Come esaminare gli eventi di accesso in un server Windows

In Windows, è possibile abilitare le "politiche di audit" per determinati eventi che il sistema operativo rileva.Una tale politica di audit è di verificare eventuali eventi di accesso / disconnessione che si verificano sul server.Questo può essere un buon modo per registrare quali account stanno accedendo al tuo server, quando, e da dove.

Questa guida andrà su come abilitare gli eventi di accesso di controllo, visualizzarli e creare una vista personalizzata per filtrare la visualizzazione solo agli eventi di accesso.

Abilita il controllo degli eventi di accesso

Tutti i criteri di controllo fanno parte di Criteri di gruppo e, come tali, possono essere abilitati o disabilitati dall'Editor criteri di gruppo locali.

Primo: Apre l'Editor criteri di gruppo.

Secondo: Navigare verso Configurazione computer -> Impostazioni di Windows -> Impostazioni di sicurezza -> Criteri locali -> Criterio di controllo.

Terzo: Fare clic con il tasto destro del mouse su "Audit Logon Events" e selezionare Proprietà.

Il quarto: Controlla entrambi i file Successo e Fallimento caselle di controllo per abilitare il revisione dei tentativi di accesso di successo e falliti. Clic ok.

Ora il controllo del login è abilitato e qualsiasi futuro eventi di accesso e disconnessione verranno monitorati all'interno del visualizzatore di eventi.

Visualizzazione degli eventi di accesso

Per visualizzare gli eventi di accesso che vengono ora controllati, è possibile visualizzarli dal visualizzatore di eventi.

Primo: Apri il Visualizzatore eventi.

Secondo: Navigare verso Registri di Windows -> Sicurezza.

Questa sezione del Visualizzatore eventi avrà quindi elencato eventi di accesso e disconnessione.La selezione di uno degli eventi visualizzerà quindi i dettagli dell'evento nella casella in basso.

Filtra solo eventi di accesso

Per visualizzare solo l'elenco degli eventi di accesso e non tutti gli eventi di sicurezza rilevati, è possibile creare una visualizzazione personalizzata.

Primo: Nel Visualizzatore eventi, torna al file Registri di Windows -> Sicurezza sezione.

Secondo: Selezionare Crea visualizzazione personalizzata ... nella barra laterale destra.

Terzo: Clicca dove dice e inserisci gli ID degli eventi che desideri visualizzare. Facoltativamente, puoi anche filtrare dal nome utente specificando un utente nel Utente: casella di testo. Selezionare OK.

ID evento Tipo di evento 4624 Accesso 4672 Accesso speciale 4634 Disconnessione

Il quarto: Assegna un nome alla visualizzazione e, facoltativamente, seleziona una cartella in cui inserirla. Fare clic su ok.

Ora sarai in grado di visualizzare il tuo filtro nel Visualizzatore eventi sotto Viste personalizzate -> Nome della tua vista.