Event ID (Auditoría de Seguridad)

Estos son los Eventos más comunes que cualquier administrador debería de manejar día a día.

Subcategoría: Validación de credenciales

ID.

Mensaje

4774

Se ha asignado una cuenta de inicio de sesión.

4775

No se puede asignar una cuenta de inicio de sesión.

4776

El controlador de dominio intentaba validar las credenciales para una cuenta.

4777

El controlador de dominio no se pudo validar las credenciales de una cuenta.

Subcategoría: Servicio de autenticación de Kerberos

ID.

Mensaje

4768

Se solicitó un vale de autenticación de Kerberos (TGT).

4771

Error en la autenticación previa Kerberos.

4772

Ha fallado una solicitud de vale de autenticación de Kerberos.

Subcategoría: Las operaciones de vale de servicio Kerberos

ID.

Mensaje

4769

Se solicitó un vale de servicio de Kerberos.

4770

Se ha renovado un vale de servicio de Kerberos.

4773

Ha fallado una solicitud de vale de servicio de Kerberos.

Categoría: Administración de cuentas

ID.

Mensaje

4783

Ha creado un grupo de aplicaciones básicas.

4784

Se ha modificado un grupo de aplicaciones básicas.

4785

Se ha agregado un miembro a un grupo de aplicaciones básicas.

4786

Se ha quitado un miembro de un grupo de aplicaciones básicas.

4787

Que no sea miembro se ha agregado a un grupo de aplicaciones básicas.

4788

Se quitó un miembro de un grupo de aplicaciones básicas.

4789

Se ha eliminado un grupo de aplicaciones básicas.

4790

Se ha creado un grupo de consulta LDAP.

4791

Se ha modificado un grupo de aplicaciones básicas.

4792

Se ha eliminado un grupo de consulta LDAP.

Subcategoría: Administración de cuentas de equipo

ID.

Mensaje

4741

Se ha creado una cuenta de equipo.

4742

Se ha modificado una cuenta de equipo.

4743

Se ha eliminado una cuenta de equipo.

Subcategoría: Administración de grupo de distribución

ID.

Mensaje

4744

Ha creado un grupo local con la seguridad deshabilitada.

4745

Ha modificado un grupo local con la seguridad deshabilitada.

4746

Se ha agregado un miembro a un grupo local con la seguridad deshabilitada.

4747

Se ha quitado un miembro de un grupo local con la seguridad deshabilitada.

4748

Se ha eliminado un grupo local con la seguridad deshabilitada.

4749

Se creó un grupo global con la seguridad deshabilitada.

4750

Ha modificado un grupo global con la seguridad deshabilitada.

4751

Se ha agregado un miembro a un grupo global con la seguridad deshabilitada.

4752

Se ha quitado un miembro de un grupo global con la seguridad deshabilitada.

4753

Se ha eliminado un grupo global con la seguridad deshabilitada.

4759

Ha creado un grupo universal con la seguridad deshabilitada.

4760

Ha modificado un grupo universal con la seguridad deshabilitada.

4761

Se ha agregado un miembro a un grupo universal con la seguridad deshabilitada.

4762

Se ha quitado un miembro de un grupo universal con la seguridad deshabilitada.

Subcategoría: Otros eventos de administración de cuentas

ID.

Mensaje

4739

Se ha cambiado la directiva de dominio.

4782

Se obtuvo acceso el valor de hash de contraseña una cuenta.

4793

Se llamó a la API de comprobación de directiva de contraseña.

Subcategoría: Administración de grupo de seguridad

ID.

Mensaje

4727

Se ha creado un grupo global con seguridad habilitada.

4728

Se ha agregado un miembro a un grupo global con seguridad habilitada.

4729

Se ha quitado un miembro de un grupo global con seguridad habilitada.

4730

Se ha eliminado un grupo global con seguridad habilitada.

4731

Ha creado un grupo local con la seguridad habilitada.

4732

Se ha agregado un miembro a un grupo local con la seguridad habilitada.

4733

Se ha quitado un miembro de un grupo local con la seguridad habilitada.

4734

Se ha eliminado un grupo local con la seguridad habilitada.

4735

Se ha modificado un grupo local con la seguridad habilitada.

4737

Se ha modificado un grupo global con seguridad habilitada.

4754

Ha creado un grupo universal con seguridad habilitada.

4755

Se ha modificado un grupo universal con seguridad habilitada.

4756

Se ha agregado un miembro a un grupo universal con seguridad habilitada.

4757

Se ha quitado un miembro de un grupo universal con seguridad habilitada.

4758

Se ha eliminado un grupo universal con seguridad habilitada.

4764

Tipo de grupo se ha cambiado.

Subcategoría: Administración de cuentas de usuario


ID.

Mensaje

4720

Se ha creado una cuenta de usuario.

4722

Se habilitó una cuenta de usuario.

4723

Se ha intentado cambiar la contraseña de cuenta.

4724

Se ha intentado restablecer la contraseña de cuenta.

4725

Se ha deshabilitado una cuenta de usuario.

4726

Se ha eliminado una cuenta de usuario.

4738

Se ha modificado una cuenta de usuario.

4740

Se ha bloqueado una cuenta de usuario.

4765

SID History se ha agregado a una cuenta.

4766

Error al intentar agregar SID History a una cuenta.

4767

Se ha desbloqueado una cuenta de usuario.

4780

La ACL se ha establecido en las cuentas que son miembros de grupos de administradores.

4781

Se cambió el nombre de una cuenta:

4794

Se ha intentado establecer el modo de restauración de servicios de directorio.

5376

Las credenciales de administrador de credenciales realizó la copia.

5377

Las credenciales de administrador de credenciales se restauran desde una copia de seguridad.

Categoría: Realizar un seguimiento detallado

ID.

Mensaje

4692

Se ha intentado efectuar copia de seguridad de clave de sesión de protección de datos.

4693

Se ha intentado iniciar la recuperación de clave de sesión de protección de datos.

4694

Se intentó realizar la protección de datos protegidos auditables.

4695

Se intentó realizar la desprotección de los datos protegidos auditables.

Subcategoría: La creación del proceso

ID.

Mensaje

4688

Se ha creado un nuevo proceso.

4696

Un símbolo (token) primario se ha asignado al proceso.

Subcategoría: Finalización del proceso

ID.

Mensaje

4689

Un proceso ha terminado.

Subcategoría: Eventos RPC

ID.

Mensaje

5712

Se intentó realizar una llamada a procedimiento remoto (RPC).

Categoría: Acceso DS

ID.

Mensaje

4928

Se ha establecido un contexto de nomenclatura de la fuente de réplica de Active Directory.

4929

Se ha quitado un contexto de nomenclatura de la fuente de réplica de Active Directory.

4930

Se modificó un contexto de nomenclatura de la fuente de réplica de Active Directory.

4931

Se modificó un contexto de nombres de destino de réplica de Active Directory.

4934

Se han replicado los atributos de un objeto de Active Directory.

4935

Error de replicación se inicia.

4936

Errores de replicación de los extremos.

4937

Un objeto persistente se ha quitado una réplica.

Subcategoría: Acceso al servicio de directorio

ID.

Mensaje

4662

Se realizó una operación en un objeto.

Subcategoría: Los cambios de servicio de directorio

ID.

Mensaje

5136

Se modificó un objeto de servicio de directorio.

5137

Se creó un objeto de servicio de directorio.

5138

No se ha borrado un objeto de servicio de directorio.

5139

Se ha movido un objeto de servicio de directorio.

Subcategoría: Replicación del servicio de directorio

ID.

Mensaje

4932

Ha comenzado la sincronización de una réplica de un contexto de nomenclatura de Active Directory.

4933

Ha finalizado la sincronización de una réplica de un contexto de nomenclatura de Active Directory.

Categoría: Inicio de sesión/cierre de sesión

ID.

Mensaje

4978

Durante la negociación de modo extendido, IPsec ha recibido un paquete de negociación no válido. Si el problema persiste, puede indicar un problema de red o un intento de modificar o volver a reproducir esta negociación.

4979

Se han establecido las asociaciones de seguridad de modo principal de IPsec y modo extendido.

4980

Se han establecido las asociaciones de seguridad de modo principal de IPsec y modo extendido.

4981

Se han establecido las asociaciones de seguridad de modo principal de IPsec y modo extendido.

4982

Se han establecido las asociaciones de seguridad de modo principal de IPsec y modo extendido.

4983

Error de una negociación de modo extendido de IPsec. Se eliminó la asociación de seguridad de modo principal correspondiente.

4984

Error de una negociación de modo extendido de IPsec. Se eliminó la asociación de seguridad de modo principal correspondiente.

Subcategoría: Modo de principal de IPsec

ID.

Mensaje

4646

Iniciada el modo de prevención de denegación de servicio de IKE.

4650

Se ha establecido una asociación de seguridad de modo principal de IPsec. No se habilitó el modo extendido. No se utilizó la autenticación de certificado.

4651

Se ha establecido una asociación de seguridad de modo principal de IPsec. No se habilitó el modo extendido. Un certificado se utiliza para la autenticación.

4652

Error de una negociación de modo principal de IPsec.

4653

Error de una negociación de modo principal de IPsec.

4655

Una asociación de seguridad de modo principal de IPsec finalizó.

4976

Durante la negociación de modo principal IPsec recibió un paquete de negociación no válido. Si el problema persiste, puede indicar un problema de red o un intento de modificar o volver a reproducir esta negociación.

5049

Se ha eliminado una asociación de seguridad de IPsec.

5453

Negociación de IPsec con un equipo remoto falló porque no se ha iniciado el servicio IKE y AuthIP IPsec incrustación de módulos (IKEEXT).

Subcategoría: Modo rápido de IPsec

ID.

Mensaje

4654

Error de una negociación de IPsec de modo rápido.

4977

Durante la negociación de modo rápido, IPsec ha recibido un paquete de negociación no válido. Si el problema persiste, puede indicar un problema de red o un intento de modificar o volver a reproducir esta negociación.

5451

Se ha establecido una asociación de seguridad de IPsec de modo rápido.

5452

Una asociación de seguridad de modo rápido IPsec finalizó.

Subcategoría: cierre de sesión

ID.

Mensaje

4634

Una cuenta se ha cerrado la sesión.

4647

Cierre de sesión iniciada por el usuario.

Subcategoría: inicio de sesión

ID.

Mensaje

4624

Una cuenta se ha iniciado una sesión.

4625

No se pudo iniciar sesión una cuenta.

4648

Se ha intentado efectuar un inicio de sesión mediante credenciales explícitas.

4675

Se han filtrado los SID.

Nota Todos los eventos de la subcategoría de servidor de directivas de red están disponibles sólo en Windows Vista Service Pack 1 y en Windows Server 2008.

Subcategoría: Servidor de directivas de red

ID.

Mensaje

6272

Servidor de directivas de red había concedido acceso a un usuario.

6273

Servidor de directivas de red había denegado el acceso a un usuario.

6274

Servidor de directivas de red descarta la solicitud de un usuario.

6275

Servidor de directivas de red descarta la solicitud de administración de cuentas para un usuario.

6276

Servidor de directivas de red en cuarentena a un usuario.

6277

Servidor de directivas de red había concedido acceso a un usuario pero colocar en período de prueba porque el host no cumplía con la directiva de mantenimiento definidas.

6278

Servidor de directivas de red acceso completo a un usuario debido a que el host cumple la directiva de mantenimiento definidas.

6279

Servidor de directivas de red había bloqueada la cuenta de usuario debido a intentos erróneos de autenticación repetidas.

6280

Servidor de directivas de red desbloquear la cuenta de usuario.

Subcategoría: Otros eventos de inicio de sesión/cierre de sesión

ID.

Mensaje

4649

Se detectó un ataque de reproducción.

4778

Se volvió a conectar una sesión a una estación de ventana.

4779

Se ha desconectado una sesión desde una estación de ventana.

4800

Se bloqueó la estación de trabajo.

4801

La estación de trabajo se ha desbloqueado.

4802

Se ha invocado el protector de pantalla.

4803

Se cerró el protector de pantalla.

5378

La delegación de credenciales solicitado no se ha permitido por la directiva.

5632

Se realizó una solicitud para autenticar a una red inalámbrica.

5633

Se realizó una solicitud para autenticarse en una red con cable.

Subcategoría: Inicio de sesión especial

ID.

Mensaje

4964

Grupos especiales se han asignado a un nuevo inicio de sesión.

Categoría: El acceso a objetos

ID.

Mensaje

4665

Se ha intentado crear un contexto de cliente de aplicación.

4666

Una aplicación intentó una operación:

4667

Se ha eliminado un contexto de cliente de aplicación.

4668

Una aplicación se puede inicializar.

Subcategoría: Servicios de certificación

ID.

Mensaje

4868

El Administrador de certificados ha denegado una petición de certificado pendiente.

4869

Servicios de Certificate Server recibieron una solicitud de certificado reenviada.

4870

Servicios de Certificate Server revocan un certificado.

4871

Servicios de Certificate Server recibieron una solicitud para publicar la lista de revocación de certificados (CRL).

4872

Servicios de Certificate Server publican la lista de revocación de certificados (CRL).

4873

Puede cambiar una extensión de solicitud de certificado.

4874

Puede cambiar los atributos de solicitud de certificado.

4875

Servicios de Certificate Server recibieron una solicitud para apagar.

4876

Inicia la copia de seguridad de servicios de certificado.

4877

Certificado de copia de seguridad de servicios realizada.

4878

Inició la restauración de servicios de certificado.

4879

Completada la restauración de servicios Certificate Server.

4880

Inician servicios de Certificate Server.

4881

Detienen servicios de Certificate Server.

4882

Puede cambiar los permisos de seguridad para servicios de Certificate Server.

4883

Servicios de Certificate Server recuperaron una clave archivada.

4884

Servicios de Certificate Server importaron un certificado a su base de datos.

4885

Puede cambiar el filtro de auditoría para servicios de Certificate Server.

4886

Servicios de Certificate Server recibieron una solicitud de certificado.

4887

Servicios de Certificate Server aprobó una solicitud de certificado y emitió un certificado.

4888

Servicios de Certificate Server ha denegado una petición de certificado.

4889

Servicios de Certificate Server sea el estado de una solicitud de certificado pendiente.

4890

Puede cambiar la configuración del Administrador de certificados para servicios de Certificate Server.

4891

Una entrada de configuración puede cambiada en servicios de Certificate Server.

4892

Cambia una propiedad de servicios de Certificate Server.

4893

Servicios de Certificate Server archivan una clave.

4894

Servicios de Certificate Server importaron y archivaron una clave.

4895

Servicios de Certificate Server publican el certificado de entidad emisora de certificados en servicios de dominio de Active Directory.

4896

Se eliminaron una o varias filas de la base de datos de certificado.

4897

Función de separación habilitada:

4898

Servicios de Certificate Server cargan una plantilla.

4899

Se actualizó una plantilla de servicios de Certificate Server.

4900

Seguridad de plantillas de servicios de certificado se ha actualizado.

5120

Se inició el servicio de Respondedor OCSP.

5121

Detener el servicio de Respondedor OCSP.

5122

Una entrada de configuración puede cambiada en el servicio de Respondedor de OCSP.

5123

Una entrada de configuración puede cambiada en el servicio de Respondedor de OCSP.

5124

Una configuración de seguridad se actualizó de servicio de Respondedor de OCSP.

5125

Se envió una solicitud al servicio de Respondedor de OCSP.

5126

Certificado de firma se actualizó automáticamente por el servicio de Respondedor de OCSP.

5127

El proveedor de revocación de OCSP había actualizado correctamente la información de revocación.

Subcategoría: Recurso compartido de archivos

ID.

Mensaje

5140

Se tiene acceso a un objeto de recurso compartido de red.

Subcategoría: Sistema de archivos

ID.

Mensaje

4664

Se ha intentado crear un vínculo físico.

4985

El estado de una transacción ha cambiado.

5051 para

Un archivo fue una solución virtualizado.

Subcategoría: Conexión de Filtering Platform

ID.

Mensaje

5031

El servicio de Firewall de Windows bloquea una aplicación acepte conexiones entrantes en la red.

5154

Windows Filtering Platform haya permitido que una aplicación o servicio para escuchar en un puerto para las conexiones entrantes.

5155

La plataforma de filtrado de Windows ha bloqueado una aplicación o un servicio de escucha en un puerto para las conexiones entrantes.

5156

Windows Filtering Platform ha permitido una conexión.

5157

La plataforma de filtrado de Windows ha bloqueado una conexión.

5158

Windows Filtering Platform haya permitido que un enlace a un puerto local.

5159

La plataforma de filtrado de Windows ha bloqueado un enlace a un puerto local.

Subcategoría: Colocación de paquetes de plataforma de filtrado

ID.

Mensaje

5152

La plataforma de filtrado de Windows bloquea un paquete.

5153

Un filtro más restrictivo de plataforma de filtrado de Windows ha bloqueado un paquete.

Subcategoría: Identificador de manipulación

ID.

Mensaje

4656

Se ha solicitado un identificador para un objeto.

4658

Se ha cerrado el identificador para un objeto.

4690

Se intentó duplicar un controlador a un objeto.

Subcategoría: Otros eventos de acceso de objeto

ID.

Mensaje

4671

Una aplicación intentó obtener acceso a un ordinal bloqueado a través de TBS.

4691

Se ha solicitado acceso indirecto a un objeto.

4698

Se creó una tarea programada.

4699

Se ha eliminado una tarea programada.

4700

Se habilitó una tarea programada.

4701

Se ha deshabilitado una tarea programada.

4702

Se ha actualizado una tarea programada.

5888

Ha modificado un objeto en el catálogo COM +.

5889

Un objeto se ha eliminado del catálogo de COM +.

5890

Se agregó un objeto en el catálogo COM +.

Subcategoría: registro

ID.

Mensaje

4657

Un valor del registro se modificó.

5039

Una clave del registro se virtualiza.

Subcategoría: Special Multi-use Subcategory

ID.

Mensaje

4659

Se ha solicitado un identificador para un objeto con la intención de eliminar.

4660

Se ha eliminado un objeto.

4661

Se ha solicitado un identificador para un objeto.

4663

Se ha intentado tener acceso a un objeto.

Categoría: Cambio de directiva

ID.

Mensaje

4715

Se ha cambiado la directiva de auditoría (SACL) en un objeto.

4719

Se ha cambiado la directiva de auditoría del sistema.

4902

Se creó la tabla de normas de auditoría por usuario.

4904

Se ha intentado registrar un origen de eventos de seguridad.

4905

Se ha intentado anular el registro de un origen de eventos de seguridad.

4906

El valor de CrashOnAuditFail ha cambiado.

4907

Se han cambiado la configuración de auditoría en objeto.

4908

Tabla de grupos de inicio de sesión especial por última vez.

4912

Se ha cambiado por directiva de auditoría de usuario.

Subcategoría: Cambio de directiva de autenticación

ID.

Mensaje

4706

Se creó una nueva confianza a un dominio.

4707

Se ha quitado una confianza a un dominio.

4713

Se ha cambiado la directiva Kerberos.

4716

Se ha modificado la información de dominio de confianza.

4717

Se ha concedido acceso al sistema de seguridad a una cuenta.

4718

Acceso al sistema de seguridad se ha quitado una cuenta.

4864

Se ha detectado una colisión de espacio de nombres.

4865

Se ha agregado una entrada de información de bosque de confianza.

4866

Se quitó una entrada de información de bosque de confianza.

4867

Se modificó una entrada de información de bosque de confianza.

Subcategoría: Cambio de directiva de autorización

ID.

Mensaje

4704

Se asignó un derecho de usuario.

4705

Se ha quitado un derecho de usuario.

4714

Se ha cambiado la directiva de recuperación de datos cifrados.

Subcategoría: Cambio de Filtering Platform directiva

ID.

Mensaje

4709

Se ha iniciado Servicios de IPsec.

4710

Se ha deshabilitado los servicios IPsec.

4711

Puede contener cualquiera de estos procedimientos:

El motor PAStore aplicó copia en caché local de la directiva IPsec de almacenamiento de Active Directory en el equipo.

El motor PAStore aplicó la directiva IPsec de almacenamiento de información de Active Directory en el equipo.

El motor PAStore aplicó la directiva IPsec de almacenamiento de información de registro local en el equipo.

Error del motor PAStore al aplicar copia en caché local de la directiva IPsec de almacenamiento de Active Directory en el equipo.

Error del motor PAStore al aplicar directiva IPsec de almacenamiento de Active Directory en el equipo.

Error del motor PAStore al aplicar directiva IPsec de almacenamiento del registro local en el equipo.

Error del motor PAStore al aplicar algunas reglas de la directiva IPsec activa en el equipo.

Error del motor PAStore al cargar directiva de IPsec en el equipo de almacenamiento de información de directorio.

El motor PAStore cargó directiva de IPsec en el equipo de almacenamiento de información de directorio.

Error del motor PAStore al cargar directiva de IPsec en el equipo de almacenamiento local.

El motor PAStore cargó almacenamiento local de directiva de IPsec en el equipo.

El motor PAStore realizó un sondeo de cambios en la directiva IPsec activa y no detectó ningún cambio.

4712

Los servicios IPsec detectaron un error potencialmente grave.

5040

Ha realizado un cambio a la configuración de IPsec. Se ha agregado un conjunto de autenticación.

5041

Ha realizado un cambio a la configuración de IPsec. Un conjunto de autenticación que se modificó.

5042

Ha realizado un cambio a la configuración de IPsec. Un conjunto de autenticación se ha eliminado.

5043

Ha realizado un cambio a la configuración de IPsec. Se ha agregado una regla de seguridad de conexión.

5044

Ha realizado un cambio a la configuración de IPsec. Se ha modificado una regla de seguridad de conexión.

5045

Ha realizado un cambio a la configuración de IPsec. Se ha eliminado una regla de seguridad de conexión.

5046

Ha realizado un cambio a la configuración de IPsec. Se ha agregado un conjunto de cifrado.

5047

Ha realizado un cambio a la configuración de IPsec. Un conjunto criptográfico de se ha modificado.

5048

Ha realizado un cambio a la configuración de IPsec. Un conjunto criptográfico de se ha eliminado.

5440

La siguiente llamada estaba presente cuando se ha iniciado la plataforma de filtrado de Windows motor de filtrado de Base.

5441

El siguiente filtro estaba presente cuando se ha iniciado la plataforma de filtrado de Windows motor de filtrado de Base.

5442

El proveedor de la siguiente estaba presente cuando se ha iniciado la plataforma de filtrado de Windows motor de filtrado de Base.

5443

El contexto de proveedor siguiente estaba presente cuando se ha iniciado la plataforma de filtrado de Windows motor de filtrado de Base.

5444

La subcapa siguiente estaba presente cuando se ha iniciado la plataforma de filtrado de Windows motor de filtrado de Base.

5446

Se ha cambiado una llamada de Windows Filtering Platform.

5448

Se ha cambiado un proveedor de Windows Filtering Platform.

5449

Ha cambiado un contexto de proveedor Windows Filtering Platform.

5450

Se ha cambiado una subcapa de Windows Filtering Platform.

5456

El motor PAStore aplicó la directiva IPsec de almacenamiento de información de Active Directory en el equipo.

5457

Error del motor PAStore al aplicar directiva IPsec de almacenamiento de Active Directory en el equipo.

5458

El motor PAStore aplicó copia en caché local de la directiva IPsec de almacenamiento de Active Directory en el equipo.

5459

Error del motor PAStore al aplicar copia en caché local de la directiva IPsec de almacenamiento de Active Directory en el equipo.

5460

El motor PAStore aplicó la directiva IPsec de almacenamiento de información de registro local en el equipo.

5461

Error del motor PAStore al aplicar directiva IPsec de almacenamiento del registro local en el equipo.

5462

Error del motor PAStore al aplicar algunas reglas de la directiva IPsec activa en el equipo. Utilice el complemento Monitor de seguridad IP para diagnosticar el problema.

5463

El motor PAStore realizó un sondeo de cambios en la directiva IPsec activa y no detectó ningún cambio.

5464

Error del motor PAStore sondeo de cambios en la directiva IPsec activa, detectó cambios y aplicar a los servicios de IPsec.

5465

Error del motor PAStore recibió un control para la recarga forzada de directiva IPsec y procesó el control correctamente.

5466

El motor PAStore realizó un sondeo de cambios en la directiva IPsec de Active Directory, determinada que no se puede conectar Active Directory y utilizará la copia en caché de la directiva IPsec de Active Directory en su lugar. Los cambios realizados en la directiva IPsec de Active Directory ya que no se pudo aplicar el último sondeo.

5467

El motor PAStore realizó un sondeo de cambios en la directiva IPsec de Active Directory, determinada que Active Directory puede ser alcanzado y no encontró cambios en la directiva. No sé qué se utiliza la copia en caché de la directiva IPsec de Active Directory.

5468

El motor PAStore realizó un sondeo de cambios en la directiva IPsec de Active Directory, determinada que Active Directory se puede alcanzar, encontró cambios en la directiva y aplicar esos cambios. No sé qué se utiliza la copia en caché de la directiva IPsec de Active Directory.

5471

El motor PAStore cargó almacenamiento local de directiva de IPsec en el equipo.

5472

Error del motor PAStore al cargar directiva de IPsec en el equipo de almacenamiento local.

5473

El motor PAStore cargó directiva de IPsec en el equipo de almacenamiento de información de directorio.

5474

Error del motor PAStore al cargar directiva de IPsec en el equipo de almacenamiento de información de directorio.

5477

Error del motor PAStore no se pudo agregar el filtro de modo rápido.

Subcategoría: Cambio de directiva de nivel de reglas MPSSVC

ID.

Mensaje

4944

La siguiente directiva de estaba activa cuando se inició el servidor de seguridad de Windows.

4945

Una regla se mostró cuando inicia el servidor de seguridad de Windows.

4946

Ha realizado un cambio a lista de excepciones de Firewall de Windows. Se ha agregado una regla.

4947

Ha realizado un cambio a lista de excepciones de Firewall de Windows. Se ha modificado una regla.

4948

Ha realizado un cambio a lista de excepciones de Firewall de Windows. Se ha eliminado una regla.

4949

Configuración de Firewall de Windows se restauró a los valores predeterminados.

4950

Una configuración de Firewall de Windows ha cambiado.

4951

Una regla se ha omitido porque Firewall de Windows no reconoce su número de versión principal.

4952

Se omitieron partes de una regla debido a que Firewall de Windows no reconoce su número de versión secundaria. Se aplicarán las otras partes de la regla.

4953

Se ha omitido una regla de Firewall de Windows porque no se pudo analizar la regla.

4954

Configuración de directiva de grupo de Firewall de Windows ha cambiado. Se han aplicado la nueva configuración.

4956

Firewall de Windows ha cambiado el perfil activo.

4957

Firewall de Windows no aplicó la siguiente regla:

4958

Firewall de Windows no aplicó la siguiente regla porque la regla que se refiere a los elementos no configurados en este equipo:

5050

Un intento de deshabilitar mediante programación el servidor de seguridad de Windows mediante una llamada a INetFwProfile.FirewallEnabled(FALSE) interfaz fue rechazado porque esta API no es compatible con Windows Vista. Es muy probable que se ha producido debido a un programa que no es compatible con Windows Vista. Por favor, póngase en contacto con el fabricante del programa para asegurarse de que tiene una versión de programa compatible con Windows Vista.

Subcategoría: Otros eventos de cambio de directiva

ID.

Mensaje

4909

Se han cambiado la configuración de directiva local para el TBS.

4910

Se han cambiado la configuración de directiva de grupo para el TBS.

5063

Se intentó una operación de proveedor de servicios criptográficos.

5064

Se intentó una operación de contexto de cifrado.

5065

Se ha intentado efectuar una modificación de contexto de cifrado.

5066

Se intentó una operación de función criptográfica.

5067

Se ha intentado efectuar una modificación de la función criptográfica.

5068

Se intentó una operación de proveedor de función criptográfica.

5069

Se intentó una operación de propiedad de función criptográfica.

5070

Se ha intentado efectuar una modificación de la propiedad de función criptográfica.

5447

Ha cambiado un filtro de Windows Filtering Platform.

6144

Directiva de seguridad en los objetos de directiva de grupo se ha aplicado correctamente.

6145

Se ha producido uno o más errores al procesar la directiva de seguridad en los objetos de directiva de grupo.

Subcategoría: Special Multi-use Subcategory

ID.

Mensaje

4670

Se cambiaron los permisos en un objeto.

Categoría: El uso de privilegios

ID.

Mensaje

4672

Privilegios especiales asignados al nuevo inicio de sesión.

4673

Se llama a un servicio con privilegios.

4674

Se intentó una operación en un objeto con privilegios.

Categoría: sistema

ID.

Mensaje

4960

IPsec descartó un paquete de entrada que no se pudo una comprobación de integridad. Si el problema persiste, eso podría significar que un problema de red o que los paquetes se están modificando en tránsito a este equipo. Compruebe que los paquetes enviados desde el equipo remoto son las mismas que las recibidas por este equipo. Este error también puede indicar problemas de interoperabilidad con otras implementaciones de IPsec.

4961

IPsec descartó un paquete de entrada que no se pudo una comprobación de la reproducción. Si el problema persiste, podría indicar un ataque de reproducción con respecto a este equipo.

4962

IPsec descartó un paquete de entrada que no se pudo una comprobación de la reproducción. El paquete de entrada tenía un número demasiado bajo secuencia para asegurarse de no era una repetición.

4963

IPsec descartó un paquete de entrada de texto sin cifrar que debía haberse establecido. Causa más probable es el equipo remoto cambiando su directiva IPsec sin que le informa de este equipo. Esto también podría ser un intento de ataque de suplantación de identidad.

4965

IPsec ha recibido un paquete desde un equipo remoto con un índice de parámetro de seguridad (SPI) incorrecto. Normalmente, se debe a hardware defectuoso que se está dañando paquetes. Si los errores persisten, compruebe que los paquetes enviados desde el equipo remoto son las mismas que las recibidas por este equipo. Este error también puede indicar problemas de interoperabilidad con otras implementaciones de IPsec. En ese caso, si no se impide la conectividad, pueden ignorar estos eventos.

5478

Servicios IPsec se ha iniciado correctamente.

5479

Servicios IPsec se cerró correctamente. El cierre de los servicios IPsec puede suponer un mayor riesgo de ataque de red o el equipo expuesto a posibles riesgos de seguridad.

5480

Servicios IPsec no se pudo obtener la lista completa de interfaces de red en el equipo. Esto supone un riesgo de seguridad ya que algunas de las interfaces de red pueden no obtener la protección proporcionada por los filtros IPsec aplicados. Utilice el complemento Monitor de seguridad IP para diagnosticar el problema.

5483

Servicios IPsec no se pudo inicializar el servidor de RPC. No se pudo iniciar los servicios IPsec.

5484

Servicios de IPsec ha experimentado un error crítico y se ha cerrado. El cierre de los servicios IPsec puede suponer un mayor riesgo de ataque de red o el equipo expuesto a posibles riesgos de seguridad.

5485

Servicios IPsec no pudo procesar algunos filtros IPsec en un evento de plug-and-play para interfaces de red. Esto supone un riesgo de seguridad ya que algunas de las interfaces de red pueden no obtener la protección proporcionada por los filtros IPsec aplicados. Utilice el complemento Monitor de seguridad IP para diagnosticar el problema.

Subcategoría: Otros eventos del sistema

ID.

Mensaje

5024

El servicio de Firewall de Windows ha iniciado correctamente.

5025

Se detuvo el servicio de Firewall de Windows.

5027

El servicio de Firewall de Windows no pudo recuperar la directiva de seguridad desde el almacenamiento local. El servicio seguirá aplicando la directiva actual.

5028

El servicio de Firewall de Windows no pudo analizar la nueva directiva de seguridad. El servicio continuará con la directiva actual exigida.

5029

El servicio de Firewall de Windows no se pudo inicializar el controlador. El servicio seguirá aplicando la directiva actual.

5030

No se pudo iniciar el servicio de Firewall de Windows.

5032

Firewall de Windows no puede notificar al usuario que ha bloqueado una aplicación acepte conexiones entrantes en la red.

5033

El controlador de servidor de seguridad de Windows se ha iniciado correctamente.

5034

Se ha detenido el controlador de servidor de seguridad de Windows.

5035

No se pudo iniciar el controlador de servidor de seguridad de Windows.

5037

El controlador de servidor de seguridad de Windows ha detectado error en tiempo de ejecución crítico. Finalizando.

5058

Operación de archivo de clave.

5059

Operación de principales de la migración.

Subcategoría: Cambio de estado de seguridad

ID.

Mensaje

4608

Windows se está iniciando.

4616

Se cambió la hora del sistema.

4621

Administrador recuperado del sistema de CrashOnAuditFail. Los usuarios que no son administradores ahora permitirá iniciar sesión. Es posible que no se han registrado algunas actividades auditables.

Subcategoría: Extensión de sistema de seguridad

ID.

Mensaje

4610

La autoridad de seguridad Local ha cargado un paquete de autenticación.

4611

Un proceso de inicio de sesión confiable se registró con la autoridad de seguridad Local.

4614

Un paquete de notificación se ha cargado por el Administrador de cuentas de seguridad.

4622

La autoridad de seguridad Local ha cargado un paquete de seguridad.

4697

Un servicio se instaló en el sistema.

Subcategoría: Integridad del sistema

ID.

Mensaje

4612

Se han agotado los recursos internos asignados para la puesta en cola de mensajes de auditoría, provocando la pérdida de algunas auditorías.

4615

Uso no válido de puerto LPC.

4618

Se ha producido un modelo de eventos de seguridad supervisados.

4816

RPC ha detectado una infracción de integridad al descifrar un mensaje entrante.

5038

Integridad de código determinó que el valor de hash de imagen de un archivo no es válido. El archivo podría estar dañado debido a la modificación no autorizada o el valor de hash no válido podría indicar un posible problema de dispositivo de disco.

5056

Se realizó una prueba criptográfica.

5057

Error en una operación primitiva criptográfica.

5060

Error en la operación de verificación.

5061

Operación criptográfica.

5062

Se ha realizado un cifrado de que pruebas automáticas de encendido en modo de núcleo.

Notas

Para devolver más detalles de lista de todas las auditorías de seguridad entradas de eventos, ejecute el comando siguiente en un símbolo del sistema con privilegios elevados como administrador:

wevtutil gp Microsoft-Windows–auditoría de seguridad /ge /gm:true

En el ejemplo siguiente se muestra parte de la salida:

event:

value: 4706

version: 0

opcode: 0

channel: 10

level: 4

task: 0

keywords: 0x8000000000000000

message: A new trust was created to a domain.

Subject:

Security ID: Security ID

Account Name: Account Name

Account Domain: Account Domain

Logon ID: Logon ID

Trusted Domain:

Domain Name: Domain Name

Domain ID: Domain ID

Trust Information:

Trust Type: Trust Type

Trust Direction: Trust Direction

Trust Attributes: Trust Attributes

SID Filtering: SID Filtering

Para devolver una lista de todas las auditorías de seguridad categorías y subcategorías, ejecute el comando siguiente en un símbolo del sistema con privilegios elevados como administrador:

auditpol /list /subcategory: *

Un comentario el “Event ID (Auditoría de Seguridad)

  1. mamen dice:

    Holaaaaaaa crazyyyuu alexxxxqud tal

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s