Análisis de ID de evento de seguridad de Windows Server 2003

Basado en el ID a continuación, nos ayuda a identificar rápidamente los eventos de seguridad generados por el sistema operativo Microsoft® Windows Server 2003, lo que significa lo que sucedió.

I. Evento de inicio de sesión de cuenta

A continuación, se muestran los eventos de seguridad generados por la configuración de la plantilla de seguridad de Evento y seguridad de inicio de sesión de cuenta.

672: El ticket del servicio de autenticación (AS) se ha emitido y verificado con éxito.

673: El boleto del Servicio Autorizado de Entradas (TGS) está autorizado. TGS es un ticket emitido por Kerberos v5 Ticket Authorization Service (TGS) que permite a los usuarios autenticar servicios específicos en el dominio.

674: El principal de seguridad ha actualizado el ticket AS o el ticket TGS.

675: Falló la autenticación previa. El Centro de distribución de claves (KDC) genera este evento cuando el usuario escribe la contraseña incorrecta.

676: Error en la solicitud del ticket de autenticación. Este evento no se genera en miembros de la familia de Windows XP Professional o Windows Server.

677: el ticket TGS no está autorizado. Este evento no se genera en miembros de la familia de Windows XP Professional o Windows Server.

678: la cuenta se ha asignado correctamente a una cuenta de dominio.

681: Error al iniciar sesión. Intente iniciar sesión en una cuenta de dominio. Este evento no se genera en miembros de la familia de Windows XP Professional o Windows Server.

682: El usuario se ha vuelto a conectar a una sesión de servidor de terminal desconectada.

683: el usuario desconecta la sesión de Terminal Server sin cerrar sesión.

Segundo, Eventos de administración de cuentas

A continuación se muestran los eventos de seguridad generados por la configuración de la plantilla de seguridad "Administración de cuentas de auditoría".

624: Se ha creado una cuenta de usuario.

627: La contraseña del usuario ha sido cambiada.

628: La contraseña del usuario ha sido establecida.

630: la cuenta de usuario ha sido eliminada.

631: Se ha creado el grupo global.

632: Se han agregado miembros al grupo global.

633: el miembro se ha eliminado del grupo global.

634: el grupo global se ha eliminado.

635: Se ha creado un nuevo grupo local.

636: Se han agregado miembros al grupo local.

637: el miembro se ha eliminado del grupo local.

638: El grupo local ha sido eliminado.

639: Se ha cambiado la cuenta del grupo local.

641: Se ha cambiado la cuenta de grupo global.

642: Se ha cambiado la cuenta de usuario.

643: La política de dominio ha sido modificada.

644: Las cuentas de usuario se bloquean automáticamente.

645: Se ha creado la cuenta de equipo.

646: Se ha cambiado la cuenta de la computadora.

647: La cuenta de la computadora ha sido eliminada.

648: Se ha creado un grupo de seguridad local de seguridad deshabilitado.

Nota:

Desde el nombre oficial, SECURITY_DISABLED significa que el grupo no se puede usar para autorizar las verificaciones de acceso.

649: seguridad deshabilitada Los grupos de seguridad locales han cambiado.

650: se han agregado miembros a un grupo de seguridad local sin seguridad.

651: Se han eliminado miembros del grupo de seguridad local con seguridad.

652: Se han eliminado los grupos locales de seguridad deshabilitados.

653: Se ha creado un grupo global de seguridad deshabilitado.

654: Los grupos globales de seguridad deshabilitados han cambiado.

655: los miembros se han agregado a un grupo global con la seguridad desactivada.

656: el miembro se ha eliminado del grupo global con la seguridad desactivada.

657: Se han eliminado los grupos globales de seguridad deshabilitados.

658: Se ha creado un grupo universal con la seguridad habilitada.

659: El grupo universal con la seguridad habilitada ha cambiado.

660: Se han agregado miembros al grupo universal con la seguridad habilitada.

661: Se han eliminado miembros del grupo universal con seguridad habilitada.

662: Se ha eliminado el grupo universal con la seguridad habilitada.

663: Se ha creado el grupo universal de seguridad deshabilitado.

664: Los grupos universales de seguridad deshabilitados han cambiado.

665: Se han agregado miembros al grupo universal con la seguridad desactivada.

666: Se han eliminado miembros del grupo universal con la seguridad desactivada.

667: Se ha eliminado el grupo universal deshabilitado.

668: El tipo de grupo ha cambiado.

684: Se ha configurado el descriptor de seguridad para el miembro del grupo de administración.

Nota:

En un controlador de dominio, cada 60 minutos, el subproceso en segundo plano busca y se aplica a todos los miembros del grupo de administración (como los administradores de dominio, empresa y esquema) Un descriptor de seguridad fijo. El evento ha sido registrado.

685: Se ha cambiado el nombre de la cuenta.