Nie działa audyt logowania

Niedziałający audyt logowania wskazuje na wyłączoną politykę inspekcji zdarzeń logowania w Zasadach zabezpieczeń lokalnych.

Co oznacza brak audytu logowania w systemie Windows

Brak wpisów dotyczących logowania nie musi oznaczać, że użytkownicy nie logują się do systemu. Najczęstszą przyczyną jest wyłączona albo niepełnie skonfigurowana zasada inspekcji zdarzeń logowania. W systemach Windows ustawienie to określa, czy system zapisuje informacje o udanych i nieudanych próbach uzyskania dostępu do komputera. Sama funkcja logowania może działać prawidłowo, mimo że w Podglądzie zdarzeń nie pojawiają się oczekiwane wpisy bezpieczeństwa.

W lokalnych zasadach zabezpieczeń konfiguracja znajduje się w sekcji Zasady lokalne i dalej w Zasady inspekcji, przy pozycji Inspekcja zdarzeń logowania. Dostępne są ustawienia rejestrowania powodzeń, niepowodzeń albo obu rodzajów zdarzeń. W nowszych edycjach Windows stosuje się także szczegółowe zasady inspekcji dostępne w obszarze Konfiguracja zaawansowanych zasad inspekcji. Jeżeli jednocześnie ustawiono klasyczną i zaawansowaną konfigurację, ich wzajemne priorytety mogą wpływać na końcowy rezultat, dlatego trzeba sprawdzić rzeczywiście obowiązującą politykę.

Rozróżnienie zdarzeń logowania i weryfikacji konta

Inspekcja zdarzeń logowania opisuje uzyskanie dostępu do konkretnego komputera. W dzienniku Zabezpieczenia udane logowanie jest zwykle oznaczane identyfikatorem zdarzenia 4624, a nieudana próba identyfikatorem 4625. Zdarzenie 4634 informuje o zakończeniu sesji logowania, natomiast 4647 wskazuje na rozpoczęcie wylogowania przez użytkownika. Wpisy mogą zawierać między innymi nazwę konta, typ logowania, identyfikator procesu, adres sieciowy oraz użyty mechanizm uwierzytelniania, zależnie od rodzaju zdarzenia i wersji systemu.

Nie należy utożsamiać tej zasady z inspekcją logowania konta. Inspekcja zdarzeń logowania konta dotyczy sprawdzania poświadczeń przez komputer, na którym znajduje się konto, albo przez kontroler domeny. Przykładowo zdarzenia 4776 są związane z walidacją poświadczeń w określonych scenariuszach uwierzytelniania. Na pojedynczym komputerze używanym lokalnie najważniejsze będą zazwyczaj zdarzenia 4624 i 4625, ale przy dostępie sieciowym trzeba ustalić, który komputer faktycznie sprawdzał konto i gdzie powinien powstać wpis.

Sprawdzenie polityki, dziennika i parametrów zdarzenia

Diagnostykę należy rozpocząć od Podglądu zdarzeń, wybierając dziennik Dzienniki systemu Windows → Zabezpieczenia. Następnie warto wyszukać identyfikatory 4624 i 4625 oraz sprawdzić zakres czasu, nazwę konta, typ logowania i wynik operacji. Brak zdarzeń w tym dzienniku może wynikać z wyłączonej inspekcji, ale także z filtrowania widoku, wyczyszczenia dziennika, jego nadpisania po osiągnięciu limitu albo analizowania niewłaściwego komputera.

W ustawieniach lokalnych zasad zabezpieczeń należy potwierdzić, czy dla inspekcji zdarzeń logowania zaznaczono Sukces, Niepowodzenie albo obie opcje. Przydatne jest również sprawdzenie bieżącego rezultatu zasad poleceniem auditpol /get /category:* uruchomionym z uprawnieniami administratora. Polecenie pokazuje skuteczną konfigurację zaawansowanych zasad inspekcji, która może różnić się od ustawienia widocznego w prostym edytorze zasad lokalnych. Po zmianie konfiguracji można ponownie wykonać kontrolne logowanie i sprawdzić, czy pojawiło się zdarzenie o właściwym identyfikatorze.

Trzeba także zweryfikować rozmiar oraz sposób przechowywania dziennika Zabezpieczenia. Przy ustawieniu nadpisywania starszych zdarzeń nowe wpisy mogą usuwać wcześniejszy materiał diagnostyczny. Przy ustawieniu blokowania zapisu po zapełnieniu dziennika system może nie rejestrować kolejnych zdarzeń, co jest innym problemem niż wyłączona polityka. Jeżeli komputer podlega zasadom grupy, lokalna zmiana może zostać później zastąpiona konfiguracją nadrzędną. W takim przypadku należy porównać ustawienia lokalne z wynikiem zastosowanych zasad, zamiast oceniać działanie wyłącznie na podstawie jednego okna konfiguracyjnego.

Przywrócenie rejestrowania i ocena stanu komputera

Usunięcie problemu polega na włączeniu właściwej inspekcji dla powodzeń, niepowodzeń lub obu typów zdarzeń, a następnie na sprawdzeniu, czy polityka została zastosowana. Zakres powinien odpowiadać celowi diagnostyki: rejestrowanie samych powodzeń pokazuje poprawnie utworzone sesje, natomiast rejestrowanie niepowodzeń pozwala analizować błędne hasła, odrzucone poświadczenia i inne nieudane próby dostępu. Nadmierne włączanie przypadkowych kategorii może zwiększyć liczbę wpisów i utrudnić późniejszą analizę.

Podczas oceny zdarzenia nie wystarczy odczytać jego tytułu. Należy sprawdzić typ logowania, ponieważ logowanie interaktywne, odblokowanie stacji roboczej, dostęp sieciowy i uruchomienie procesu jako usługa mogą generować różne informacje. Ważne są również pola wskazujące konto źródłowe, konto docelowe, proces oraz adres klienta. Dopiero zestawienie tych danych z czasem wystąpienia problemu pozwala odróżnić zwykłą pomyłkę hasła od nieprawidłowej konfiguracji konta, usługi albo połączenia sieciowego.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów z konfiguracją systemu Windows oraz rejestrowaniem zdarzeń logowania.