Brak dzienników logowania

Brak dzienników logowania w Podglądzie zdarzeń wskazuje na wyłączone audytowanie zdarzeń logowania w zasadach zabezpieczeń — trzeba je włączyć w lokalnych zasadach zabezpieczeń (secpol.msc).

Czym jest brak dzienników logowania

Brak dzienników logowania oznacza sytuację, w której system Windows nie zapisuje albo nie udostępnia informacji o próbach logowania do kont użytkowników. W praktyce może to być widoczne w Podglądzie zdarzeń, przede wszystkim w dzienniku Zabezpieczenia, gdzie nie pojawiają się oczekiwane wpisy dotyczące poprawnych i nieudanych logowań, wylogowań, blokad kont lub innych działań związanych z uwierzytelnianiem. Taki stan nie zawsze oznacza, że logowanie do komputera nie działa. Często sam mechanizm logowania funkcjonuje prawidłowo, lecz rejestrowanie jego przebiegu nie zostało włączone, zostało zmienione przez zasady systemowe albo nie może zapisać danych z powodu problemów z usługami lub uprawnieniami.

Dzienniki logowania są częścią audytowania zabezpieczeń. Ich zadaniem jest pozostawienie śladu po zdarzeniach, które mogą mieć znaczenie przy ustalaniu przyczyny blokady konta, podejrzanej aktywności, nieudanego dostępu albo zmiany konfiguracji. Wpisy mogą zawierać między innymi czas zdarzenia, rodzaj operacji, konto, którego dotyczyło logowanie, oraz rezultat próby. Zakres dostępnych informacji zależy od wersji systemu, rodzaju konta i obowiązujących zasad audytu. Samo otwarcie Podglądu zdarzeń nie włącza jednak rejestrowania, dlatego pusty dziennik nie musi świadczyć o uszkodzeniu programu.

Kontekst techniczny i porównanie - Brak dzienników logowania

W systemie Windows za zapisywanie informacji o logowaniach odpowiadają zasady audytu logowania. Na komputerze używanym lokalnie można je sprawdzić w lokalnych zasadach zabezpieczeń, uruchamianych poleceniem secpol.msc, w obszarze zasad lokalnych dotyczących audytu. W zależności od wersji systemu i konfiguracji mogą być dostępne osobne ustawienia dla powodzeń oraz niepowodzeń. Włączenie wyłącznie jednego rodzaju audytu spowoduje, że widoczna będzie tylko część zdarzeń. Dla kontroli prób dostępu zazwyczaj analizuje się oba rezultaty, ponieważ udane logowanie i odrzucona próba mają różne znaczenie diagnostyczne.

Podobną konfigurację można sprawdzać również za pomocą Edytora lokalnych zasad grupy, konsoli administracyjnych lub poleceń systemowych. W środowisku, w którym ustawienia są narzucane centralnie, zmiana wykonana lokalnie może zostać później zastąpiona przez nadrzędną politykę. Z tego powodu należy odróżnić brak wpisów wynikający z lokalnej konfiguracji od sytuacji, w której obowiązują inne zasady przypisane do urządzenia lub użytkownika. Należy także uwzględnić różnicę między dziennikiem Zabezpieczenia a dziennikiem System lub Aplikacja. Informacja o działaniu usługi może pojawić się w jednym z nich, lecz nie będzie tym samym co właściwe zdarzenie logowania.

Warto rozróżnić brak nowych zdarzeń od usunięcia wcześniejszych wpisów. Jeżeli dziennik jest pusty, może to wynikać z ustawionego rozmiaru i sposobu przechowywania logu, ręcznego wyczyszczenia, automatycznego nadpisywania najstarszych danych albo problemu z usługą Dziennik zdarzeń systemu Windows. Znaczenie ma również to, czy analizowane jest logowanie interaktywne przy ekranie logowania, odblokowanie sesji, dostęp zdalny, użycie konta lokalnego czy uwierzytelnianie innego typu. Każdy z tych przypadków może generować odmienne zdarzenia i wymagać osobnej interpretacji.

Typowe problemy i błędy - Brak dzienników logowania

Najczęstszą przyczyną braku dzienników logowania jest wyłączone audytowanie powodzeń i niepowodzeń. Zdarza się również, że ustawienia zostały zmodyfikowane po aktualizacji, przywróceniu systemu, zmianie profilu zabezpieczeń albo użyciu narzędzia optymalizującego. Niekiedy problem jest pozorny: wpisy są obecne, ale zastosowano niewłaściwy filtr, wybrano inny zakres czasu lub sprawdzono nie ten dziennik. Przydatne jest wyczyszczenie filtrów niestandardowych i sprawdzenie, czy widok obejmuje wszystkie dostępne zdarzenia.

Problemy mogą też dotyczyć samej usługi odpowiedzialnej za obsługę dzienników. Jeżeli usługa nie działa, ma błędny typ uruchamiania albo nie może zapisywać w swoim katalogu, nowe informacje nie będą trafiały do Podglądu zdarzeń. Przyczyną może być uszkodzenie plików systemowych, niedostępne miejsce na dysku, błędy systemu plików, nieprawidłowe uprawnienia lub niespójność komponentów Windows. W takim przypadku samo ustawienie audytu może nie wystarczyć, ponieważ zapis zdarzeń nadal będzie blokowany na innym poziomie.

Błędem diagnostycznym jest także utożsamianie pustego dziennika z brakiem prób logowania. Jeżeli komputer był długo wyłączony, użytkownik korzystał z automatycznego logowania albo analizowane konto nie wykonywało określonej operacji, liczba zdarzeń może być niewielka. Nie należy również usuwać całego dziennika przed ustaleniem przyczyny, ponieważ traci się materiał pomocny w analizie. Bezpieczniej jest najpierw sprawdzić ustawienia audytu, stan usługi, datę ostatniego wpisu, rozmiar pliku dziennika oraz komunikaty powiązane z błędem.

W razie potrzeby można przeprowadzić kontrolę obejmującą lokalne zasady zabezpieczeń, zasady grupy, stan usługi Dziennik zdarzeń systemu Windows, uprawnienia katalogów systemowych oraz integralność plików. Po zmianie ustawień należy wykonać kontrolną próbę logowania i zweryfikować, czy pojawia się nowe zdarzenie. Dopiero taki test pozwala ocenić, czy konfiguracja została zastosowana. Warto pamiętać, że włączenie audytu zwiększa ilość zapisywanych danych, dlatego należy okresowo kontrolować rozmiar dziennika i sposób jego archiwizacji.

Kiedy trzeba poprosić o ocenę stanu sprzętu - Brak dzienników logowania

Zgłoszenie do serwisu jest uzasadnione, gdy po włączeniu audytu nadal nie pojawiają się żadne zdarzenia, Podgląd zdarzeń zgłasza błędy zapisu, usługa nie uruchamia się albo ustawienia samoczynnie wracają do poprzedniego stanu. Pomocy może wymagać również sytuacja, w której brak dzienników logowania występuje razem z blokowaniem kont, powolnym uruchamianiem systemu, komunikatami o uszkodzonych plikach, nieoczekiwanymi restartami lub podejrzeniem nieuprawnionego dostępu. W takich przypadkach potrzebne jest rozdzielenie problemu z konfiguracją audytu od awarii systemu, dysku albo profilu użytkownika.

W Warszawie można przekazać komputer do Warszawskiego Pogotowia Komputerowego 24/7, gdzie przeprowadzana jest analiza konfiguracji Windows, usług systemowych i dzienników zdarzeń. Dla laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ustalić, czy przyczyną jest wyłącznie wyłączone rejestrowanie, czy też występuje szerszy problem z działaniem systemu. Przed przekazaniem urządzenia warto opisać, od kiedy nie pojawiają się wpisy, czy problem dotyczy wszystkich kont oraz czy wcześniej wykonywano aktualizację, czyszczenie logów lub zmianę zasad zabezpieczeń.