Logi zabezpieczeń nie są zapisywane

Logi zabezpieczeń niezapisywane wskazuje na wyłączoną inspekcję zdarzeń w zasadach lokalnych (Local Security Policy → Audit Policy) lub przepełniony dziennik zdarzeń.

Logi zabezpieczeń nie są zapisywane — co oznacza ten komunikat

Komunikat „Logi zabezpieczeń nie są zapisywane” oznacza, że system Windows nie rejestruje prawidłowo zdarzeń związanych z bezpieczeństwem komputera. Do takich informacji należą między innymi udane i nieudane próby logowania, zmiany uprawnień, modyfikacje zasad zabezpieczeń, uruchamianie niektórych procesów oraz działania wykonywane na kontach użytkowników. Sam brak wpisów w dzienniku nie musi oznaczać awarii całego systemu, ale ogranicza możliwość ustalenia, co wydarzyło się przed wystąpieniem problemu.

Najczęściej przyczyną jest wyłączone rejestrowanie audytu w zasadach zabezpieczeń systemu. W takim przypadku system może działać pozornie normalnie, lecz nie tworzyć wpisów dotyczących określonych kategorii zdarzeń. Problem może również wynikać z usługi Dziennik zdarzeń systemu Windows, uszkodzonego pliku dziennika, błędnych uprawnień do katalogu przechowywania logów albo braku wolnego miejsca na partycji systemowej.

Warto rozróżnić brak wszystkich logów od braku wybranych kategorii. Jeżeli nie pojawiają się żadne zdarzenia, podejrzenie może dotyczyć działania usługi, pliku dziennika lub konfiguracji systemu. Jeżeli zapisywane są tylko niektóre informacje, prawdopodobnie zmieniono zakres audytu, na przykład pozostawiając aktywne logowanie zdarzeń dotyczących kont, ale wyłączając kontrolę dostępu do obiektów.

Jak działa rejestrowanie zdarzeń bezpieczeństwa w systemie Windows

System Windows zapisuje zdarzenia w dziennikach dostępnych w Podglądzie zdarzeń. Za zapisywanie oraz obsługę tych danych odpowiada usługa systemowa, natomiast zakres rejestrowanych informacji zależy od zasad audytu. Ustawienia mogą obowiązywać lokalnie albo być narzucane przez konfigurację systemową. Z tego powodu sama zmiana jednej opcji w interfejsie administracyjnym nie zawsze wystarcza, jeśli inna reguła przywraca poprzednią konfigurację.

Istotne są dwie kwestie: jakie zdarzenia mają być rejestrowane oraz co ma się stać po zapełnieniu pliku dziennika. Dziennik może zostać nadpisany zgodnie z ustawioną polityką, zatrzymany po osiągnięciu limitu albo wyczyszczony przez administratora. Każde z tych zachowań ma inne konsekwencje dla późniejszej analizy. Brak wpisów może więc oznaczać nie tylko wyłączenie audytu, lecz także nieprawidłową politykę przechowywania.

Do weryfikacji wykorzystuje się między innymi Podgląd zdarzeń, edytor lokalnych zasad zabezpieczeń, zasady audytu oraz narzędzia administracyjne systemu. W pierwszej kolejności sprawdza się stan usługi Dziennik zdarzeń systemu Windows, dostępność dziennika Zabezpieczenia, ustawienia jego właściwości oraz aktualny rozmiar pliku. Następnie porównuje się konfigurację audytu z oczekiwanym zakresem rejestrowania. W razie potrzeby można również sprawdzić wpisy systemowe wskazujące na błędy zapisu, problemy z uprawnieniami lub uszkodzenie pliku.

Nie należy usuwać dzienników przed ich analizą. Wyczyszczenie logu może utrudnić ustalenie źródła problemu, a w niektórych sytuacjach usunąć jedyne ślady wcześniejszych zmian. Bezpieczniej jest najpierw wyeksportować dostępne zdarzenia, opisać moment pojawienia się usterki i dopiero później przywracać prawidłowe ustawienia.

Typowe przyczyny i objawy problemu z logami zabezpieczeń

Jedną z częstych przyczyn jest wyłączenie kategorii audytu po zmianie ustawień prywatności, optymalizacji systemu lub instalacji narzędzia administracyjnego. Zdarza się również, że konfiguracja zostaje zmodyfikowana podczas aktualizacji, przywracania systemu albo dołączania komputera do zarządzanego środowiska. Wtedy w Podglądzie zdarzeń może być widoczny pusty dziennik lub pojawiać się informacja, że nie można zapisać nowych zdarzeń.

Na zapis logów wpływają także problemy techniczne:

• zapełniona partycja systemowa lub ograniczona przestrzeń przeznaczona na dzienniki,
• uszkodzony plik dziennika zabezpieczeń,
• brak odpowiednich uprawnień do katalogu systemowego,
• zatrzymana albo nieprawidłowo uruchamiana usługa Dziennik zdarzeń systemu Windows,
• błędy systemu plików lub nośnika danych,
• konflikt ustawień lokalnych z zasadami narzuconymi centralnie,
• oprogramowanie czyszczące usuwające logi podczas zamykania systemu.

Objawy mogą być różne. W jednym przypadku nie da się otworzyć dziennika Zabezpieczenia, w innym dziennik otwiera się, ale nie zawiera nowych wpisów. Może pojawić się również komunikat o przekroczeniu rozmiaru pliku, odmowie dostępu albo braku uprawnień do odczytu. Czasem problem jest zauważany dopiero podczas sprawdzania, kto logował się do komputera, kiedy zmieniono konto użytkownika lub dlaczego określona operacja administracyjna nie pozostawiła śladu.

Warto zwrócić uwagę na korelację z innymi problemami. Jeżeli razem z brakiem logów występują samoczynne restarty, błędy dysku, długie uruchamianie systemu lub problemy z profilem użytkownika, sama zmiana zasad audytu może nie wystarczyć. Objawy mogą wskazywać na szerszą awarię systemu plików, uszkodzenie komponentów Windows albo problemy z nośnikiem danych.

Nie powinno się włączać wszystkich możliwych kategorii audytu bez sprawdzenia ich wpływu na rozmiar dzienników i czytelność zapisów. Nadmiar zdarzeń utrudnia analizę, a niewłaściwie ustawiona polityka przechowywania może szybko doprowadzić do nadpisywania ważnych informacji. Konfigurację należy dopasować do sposobu korzystania z komputera i celu diagnostycznego.

W jakich sytuacjach warto zlecić diagnozę specjalistom - Logi zabezpieczeń nie są zapisywane

Zgłoszenie do serwisu jest uzasadnione, gdy nie można uruchomić usługi Dziennik zdarzeń systemu Windows, dziennik Zabezpieczenia nie otwiera się, wpisy znikają po ponownym uruchomieniu albo zmiany w zasadach audytu nie są zachowywane. Pomoc jest szczególnie wskazana, jeżeli problem pojawił się równocześnie z komunikatami o błędach dysku, spowolnieniem systemu lub nieznanymi zmianami na kontach użytkowników.

Podczas diagnostyki sprawdza się stan usług, konfigurację zasad audytu, uprawnienia, wolne miejsce, integralność plików systemowych oraz działanie nośnika danych. W zależności od wyniku można przywrócić właściwe ustawienia, naprawić składniki systemu, odtworzyć działanie usługi albo zabezpieczyć dane przed dalszą utratą. Jeżeli logi są potrzebne do wyjaśnienia podejrzanej aktywności, przed naprawą warto zachować ich kopię oraz zanotować datę i okoliczności wystąpienia problemu.

W Warszawie takie przypadki przyjmuje Serwis laptopów i komputerów PC - Warszawa; w przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ustalić, czy źródłem problemu jest konfiguracja Windows, usługa systemowa, czy stan nośnika danych.

Do zgłoszenia warto dołączyć dokładną treść komunikatu, informację o tym, od kiedy logi nie są zapisywane, nazwę używanej wersji systemu oraz opis ostatnich zmian, na przykład aktualizacji lub instalacji programu administracyjnego. Tak przygotowane informacje ułatwiają odtworzenie sytuacji i ograniczają ryzyko przypadkowego usunięcia danych potrzebnych do analizy.