系统小技巧:跟踪工作组模式下的用户活动

CFan 电脑爱好者 2020-07-30 10:01应用 标签:工作组 跟踪 模式 技巧 活动

许多学校、办公室或小型组织,常采用WorkGroup工作组的方式使用Windows 10,通常会有一个管理员负责用户在其中工作的活动管理。有时,有用户会超出其权限限制,修改工作组模式中配置的账户,这可能对系统安全造成影响,因此需要跟踪用户的活动,对工作组和组中用户的变动情况有一个清晰的了解。那么,如何实现工作组模式下用户活动的跟踪呢?

小提示:本文所讲述的方法同样适用于Windows 8.1系统。

1. 使用审核策略实现活动跟踪

要实现活动跟踪,首先需要启用与此相关的本地安全策略。按下Win+R组合键启动“运行”框,在“运行”框中输入secpol.msc命令并回车运行,启动“本地安全策略”窗口(图1)。

1905A-YHHD-1

在本地安全策略窗口中,从左侧窗格中依次选择“本地策略→审核策略”,在右侧窗格中会看到9个不同的审核策略,这些策略的默认“安全设置”均为“无审核”状态(图2)。

1905A-YHHD-2

最后,一一双击这些策略,从“审核策略更改”操作窗口中,依次将这9个策略的审核操作选项“成功”和“失败”均选中,然后单击“应用”按钮并点击“确定”(图3)。

1905A-YHHD-3

设置之后的列表显示状态为如图所示(图4)。

1905A-YHHD-4

通过上述操作之后,Windows被配置为跟踪用户活动状态。接下来就可以跟踪用户活动,并获取跟踪记录了。

2. 用事件查看器跟踪查看用户活动情况

按下Win+R组合键,在“运行”对话框中运行eventvwr命令,启动事件查看器(图5)。

1905A-YHHD-5

在事件查看器的左侧窗格中,依次选择“Windows日志→安全”,之后,我们在中部窗格的记录中,便可以看到Windows开始记录所有与安全有关的事件(图6)。

1905A-YHHD-6

双击中部窗口中的任意事件,在弹出的“事件属性”窗口内,可看到事件ID信息(图7)。根据事件ID的序号,可判断创建组或用户时记录的事件。具体情况分用户管理、账户管理、组管理三类情况,分述如下:

1905A-YHHD-7

要查看工作组中用户的创建或删除情况,可通过相应ID号来判断。如果是在工作组中创建了用户,就会出现4728、4720、4722、4738、4732等事件ID;若是删除了用户,就会出现4733、4729、4726等事件ID。具体情况见表1(表1)。

1905A-YHHD-表1

要查看用户账户的启用、禁用、密码重置、配置文件变动、账户更名等情况,只需通过如表2所示的与用户账户相关的几个ID事件,即可获知具体情况(表2)。

1905A-YHHD-表2

有关本地组的变动情况,如创建本地组、删除本地组、重命名本地组或从本地组删除与添加用户等活动,也可以通过如表3所示的一些ID事件的序号查看(表3)。

1905A-YHHD-表3

小提示:如果要获知更多关于当前事件的信息,单击“事件属性”窗口的“详细信息”选项卡,可在“友好视图”列表或“XML视图”列表中进行阅读(图8)。

1905A-YHHD-8