В службе управления Windows — как определить, кто изменил пароль учетной записи службы?
решение1
Как узнать, кто изменил пароль?
Найдите 4723: Была предпринята попытка изменить пароль учетной записи и 4724: Была предпринята попытка сбросить пароль учетной записи.
4723: Была предпринята попытка изменить пароль учетной записи.
Пользователь попытался изменить свой пароль. Тема и цель всегда должны совпадать. Не путайте это событие с 4724.
Это событие регистрируется как сбой, если новый пароль не соответствует политике паролей.
Если пользователь не вводит свой старый пароль правильно, это событие не регистрируется. Вместо этого для учетных записей домена регистрируется 4771 с kadmin/changepw в качестве имени службы.
Это событие регистрируется как для локальных учетных записей SAM, так и для доменных учетных записей.
Вы также увидите событие с идентификатором 4738, содержащее ту же информацию.
Предмет:
Пользователь и сеанс входа в систему, выполнившие действие.
- Идентификатор безопасности: SID учетной записи.
- Имя учетной записи: имя для входа в учетную запись.
- Домен учетной записи: домен или — в случае локальных учетных записей — имя компьютера.
- Logon ID — это полууникальный (уникальный между перезагрузками) номер, который идентифицирует сеанс входа в систему. Logon ID позволяет вам соотноситься с событием входа в систему (4624), а также с другими событиями, зарегистрированными во время того же сеанса входа в систему.
Полный список категорий и подкатегорий мероприятия смотрите по ссылке ниже.
Источник4723: Была предпринята попытка изменить пароль учетной записи.
4724: Была предпринята попытка сбросить пароль учетной записи.
Субъект попытался сбросить пароль Цели:
Не путайте это событие с 4723.
Это событие регистрируется как сбой, если новый пароль не соответствует политике паролей.
Это событие регистрируется как для локальных учетных записей SAM, так и для доменных учетных записей.
Вы также увидите один или несколько идентификаторов событий 4738, информирующих вас о той же информации.
Предмет:
Пользователь и сеанс входа в систему, выполнившие действие.
- Идентификатор безопасности: SID учетной записи.
- Имя учетной записи: имя для входа в учетную запись.
- Домен учетной записи: домен или — в случае локальных учетных записей — имя компьютера.
- Logon ID — это полууникальный (уникальный между перезагрузками) номер, который идентифицирует сеанс входа в систему. Logon ID позволяет вам соотноситься с событием входа в систему (4624), а также с другими событиями, зарегистрированными во время того же сеанса входа в систему.
Полный список категорий и подкатегорий мероприятия смотрите по ссылке ниже.
Источник4724: Была предпринята попытка сбросить пароль учетной записи.