Журнал событий (лог действий) компьютера

[Likis]

В общем нужно посмотреть активность компьютера за последний месяц. Какие программы запускались и т.п. Машина не в домене. Интересует что есть еще кроме этого:

[gr1nder]

Ну а что тебе ещё нужно, кроме радмина или тимвьювера?

[Likis]

Ну а что тебе ещё нужно, кроме радмина или тимвьювера?

Ну, кто-то физически работал за машиной. Нужно выяснить время и какие программы. Тут только события, не то, что я думал.

[KotZhilkina]

В общем нужно посмотреть активность компьютера за последний месяц. Какие программы запускались и т.п. Машина не в домене. Интересует что есть еще кроме этого:

нeт

 

и да, если чо, то события запуска приложений записываются в журнал Безопасность.

 

Event ID: 592

Type: Success Audit

Description: A new process has been created:

New Process ID: %1 Image File Name: %2

Creator Process ID: %3 User Name: %4

Domain: %5 Logon ID: %6

http://support.microsoft.com/kb/174074

[TheDeadSkin]

и да, если чо, то события запуска приложений записываются в журнал Безопасность.

 

Event ID: 592

Type: Success Audit

Description: A new process has been created:

New Process ID: %1 Image File Name: %2

Creator Process ID: %3 User Name: %4

Domain: %5 Logon ID: %6

http://support.microsoft.com/kb/174074

в "безопасность" я не нешёл ни единого события по процессам, а вот в "приложениях" немного есть

- System
 - Provider
  [ Name]  MsiInstaller

 - EventID 1040
  [ Qualifiers]  0

  Level 4

  Task 0

  Keywords 0x80000000000000

 - TimeCreated
  [ SystemTime]  2013-02-26T06:13:01.000000000Z

  EventRecordID 8518

  Channel Application

  Computer vaio

[KotZhilkina]

ну ты первоначально настрой политику журналирования так, чтобы запуск процессов отслеживался

[TheDeadSkin]

ну так автору с его логами "за последний месяц" это всё-равно не поможет

[KotZhilkina]

будет знать что в будущем делать

[SPYHunter]

ну ты первоначально настрой политику журналирования так, чтобы запуск процессов отслеживался

Настрою, но я спалил когда компьютер работал по логам НОДа. Журнал был удален, работал спец

[KotZhilkina]

ну ты первоначально настрой политику журналирования так, чтобы запуск процессов отслеживался

Настрою, но я спалил когда компьютер работал по логам НОДа. Журнал был удален, работал спец

а зачем кого-то было пускать на компьютер под учетной запсиью с правами локального администратора?

[SPYHunter]

ну ты первоначально настрой политику журналирования так, чтобы запуск процессов отслеживался

Настрою, но я спалил когда компьютер работал по логам НОДа. Журнал был удален, работал спец

а зачем кого-то было пускать на компьютер под учетной запсиью с правами локального администратора?

Это комп был без пароля. Тут на лицо факт физического проникновения на объект

[KotZhilkina]

комп без пароля. ну тут двери действительно можно и не запирать.

[Banderas]

можно еще чай/кофе предложить