Volume: Depends on how the file system SACLs are configured.
763Реестр

Этот параметр политики обеспечивает аудит попыток доступа к объектам реестра. События аудита безопасности возникают только для тех объектов, для которых заданы системные списки управления доступом (SACL), и только в том случае, если запрашивается тип доступа на чтение, запись или изменение и запрашивающая учетная запись соответствует параметрам, установленным в списке SACL.

Если этот параметр политики настроен, события аудита возникают при каждой операции доступа к объекту реестра с соответствующим списком SACL со стороны учетной записи. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при доступе к объекту реестра с соответствующим списком SACL со стороны учетной записи никаких событий аудита не возникает.

Примечание. Чтобы задать список SACL для объекта реестра, воспользуйтесь диалоговым окном "Разрешения".

Частота появления: зависит от параметров списков SACL реестра.		 Registry

This policy setting allows you to audit attempts to access registry objects. A security audit event is generated only for objects that have system access control lists (SACLs) specified, and only if the type of access requested, such as Read, Write, or Modify, and the account making the request match the settings in the SACL.

If you configure this policy setting, an audit event is generated each time an account accesses a registry object with a matching SACL. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when an account accesses a registry object with a matching SACL.

Note: You can set a SACL on a registry object using the Permissions dialog box.

Volume: Depends on how registry SACLs are configured.
764Объект ядра

Этот параметр политики обеспечивает аудит попыток доступа к ядру с использованием мьютексов и семафоров.
События аудита безопасности возникают только для объектов ядра с соответствующим системным списком управления доступом (SACL).

Примечание. Аудит: установленные по умолчанию списки SACL для объектов ядра управляются параметром аудита доступа глобальных системных объектов.

Частота появления: высокая, если включен аудит доступа глобальных системных объектов.		 Kernel Object

This policy setting allows you to audit attempts to access the kernel, which include mutexes and semaphores.
Only kernel objects with a matching system access control list (SACL) generate security audit events.

Note: The Audit: Audit the access of global system objects policy setting controls the default SACL of kernel objects.

Volume: High if auditing access of global system objects is enabled.
765SAM

Этот параметр политики обеспечивает аудит событий, возникающих при попытке доступа к объектам диспетчера учетных записей безопасности (SAM).
К объектам SAM относятся следующие.
SAM_ALIAS — локальная группа.
SAM_GROUP — группа, не являющаяся локальной.
SAM_USER — учетная запись пользователя.
SAM_DOMAIN — домен.
SAM_SERVER — учетная запись компьютера.
Если этот параметр политики настроен, события аудита возникают при попытке доступа к объекту ядра. При аудите успешных попыток регистрируются успешные попытки, при аудите неудачных — неудачные.
Если этот параметр не настроен, при попытке доступа к объекту ядра никакие события аудита не возникают.
Примечание: изменять можно только системный список управления доступом (SACL) для объекта SAM_SERVER.
Частота появления: высокая для контроллеров домена. Сведения об уменьшении числа возникающих событий этой подкатегории см. в статье 841001 базы знаний Майкрософт (https://go.microsoft.com/fwlink/?LinkId=121698).		 SAM

This policy setting allows you to audit events generated by attempts to access to Security Accounts Manager (SAM) objects.
SAM objects include the following:
SAM_ALIAS -- A local group.
SAM_GROUP -- A group that is not a local group.
SAM_USER – A user account.
SAM_DOMAIN – A domain.
SAM_SERVER – A computer account.
If you configure this policy setting, an audit event is generated when an attempt to access a kernel object is made. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when an attempt to access a kernel object is made.
Note: Only the System Access Control List (SACL) for SAM_SERVER can be modified.
Volume: High on domain controllers. For information about reducing the amount of events generated in this subcategory, see article 841001 in the Microsoft Knowledge Base (https://go.microsoft.com/fwlink/?LinkId=121698).
766Службы сертификации

Этот параметр политики обеспечивает аудит операций служб сертификации Active Directory (AD CS).
К операциям AD CS относятся следующие:
Запуск, завершение работы, резервное копирование и восстановление служб AD CS.
Изменение списка отзыва сертификатов (CRL).
Запросы новых сертификатов.
Выдача сертификата.
Отзыв сертификата.
Изменение параметров диспетчера сертификатов для служб AD CS.
Изменение конфигурации служб AD CS.
Изменение шаблона служб сертификации.
Импорт сертификата.
Публикация сертификата центра сертификации в доменных службах Active Directory.
Изменение разрешений безопасности для служб AD CS.
Архивация ключа.
Импорт ключа.
Извлечение ключа.
Запуск службы ответов OCSP.
Остановка службы ответов OCSP.

Частота появления: средняя или низкая на компьютерах, на которых работают службы сертификации Active Directory.		 Certification Services

This policy setting allows you to audit Active Directory Certificate Services (AD CS) operations.
AD CS operations include the following:
AD CS startup/shutdown/backup/restore.
Changes to the certificate revocation list (CRL).
New certificate requests.
Issuing of a certificate.
Revocation of a certificate.
Changes to the Certificate Manager settings for AD CS.
Changes in the configuration of AD CS.
Changes to a Certificate Services template.
Importing of a certificate.
Publishing of a certification authority certificate is to Active Directory Domain Services.
Changes to the security permissions for AD CS.
Archival of a key.
Importing of a key.
Retrieval of a key.
Starting of Online Certificate Status Protocol (OCSP) Responder Service.
Stopping of Online Certificate Status Protocol (OCSP) Responder Service.

Volume: Medium or Low on computers running Active Directory Certificate Services.
767Создано приложением

Этот параметр политики обеспечивает аудит приложений, которые вызывают события с использованием программных интерфейсов аудита Windows. Эта подкатегория используется для регистрации событий аудита, которые связаны с работой приложений, использующих программные интерфейсы аудита Windows.
Отслеживаются следующие события этой подкатегории:
Создание контекста клиента приложения.
Удаление контекста клиента приложения.
Инициализация контекста клиента приложения.
Другие операции приложений с использованием программных интерфейсов аудита Windows.

Частота появления: зависит от приложения, вызывающего события.		 Application Generated

This policy setting allows you to audit applications that generate events using the Windows Auditing application programming interfaces (APIs). Applications designed to use the Windows Auditing API use this subcategory to log auditing events related to their function.
Events in this subcategory include:
Creation of an application client context.
Deletion of an application client context.
Initialization of an application client context.
Other application operations using the Windows Auditing APIs.

Volume: Depends on the applications that are generating them.
768Работа с дескриптором

Этот параметр политики обеспечивает аудит событий, возникающих при открытии или закрытии дескриптора объекта. События аудита безопасности возникают только для объектов с соответствующим системным списком управления доступом (SACL).

Если этот параметр политики настроен, событие аудита возникает при выполнении операции с дескриптором. Успешные и неудачные события аудита регистрируются в соответствующих записях.
Если этот параметр политики не настроен, при работе с дескриптором никакие события аудита не возникают.

Примечание. События этой подкатегории возникают только для тех типов объектов, для которых включена подкатегория доступа к объектам. Например, события аудита безопасности работы с дескриптором возникают в том случае, если включен доступ к объектам файловой системы. Если доступ к объектам реестра не включен, события аудита безопасности работы с дескриптором не возникают.

Частота появления: зависит от параметров списков SACL.		 Handle Manipulation

This policy setting allows you to audit events generated when a handle to an object is opened or closed. Only objects with a matching system access control list (SACL) generate security audit events.

If you configure this policy setting, an audit event is generated when a handle is manipulated. Success audits record successful attempts and Failure audits record unsuccessful attempts.
If you do not configure this policy setting, no audit event is generated when a handle is manipulated.

Note: Events in this subcategory generate events only for object types where the corresponding Object Access subcategory is enabled. For example, if File system object access is enabled, handle manipulation security audit events are generated. If Registry object access is not enabled, handle manipulation security audit events will not be generated.

Volume: Depends on how SACLs are configured.
769Общие папки

Этот параметр политики позволяет вести аудит попыток доступа к общим папкам.

Если этот параметр настроен, при попытке доступа к общей папке возникает событие аудита. Если этот параметр задан, администратор может указывать выполнение аудита только успешных выполнений, отказов или того и другого.

Примечание. Для общих папок не предусмотрены системные списки управления доступом (SACL). Если этот параметр политики включен, осуществляется аудит доступа ко всем общим папкам в системе.

Частота появления: высокая для файловых серверов или контроллеров домена, поскольку в соответствии с групповой политикой требуется доступ к сети SYSVOL.		 File Share

This policy setting allows you to audit attempts to access a shared folder.

If you configure this policy setting, an audit event is generated when an attempt is made to access a shared folder. If this policy setting is defined, the administrator can specify whether to audit only successes, only failures, or both successes and failures.

Note: There are no system access control lists (SACLs) for shared folders. If this policy setting is enabled, access to all shared folders on the system is audited.

Volume: High on a file server or domain controller because of SYSVOL network access required by Group Policy.
770Отбрасывание пакетов платформой фильтрации Windows

Этот параметр политики обеспечивает аудит пакетов, отбрасываемых платформой фильтрации Windows (WFP).

Частота появления: высокая.		 Windows Filtering Platform Packet Drop

This policy setting allows you to audit packets that are dropped by Windows Filtering Platform (WFP).

Volume: High.
771Подключение платформы фильтрации Windows

Этот параметр политики обеспечивает аудит подключений, которые разрешаются или блокируются платформой фильтрации Windows (WFP). Отслеживаются следующие события:
Блокировка приема входящих сетевых подключений службой брандмауэра Windows.
Разрешение подключения платформой WFP.
Блокировка подключения платформой WFP.
Разрешение на привязку к локальному порту платформой WFP.
Блокировка привязки к локальному порту платформой WFP.
Разрешение подключения платформой WFP.
Блокировка подключения платформой WFP.
Разрешение платформы WFP на прослушивание порта входящих подключений приложением или службой.
Блокировка платформы WFP на прослушивание порта входящих подключений приложением или службой.

Если этот параметр политики настроен, события аудита возникают при разрешении или блокировке подключений платформой WFP. При разрешении подключений возникают успешные события аудита, при блокировке - неудачные.
Если этот параметр политики не настроен, при разрешении или блокировке подключений платформой WFP никакие события аудита не возникают.

Частота появления: высокая.		 Windows Filtering Platform Connection

This policy setting allows you to audit connections that are allowed or blocked by the Windows Filtering Platform (WFP). The following events are included:
The Windows Firewall Service blocks an application from accepting incoming connections on the network.
The WFP allows a connection.
The WFP blocks a connection.
The WFP permits a bind to a local port.
The WFP blocks a bind to a local port.
The WFP allows a connection.
The WFP blocks a connection.
The WFP permits an application or service to listen on a port for incoming connections.
The WFP blocks an application or service to listen on a port for incoming connections.

If you configure this policy setting, an audit event is generated when connections are allowed or blocked by the WFP. Success audits record events generated when connections are allowed and Failure audits record events generated when connections are blocked.
If you do not configure this policy setting, no audit event is generated when connected are allowed or blocked by the WFP.

Volume: High.
772Другие события доступа к объекту

Этот параметр политики обеспечивает аудит событий, возникающих при управлении заданиями планировщика задач или объектами COM+.
Для заданий планировщика отслеживаются следующие события:
Создание задания.
Удаление задания.
Включение задания.
Отключение задания.
Обновление задания.
Для объектов COM+ отслеживаются следующие события:
Добавление объекта каталога.
Обновление объекта каталога.
Удаление объекта каталога.

Частота появления: низкая.		 Other Object Access Events

This policy setting allows you to audit events generated by the management of task scheduler jobs or COM+ objects.
For scheduler jobs, the following are audited:
Job created.
Job deleted.
Job enabled.
Job disabled.
Job updated.
For COM+ objects, the following are audited:
Catalog object added.
Catalog object updated.
Catalog object deleted.

Volume: Low.
773Общие папки (подробно)

Этот параметр политики позволяет вести аудит попыток доступа к файлам и папкам в общих папках. Параметр позволяет протоколировать события при любой попытке обращения к файлу или папке, в то время как параметр "Общие папки" записывает только одно событие для любого подключения, установленного между клиентом и общей папкой. В события аудита этого параметра включаются подробные сведения о разрешениях или других критериях предоставления или запрета доступа.

Если этот параметр настроен, при попытке обращения к файлу или папке в общей папке возникает событие аудита. Администратор может включить выполнение аудита для успешного выполнения, отказа или того и другого.

Примечание: Для общих папок не предусмотрены системные списки управления доступом (SACL). Если этот параметр политики включен, выполняется аудит доступа ко всем общим файлам и папкам системы.

Частота появления: высокая для файловых серверов или контроллеров домена, поскольку в соответствии с групповой политикой требуется доступ к сети SYSVOL.		 Detailed File Share

This policy setting allows you to audit attempts to access files and folders on a shared folder. The Detailed File Share setting logs an event every time a file or folder is accessed, whereas the File Share setting only records one event for any connection established between a client and file share. Detailed File Share audit events include detailed information about the permissions or other criteria used to grant or deny access.

If you configure this policy setting, an audit event is generated when an attempt is made to access a file or folder on a share. The administrator can specify whether to audit only successes, only failures, or both successes and failures.

Note: There are no system access control lists (SACLs) for shared folders. If this policy setting is enabled, access to all shared files and folders on the system is audited.

Volume: High on a file server or domain controller because of SYSVOL network access required by Group Policy.
774Съемные носители

Этот параметр политики позволяет проводить аудит попыток доступа пользователей к объектам файловой системы на съемном запоминающем устройстве. Событие аудита системы безопасности генерируется только для всех объектов и всех запрошенных типов доступа.

Если вы настроите этот параметр политики, то событие аудита будет генерироваться каждый раз, когда зарегистрированный пользователь обращается к объекту файловой системы на съемном носителе. Успешные и неудачные события аудита регистрируются в соответствующих записях.

Если этот параметр политики не настроен, при доступе к объекту файловой системы на съемном запоминающем устройстве никакие события аудита не создаются.		 Removable storage

This policy setting allows you to audit user attempts to access file system objects on a removable storage device. A security audit event is generated only for all objects for all types of access requested.

If you configure this policy setting, an audit event is generated each time an account accesses a file system object on a removable storage. Success audits record successful attempts and Failure audits record unsuccessful attempts.

If you do not configure this policy setting, no audit event is generated when an account accesses a file system object on a removable storage.
775Сверка с централизованной политикой доступа

Этот параметр политики позволяет проводить аудит запросов на доступ в тех случаях, когда разрешения, предоставляемые или отклоняемые предложенной политикой, отличаются от текущей централизованной политики доступа на объекте.

Если вы настроите этот параметр политики, то событие аудита будет создаваться каждый раз, когда пользователь обращается к объекту, если разрешения, предоставляемые текущей централизованной политикой доступа на объекте, отличаются от разрешений, предоставляемых предложенной политикой. Событие аудита создается следующим образом:
1) Успешные события аудита, если они настроены, регистрируют попытки доступа, когда текущая централизованная политика доступа предоставляет доступ, а предложенная политика отклоняет доступ.
2) Неудачные события аудита, если они настроены, регистрируют попытки доступа, когда:
а) текущая централизованная политика доступа не предоставляет доступ, а предложенная политика предоставляет доступ;
б) субъект запрашивает максимальные права доступа, которые ему разрешены, а права доступа, предоставленные текущей централизованной политикой доступа, отличаются от прав доступа, предоставленных предложенной политикой.

Частота появления: потенциально высокая на файловом сервере, когда предложенная политика значительно отличается от текущей централизованной политики доступа.

По умолчанию: нет аудита.		 Central Access Policy Staging

This policy setting allows you to audit access requests where the permission granted or denied by a proposed policy differs from the current central access policy on an object.

If you configure this policy setting, an audit event is generated each time a user accesses an object and the permission granted by the current central access policy on the object differs from that granted by the proposed policy. The resulting audit event will be generated as follows:
1) Success audits, when configured, records access attempts when the current central access policy grants access but the proposed policy denies access.
2) Failure audits when configured records access attempts when:
a) The current central access policy does not grant access but the proposed policy grants access.
b) A principal requests the maximum access rights they are allowed and the access rights granted by the current central access policy are different than the access rights granted by the proposed policy.

Volume: Potentially high on a file server when the proposed policy differs significantly from the current central access policy.

Default: No Auditing
792Доступ к службе каталогов

Этот параметр политики позволяет вести аудит событий, возникающих при обращении к объектам доменных служб Active Directory (AD DS).

Регистрируются только события для объектов AD DS с соответствующим системным списком управления доступом (SACL).

События этой подкатегории аналогичны событиям доступа к службе каталогов, представленным в предыдущих версиях Windows.

Частота появления: высокая на контроллерах домена. Отсутствует на клиентских компьютерах.

По умолчанию в клиентских выпусках: нет аудита.

По умолчанию в серверных выпусках: успех.		 Directory Service Access

This policy setting allows you to audit events generated when an Active Directory Domain Services (AD DS) object is accessed.

Only AD DS objects with a matching system access control list (SACL) are logged.

Events in this subcategory are similar to the Directory Service Access events available in previous versions of Windows.

Volume: High on domain controllers. None on client computers.

Default on Client editions: No Auditing.

Default on Server editions: Success.
793Изменения объектов доменных служб Active Directory

Этот параметр политики позволяет вести аудит событий, возникающих при изменении объектов доменных служб Active Directory (AD DS). События регистрируются при создании, удалении, изменении, перемещении или отмене удаления объектов.

Если это возможно, при возникновении событий этой подкатегории также регистрируются старые и новые значения свойств объекта.

События этой подкатегории регистрируются только на контроллерах домена и только для объектов в AD DS с соответствующим системным списком управления доступом (SACL).

Примечание. В соответствии с параметрами класса объекта в схеме при выполнении действий с некоторыми объектами и свойствами события аудита не возникают.

Если этот параметр политики настроен, при попытке изменения объекта в AD DS возникает событие аудита. Успешные события аудита регистрируются в соответствующих записях, а неудачные попытки НЕ регистрируются.
Если этот параметр политики не настроен, при попытке изменения объекта AD DS никакие события аудита не возникают.

Частота появления: высокая только для контроллеров домена.

По умолчанию: нет аудита.		 Active Directory Domain Services Object Changes

This policy setting allows you to audit events generated by changes to objects in Active Directory Domain Services (AD DS). Events are logged when an object is created, deleted, modified, moved, or undeleted.

When possible, events logged in this subcategory indicate the old and new values of the object’s properties.

Events in this subcategory are logged only on domain controllers, and only objects in AD DS with a matching system access control list (SACL) are logged.

Note: Actions on some objects and properties do not cause audit events to be generated due to settings on the object class in the schema.

If you configure this policy setting, an audit event is generated when an attempt to change an object in AD DS is made. Success audits record successful attempts, however unsuccessful attempts are NOT recorded.
If you do not configure this policy setting, no audit event is generated when an attempt to change an object in AD DS object is made.

Volume: High on domain controllers only.

Default: No Auditing
794Репликация службы каталогов

Этот параметр политики позволяет вести аудит репликации между двумя контроллерами домена в доменных службах Active Directory (AD DS).

Если этот параметр политики настроен, событие аудита возникает в процессе репликации AD DS. Успешные и неудачные операции репликации регистрируются в соответствующих записях аудита.
Если этот параметр политики не настроен, в процессе репликации AD DS никакие события аудита не возникают.

Примечание. События этой подкатегории регистрируются только на контроллерах домена.

Частота появления: средняя для контроллеров домена. Отсутствует на клиентских компьютерах.

По умолчанию: нет аудита.		 Directory Service Replication

This policy setting allows you to audit replication between two Active Directory Domain Services (AD DS) domain controllers.

If you configure this policy setting, an audit event is generated during AD DS replication. Success audits record successful replication and Failure audits record unsuccessful replication.
If you do not configure this policy setting, no audit event is generated during AD DS replication.

Note: Events in this subcategory are logged only on domain controllers.

Volume: Medium on domain controllers. None on client computers.

Default: No Auditing.
795Репликация службы каталогов (подробно)

Этот параметр политики позволяет аудит событий, возникающих при выполнении подробной репликации между контроллерами доменов в доменных службах Active Directory (AD DS).

Частота появления: высокая.

По умолчанию: нет аудита.		 Detailed Directory Service Replication

This policy setting allows you to audit events generated by detailed Active Directory Domain Services (AD DS) replication between domain controllers.

Volume: High.

Default: No Auditing.
822Проверка учетных данных

Этот параметр политики позволяет вести аудит событий, возникающих при проверке учетных данных для входа учетной записи пользователя.

События этой подкатегории возникают только на компьютерах, заслуживающих доверия для этих учетных данных. Для учетных данных домена соответствующими полномочиями обладает контроллер домена. Для локальных учетных записей соответствующими полномочиями обладает локальный компьютер.

Частота появления: высокая на контроллерах домена.

По умолчанию в клиентских выпусках: нет аудита.

По умолчанию в серверных выпусках: успех.		 Credential Validation

This policy setting allows you to audit events generated by validation tests on user account logon credentials.

Events in this subcategory occur only on the computer that is authoritative for those credentials. For domain accounts, the domain controller is authoritative. For local accounts, the local computer is authoritative.

Volume: High on domain controllers.

Default on Client editions: No Auditing.

Default on Server editions: Success.
823Операции с билетами службы Kerberos

Этот параметр политики позволяет вести аудит событий, возникающих при подаче запросов на получение билета предоставления билета проверки подлинности Kerberos (TGT) для пользовательских учетных записей.

Если этот параметр политики настроен, события аудита возникают после запроса билета TGT проверки подлинности Kerberos для учетной записи пользователя. Успешные и неудачные запросы регистрируются в соответствующих записях.
Если этот параметр политики не настроен, после запроса билета TGT проверки подлинности Kerberos для учетной записи пользователя никакие события аудита не возникают.

Частота появления: низкая.

По умолчанию в клиентских выпусках: нет аудита.

По умолчанию в серверных выпусках: успех.		 Kerberos Service Ticket Operations

This policy setting allows you to audit events generated by Kerberos authentication ticket-granting ticket (TGT) requests submitted for user accounts.

If you configure this policy setting, an audit event is generated after a Kerberos authentication TGT is requested for a user account. Success audits record successful requests and Failure audits record unsuccessful requests.
If you do not configure this policy setting, no audit event is generated after a Kerberos authentication TGT is request for a user account.

Volume: Low.

Default on Client editions: No Auditing.

Default on Server editions: Success.
824Другие события входа учетных записей

Этот параметр политики позволяет вести аудит событий, возникающих при получении ответов на запросы о входе учетной записи пользователя в систему, не относящиеся к проверке учетных данных и не являющиеся билетами Kerberos.

В настоящий момент события этой подкатегории отсутствуют.

По умолчанию: нет аудита.		 Other Account Logon Events

This policy setting allows you to audit events generated by responses to credential requests submitted for a user account logon that are not credential validation or Kerberos tickets.

Currently, there are no events in this subcategory.

Default: No Auditing.
825Служба проверки подлинности Kerberos

Этот параметр политики позволяет вести аудит событий, возникающих при отправке запросов на получение билета предоставления билета проверки подлинности Kerberos (TGT).

Если этот параметр политики настроен, событие аудита возникает после отправки запроса на получение билета TGT проверки подлинности Kerberos. Успешные и неудачные запросы регистрируются в соответствующих записях.
Если этот параметр политики не настроен, после запроса билета TGT проверки подлинности Kerberos никакие события аудита не возникают.

Частота появления: высокая для серверов центра распространения ключей Kerberos.

По умолчанию в клиентских выпусках: нет аудита.

По умолчанию в серверных выпусках: успех.		 Kerberos Authentication Service

This policy setting allows you to audit events generated by Kerberos authentication ticket-granting ticket (TGT) requests.

If you configure this policy setting, an audit event is generated after a Kerberos authentication TGT request. Success audits record successful requests and Failure audits record unsuccessful requests.
If you do not configure this policy setting, no audit event is generated after a Kerberos authentication TGT request.

Volume: High on Kerberos Key Distribution Center servers.

Default on Client editions: No Auditing

Default on Server editions: Success.

EXIF

File Name:auditpolmsg.dll.mui
Directory:%WINDIR%\WinSxS\amd64_microsoft-windows-a..in-native.resources_31bf3856ad364e35_10.0.15063.0_ru-ru_79057f8985a3176b\
File Size:101 kB
File Permissions:rw-rw-rw-
File Type:Win32 DLL
File Type Extension:dll
MIME Type:application/octet-stream
Machine Type:Intel 386 or later, and compatibles
Time Stamp:0000:00:00 00:00:00
PE Type:PE32
Linker Version:14.10
Code Size:0
Initialized Data Size:102912
Uninitialized Data Size:0
Entry Point:0x0000
OS Version:10.0
Image Version:10.0
Subsystem Version:6.0
Subsystem:Windows GUI
File Version Number:10.0.15063.0
Product Version Number:10.0.15063.0
File Flags Mask:0x003f
File Flags:(none)
File OS:Windows NT 32-bit
Object File Type:Dynamic link library
File Subtype:0
Language Code:Russian
Character Set:Unicode
Company Name:Microsoft Corporation
File Description:Сообщения оснастки MMC политики аудита
File Version:10.0.15063.0 (WinBuild.160101.0800)
Internal Name:AuditPolSnapInMsg
Legal Copyright:© Корпорация Майкрософт. Все права защищены.
Original File Name:AuditPolMsg.DLL.MUI
Product Name:Операционная система Microsoft® Windows®
Product Version:10.0.15063.0
Directory:%WINDIR%\WinSxS\wow64_microsoft-windows-a..in-native.resources_31bf3856ad364e35_10.0.15063.0_ru-ru_835a29dbba03d966\

What is auditpolmsg.dll.mui?

auditpolmsg.dll.mui is Multilingual User Interface resource file that contain Russian language for file auditpolmsg.dll (Сообщения оснастки MMC политики аудита).

File version info

File Description:Сообщения оснастки MMC политики аудита
File Version:10.0.15063.0 (WinBuild.160101.0800)
Company Name:Microsoft Corporation
Internal Name:AuditPolSnapInMsg
Legal Copyright:© Корпорация Майкрософт. Все права защищены.
Original Filename:AuditPolMsg.DLL.MUI
Product Name:Операционная система Microsoft® Windows®
Product Version:10.0.15063.0
Translation:0x419, 1200