我如何才能审计Windows域中的login/注销

我知道SF有多个“审计”问题，但我觉得这个问题稍有不同。

目标：只审核用户在我的域中login和注销。现在域function级别是2003年，但是我希望不久之后能够提高到2008年，然后是2008年R2。

就目前来看，这是审计政策在这里输入图像说明

这是这个政策的结果

在这里输入图像说明

我不关心的是目录服务访问/其他对象访问等事件。我只想login和注销，因为其他事件膨胀日志。任何人都可以发现我在这里做错了吗？

你做错了什么可能不是你想听到的。

你目前试图做的是限制你的日志只是你想看到的。你应该做的是让日志收集和积累，然后使用另一个工具来筛选出你需要find相关的东西。这是一个日志收集设备。至于“膨胀日志”，除非这些日志接近数百兆字节的大小，我不认为你需要担心这一点。 Windows有一个处理日志的循环机制。

所以…确保帐户login事件被logging…这应该在您的域控制器策略默认应用。然后查看Windows设施以集中处理这些事件，这些是2008或2008R2系统中的新function。