Windows安全事件日志中的事件编号和描述

帐户登录事件（事件编号和描述）

672身份验证服务（AS）票证已成功发行和验证.

673张票证授权服务（TGS）票证已获得授权. TGS是由Kerberos5.0票证授权服务（TGS）发行的票证，允许用户针对域中的特定服务进行身份验证.

674个安全主体重建了AS票证或TGS票证.

675预身份验证失败. 当用户输入错误的密码时，密钥分配中心（KDC）将生成此类事件.

676身份验证票证请求失败. Windows XP Professional操作系统或Windows Server产品家族的成员中不会发生此类事件.

677TGS票不能被授权. Windows XP Professional操作系统或Windows Server产品家族的成员中不会发生此类事件.

678指定的帐户已成功映射到域帐户.

681无法登录. 域帐户尝试登录. 在Windows XP Professional操作系统或Windows Server产品家族的成员中不会发生此类事件.

682个用户重新连接到断开的终端服务器会话.

683个用户未注销就从终端服务器会话断开连接.

帐户管理事件

624已创建一个用户帐户.

627用户密码已修改.

628设置了用户密码.

630用户密码已删除.

631已创建一个全局组.

632已将一个成员添加到特定的全局组.

633从特定的全局组中删除了一个成员.

634全局组已删除.

635创建了一个新的本地组.

636一个成员已添加到本地组.

637从本地组中删除了一个成员.

638本地组已删除.

639本地组帐户已被修改.

641一个全局组帐户已被修改.

642用户帐户已被修改.

643域策略已修改.

644用户帐户被自动锁定.

645创建了一个计算机帐户.

646一个计算机帐户已被修改.

647一个计算机帐户已删除.

648创建了具有禁用安全功能的本地安全组. 注意: 官方名称SECURITY_DISABLED表示该组不能用于授予访问检查权限.

649修改了具有禁用安全功能的本地安全组.

650已将一个成员添加到禁用了安全功能的本地安全组.

651已从禁用安全功能的本地安全组中删除了成员.

652删除了禁用安全功能的本地组.

653创建了一个禁用了安全功能的全局组.

654禁用安全功能的全局组已被修改.

655个成员已添加到禁用安全功能的全局组中.

656成员已从禁用安全功能的全局组中删除.

657删除了禁用安全功能的全局组.

658已创建一个启用安全性的通用组.

659修改了启用安全性的通用组.

660已将一个成员添加到启用了安全功能的常规组中.

661已从启用安全性的通用组中删除成员.

662删除了启用安全性的通用组.

663创建了一个禁用了安全功能的常规组.

664修改了禁用安全功能的常规组.

665已将成员添加到禁用安全功能的常规组中.

666，成员已从禁用安全功能的常规组中删除.

667删除了具有禁用安全功能的常规组.

668修改了组类型.

684设置管理组成员的安全描述符. 描述: 在域控制器上，后台线程每60秒搜索一次管理组的所有成员（例如域管理员，企业管理员和体系结构管理员），并应用已修复的安全描述符. 此类事件将被记录.

685帐户名已修改.

查看登录事件

528个用户成功登录到计算机.

529登录失败: 尝试使用未知的用户名或密码不正确的已知用户名登录.

530登录失败: 尝试在允许的时间范围之外登录.

531登录失败: 尝试通过禁用帐户登录.

532登录失败: 尝试使用过期的帐户登录.

533无法登录: 尝试使用不允许在特定计算机上登录的用户帐户登录.

534登录失败: 用户试图使用不允许的密码类型登录.

535登录失败: 指定帐户的密码已过期.

536登录失败: 网络登录服务未激活.

537登录失败: 由于其他原因，登录失败. 注意: 在某些情况下windows日志事件编号分类，可能无法确定登录失败的原因.

538用户的注销操作完成.

539登录失败: 登录帐户在登录时被锁定.

540个用户成功登录到网络.

541已完成本地计算机与列出的对等客户端ID之间的主模式Internet密钥交换（IKE）身份验证操作（建立安全关联），或快速模式已建立数据通道.

542数据通道被中断.

543主模式被中断. 注意: 当安全关联时间限制到期（默认为8小时），修改策略或对等客户中断时，可能会发生此类事件.

544主模式身份验证失败，因为对等客户端无法提供有效的证书或签名验证失败.

545主模式身份验证由于Kerberos故障或非法密码而失败.

546由于对等客户端发送了非法提议，因此未建立IKE安全协会. 收到包含非法数据的数据包.

547在IKEIKE握手期间发生错误.

548登录失败: 来自受信任域的安全标识符（SID）与客户的帐户域SID不匹配.

549登录失败: 在跨域身份验证过程中，与不可信名称空间相对应的所有SID已被过滤掉.

550可以指示可能会发生拒绝服务（DoS）攻击的通知消息.

用户551启动注销.

552个用户通过另一个身份登录后，已使用显式凭据成功登录到计算机.

682个用户重新连接到断开的终端服务器会话.

683个用户未注销就从终端服务器会话断开连接. 注意: 当用户通过网络与终端服务器会话建立连接时，将发生此事件. 它会出现在终端服务器上.

对象访问事件

560访问由现有对象授权.

562对象访问句柄已关闭.

563尝试打开和删除对象. 注意: 在Createfile（）函数中指定FILE_DELETE_ON_CLOSE标志时windows日志事件编号分类，文件系统将使用此事件.

564一个受保护的对象已删除.

565访问由现有对象类型授权.

567使用了与该句柄关联的权限. 说明: 创建了授予特定权限（读，写等）的句柄. 使用此句柄时，对于所使用的每种授权类型，最多只能生成一个审核.

568尝试创建指向正在审阅的文件的硬链接.

569身份验证管理器中的资源管理器试图创建客户端上下文.

570客户端试图访问对象. 说明: 对对象的每次操作尝试都会生成一个事件.

571客户端上下文已由身份验证管理器应用程序删除.

572 Administrator Manager初始化应用程序.

772证书管理器拒绝了待处理的证书申请.

773证书服务收到了重新提交的证书申请.

774证书服务已吊销证书.

775证书服务收到了发出证书吊销列表（CRL）的请求.

776证书服务发布了证书吊销列表（CRL）.

777更改了证书应用程序扩展名.

778更改了多个证书申请属性.

779证书服务收到关闭请求.

780已开始证书服务备份.

781已完成证书服务的备份.

782已开始还原证书服务.

783证书服务还原已完成.

784证书服务已启动.

785证书服务已停止.

786证书服务更改的安全权限.

787证书服务检索到存档密钥.

788证书服务将证书导入.

789审核筛选证书服务更改.

790证书服务已收到证书申请.

791证书服务批准了证书申请并颁发了证书.

792证书服务拒绝了证书申请.

793证书服务将证书申请状态设置为“待定”.

794证书服务设置已由证书服务更改

795个配置项由证书服务更改.

796证书服务已更改属性.

797证书服务已存档密钥.

密钥由798证书服务导入和存档.

799证书服务向Active Directory颁发证书颁发机构（CA）证书.

800从证书中删除一行或多行.

801角色分离已启用.

审核政策更改事件

已分配608个用户权限.

609个用户权限已被删除.

与其他域的610信任关系已创建.

与另一个域的611信任关系已删除.

612审核策略已更改.

613 Internet协议安全（IPSec）策略代理已启动.

614 IPSec策略代理已被禁用.

615 IPSec策略代理已更改.

616 IPSec策略代理遇到潜在的严重问题.

617Kerberos5.0版本策略已更改.

618加密数据恢复策略已更改.

620与另一个域的信任关系已被修改.

已授予该帐户621个系统访问权限.

622系统访问权限已从帐户中删除.

623审核策略是以对等用户为单位设置的.

625个审核策略以对等用户为单位刷新.

768检测到一个目录林中的名称空间元素与另一目录林中的名称空间元素之间存在冲突. 说明: 当一个目录林中的名称空间元素与另一目录林中的名称空间元素重叠时，它将无法显式解析属于这两个名称空间元素的名称. 这种重叠现象也称为冲突. 每种记录类型的参数均不合法. 例如，对于“ TopLevelName”类型的记录，DNS名称，NetBIOS名称和SID等字段是非法的.

769添加了受信任的林信息. 注意: 当更新受信任的林信息并添加一个或多个记录时，将生成此事件消息. 将为每个添加，删除或修改的记录生成事件消息. 如果在单个更新操作中为林信任信息添加，删除或修改了多个记录，则将为所有生成的事件消息分配一个相同且唯一的标识符（称为操作号）. 通过此方法，您可以确定单个操作是否生成了多个事件消息. 每种记录类型的参数均不合法. 例如，对于“ TopLevelName”类型的记录，DNS名称，NetBIOS名称和SID等字段是非法的.

770个已删除的受信任林信息. 说明: 查看事件编号769的说明.

771修改了受信任林信息. 说明: 查看事件编号769的说明.

805事件日志服务读取会话的安全权限使用事件

权限使用事件

576特定权限已添加到用户访问令牌. 注意: 该事件将在用户登录时生成.

577个用户尝试执行受权限保护的系统服务操作.

578对已打开的受保护对象句柄使用权限.

详细跟踪事件

592已创建新过程.

593已退出进程.

重复594对象的句柄

595已获得对对象的间接访问.

596个主密钥备份，用于数据保护. 注意: 主密钥将由CryptProtectData和CryptUnprotectData例程以及加密文件系统（EFS）使用. 每次创建新的主密钥时，都会备份该主密钥. （默认设置为90天. ）密钥备份操作通常由域控制器执行.

597恢复服务器已恢复了用于数据保护的主密钥.

598个审核数据已受到保护.

599审核数据保护已被取消.

600为该过程分配一个主令牌.

601个用户尝试安装该服务.

602已创建计划作业.

用于审核系统事件的系统事件消息

512正在启动Windows.

513Windows正在关闭.

514本地安全机制已加载身份验证数据包.

515可信登录过程已经在本地安全机制中注册.

516用于排队审核消息的内部资源已用尽，导致某些审核数据丢失.

517审核日志已清除.

518 Security Account Manager已加载通知数据包.

519某个进程正在尝试通过无效的本地过程调用（LPC）端口模拟客户端，并对客户端的地址空间执行回复，读取或写入操作.

520系统时间已更改. 注意: 此查看操作通常成对出现.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-189097-1.html