Richtlinien-CSP – Überwachung

AccountLogon_AuditCredentialValidation

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogon_AuditCredentialValidation

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von Validierungstests für Anmeldeinformationen für Benutzerkonten generiert wurden. Ereignisse in dieser Unterkategorie treten nur auf dem Computer auf, der für diese Anmeldeinformationen autoritativ ist. Für Domänenkonten ist der Domänencontroller autoritativ. Für lokale Konten ist der lokale Computer autoritativ.

Volume: Hohe Anzahl von Domänencontrollern.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Überprüfen der Anmeldeinformationen überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoanmeldung

AccountLogon_AuditKerberosAuthenticationService

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogon_AuditKerberosAuthenticationService

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von TGT-Anforderungen (Ticket-Granting Ticket) der Kerberos-Authentifizierung generiert werden.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird nach einer TGT-Anforderung für die Kerberos-Authentifizierung ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Anforderungen auf, und Fehlerüberwachungen erfassen nicht erfolgreiche Anforderungen.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird nach einer TGT-Anforderung für die Kerberos-Authentifizierung kein Überwachungsereignis generiert.

Volume: Hohe Anzahl von Kerberos-Schlüsselverteilungscenter-Servern.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Kerberos-Authentifizierungsdienst überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoanmeldung

AccountLogon_AuditKerberosServiceTicketOperations

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogon_AuditKerberosServiceTicketOperations

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von TGT-Anforderungen (Ticket-Granting Ticket) der Kerberos-Authentifizierung generiert werden, die für Benutzerkonten übermittelt werden.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, nachdem ein Kerberos-Authentifizierungs-TGT für ein Benutzerkonto angefordert wurde. Erfolgsüberwachungen zeichnen erfolgreiche Anforderungen auf, und Fehlerüberwachungen erfassen nicht erfolgreiche Anforderungen.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, nachdem ein TGT für die Kerberos-Authentifizierung für ein Benutzerkonto erforderlich ist.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Ticketvorgänge des Kerberos-Diensts überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoanmeldung

AccountLogon_AuditOtherAccountLogonEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogon_AuditOtherAccountLogonEvents

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von Antworten auf Anmeldeinformationsanforderungen generiert werden, die für die Anmeldung eines Benutzerkontos gesendet wurden und keine Überprüfung von Anmeldeinformationen oder Kerberos-Tickets sind. Derzeit gibt es keine Ereignisse in dieser Unterkategorie.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Andere Kontoanmeldungsereignisse überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoanmeldung

AccountLogonLogoff_AuditAccountLockout

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditAccountLockout

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die bei einem fehlgeschlagenen Anmeldeversuch bei einem gesperrten Konto generiert wurden. Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn sich ein Konto nicht bei einem Computer anmelden kann, weil das Konto gesperrt ist. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf. Anmeldeereignisse sind wichtig, um die Benutzeraktivität zu verstehen und potenzielle Angriffe zu erkennen.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Kontosperrung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditGroupMembership

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditGroupMembership

Mit dieser Richtlinie können Sie die Gruppenmitgliedschaftsinformationen im Anmeldetoken des Benutzers überwachen. Ereignisse in dieser Unterkategorie werden auf dem Computer generiert, auf dem eine Anmeldesitzung erstellt wird. Für eine interaktive Anmeldung wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, auf dem sich der Benutzer angemeldet hat. Für eine Netzwerkanmeldung, z. B. den Zugriff auf einen freigegebenen Ordner im Netzwerk, wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, auf dem die Ressource gehostet wird. Wenn diese Einstellung konfiguriert ist, werden eine oder mehrere Sicherheitsüberwachungsereignisse für jede erfolgreiche Anmeldung generiert. Sie müssen auch die Einstellung Anmeldung überwachen unter Erweiterte Überwachungsrichtlinienkonfiguration\Systemüberwachungsrichtlinien\Anmeldung/Abmelden aktivieren. Wenn die Informationen zur Gruppenmitgliedschaft nicht in ein einziges Sicherheitsüberwachungsereignis passen, werden mehrere Ereignisse generiert.

Volumen: Wenig Auf einem Clientcomputer. Mittel auf einem Domänencontroller oder einem Netzwerkserver.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Gruppenmitgliedschaft überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditIPsecExtendedMode

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditIPsecExtendedMode

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die vom Internet Key Exchange-Protokoll (IKE) und dem authentifizierten Internetprotokoll (AuthIP) während verhandlungen im erweiterten Modus generiert wurden.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird während einer IPsec-Aushandlung im erweiterten Modus ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird während einer IPsec-Aushandlung im erweiterten Modus kein Überwachungsereignis generiert.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	IPsec-Erweiterungsmodus überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditIPsecMainMode

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditIPsecMainMode

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die vom Internet Key Exchange-Protokoll (IKE) und dem authentifizierten Internetprotokoll (AuthIP) während der Verhandlungen im Hauptmodus generiert wurden.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird während einer IPsec-Hauptmodus-Aushandlung ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird während einer IPsec-Hauptmodus-Aushandlung kein Überwachungsereignis generiert.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	IPsec-Hauptmodus überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditIPsecQuickMode

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditIPsecQuickMode

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die vom Internet Key Exchange-Protokoll (IKE) und dem authentifizierten Internetprotokoll (AuthIP) während der Verhandlungen im Schnellmodus generiert wurden. Wenn Sie diese Richtlinieneinstellung konfigurieren, wird während einer IPsec-Schnellmodus-Aushandlung ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird während einer IPsec-Schnellmodus-Aushandlung kein Überwachungsereignis generiert.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	IPsec-Schnellmodus überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditLogoff

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditLogoff

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die beim Schließen einer Anmeldesitzung generiert wurden. Diese Ereignisse treten auf dem Computer auf, auf den zugegriffen wurde. Für eine interaktive Abmeldung wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, bei dem das Benutzerkonto angemeldet ist.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Schließen einer Anmeldesitzung ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, Sitzungen zu schließen, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf, Sitzungen zu schließen.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Schließen einer Anmeldesitzung kein Überwachungsereignis generiert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Abmelden überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditLogon

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditLogon

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von Anmeldeversuchen des Benutzerkontos auf dem Computer generiert werden. Ereignisse in dieser Unterkategorie beziehen sich auf die Erstellung von Anmeldesitzungen und treten auf dem Computer auf, auf den zugegriffen wurde. Für eine interaktive Anmeldung wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, bei dem das Benutzerkonto angemeldet ist. Für eine Netzwerkanmeldung, z. B. den Zugriff auf einen freigegebenen Ordner im Netzwerk, wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, auf dem die Ressource gehostet wird. Die folgenden Ereignisse sind enthalten: Erfolgreiche Anmeldeversuche. Fehlgeschlagene Anmeldeversuche. Anmeldeversuche mit expliziten Anmeldeinformationen. Dieses Ereignis wird generiert, wenn ein Prozess versucht, sich durch explizite Angabe der Anmeldeinformationen dieses Kontos bei einem Konto anzumelden. Dies tritt am häufigsten bei Batchanmeldungskonfigurationen auf, z. B. bei geplanten Aufgaben oder bei Verwendung des RUNAS-Befehls. Sicherheits-IDs (SIDs) wurden gefiltert und dürfen sich nicht anmelden.

Volumen: Wenig Auf einem Clientcomputer. Mittel auf einem Domänencontroller oder einem Netzwerkserver.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Anmelden überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditNetworkPolicyServer

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditNetworkPolicyServer

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von RADIUS (IAS) und NAP-Benutzerzugriffsanforderungen (Network Access Protection, Netzwerkzugriffsschutz) generiert wurden. Diese Anforderungen können Gewähren, Verweigern, Verwerfen, Quarantäne, Sperren und Entsperren sein.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird für jede IAS- und NAP-Benutzerzugriffsanforderung ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Benutzerzugriffsanforderungen auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellungen nicht konfigurieren, werden IAS- und NAP-Benutzerzugriffsanforderungen nicht überwacht.

Volume: Mittel oder Hoch auf NPS- und IAS-Server. Kein Volume auf anderen Computern.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	3

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3 (Standard)	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Netzwerkrichtlinienserver überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditOtherLogonLogoffEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditOtherLogonLogoffEvents

Mit dieser Richtlinieneinstellung können Sie andere Anmelde-/Abmeldeereignisse überwachen, die nicht in der Richtlinieneinstellung "Anmeldung/Abmeldung" behandelt werden, z. B.: Verbindungstrennungen von Terminaldiensten-Sitzungen. Neue Terminaldienstesitzungen. Sperren und Entsperren einer Arbeitsstation Aufrufen eines Bildschirmschoner. Einstellung eines Bildschirmschoner. Erkennung eines Kerberos-Replay-Angriffs, bei dem eine Kerberos-Anforderung zweimal mit identischen Informationen empfangen wurde. Diese Bedingung kann durch eine fehlkonfigurierte Netzwerkkonfiguration verursacht werden. Zugriff auf ein Drahtlosnetzwerk, das einem Benutzer- oder Computerkonto gewährt wird. Zugriff auf ein verkabeltes 802.1x-Netzwerk, das einem Benutzer- oder Computerkonto gewährt wird.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Überwachen anderer Abmeldeereignisse
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditSpecialLogon

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditSpecialLogon

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von speziellen Anmeldungen wie den folgenden generiert werden: Die Verwendung einer speziellen Anmeldung, bei der es sich um eine Anmeldung handelt, die über administratoräquivalente Berechtigungen verfügt und verwendet werden kann, um einen Prozess auf eine höhere Ebene zu erhöhen. Eine Anmeldung durch ein Mitglied einer speziellen Gruppe. Mit speziellen Gruppen können Sie Ereignisse überwachen, die generiert werden, wenn sich ein Mitglied einer bestimmten Gruppe bei Ihrem Netzwerk angemeldet hat. Sie können eine Liste von Gruppensicherheits-IDs (SIDs) in der Registrierung konfigurieren. Wenn eine dieser SIDs während der Anmeldung einem Token hinzugefügt wird und die Unterkategorie aktiviert ist, wird ein Ereignis protokolliert. Weitere Informationen zu diesem Feature finden Sie im Artikel 947223 in der Microsoft Knowledge Base.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Spezielle Anmeldung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountLogonLogoff_AuditUserDeviceClaims

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountLogonLogoff_AuditUserDeviceClaims

Mit dieser Richtlinie können Sie Benutzer- und Geräteanspruchsinformationen im Anmeldetoken des Benutzers überwachen. Ereignisse in dieser Unterkategorie werden auf dem Computer generiert, auf dem eine Anmeldesitzung erstellt wird. Für eine interaktive Anmeldung wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, auf dem sich der Benutzer angemeldet hat. Für eine Netzwerkanmeldung, z. B. den Zugriff auf einen freigegebenen Ordner im Netzwerk, wird das Sicherheitsüberwachungsereignis auf dem Computer generiert, auf dem die Ressource gehostet wird. Benutzeransprüche werden einem Anmeldetoken hinzugefügt, wenn Ansprüche in den Kontoattributen eines Benutzers in Active Directory enthalten sind. Geräteansprüche werden dem Anmeldetoken hinzugefügt, wenn Ansprüche in den Computerkontoattributen eines Geräts in Active Directory enthalten sind. Darüber hinaus muss die Verbundidentität für die Domäne und auf dem Computer aktiviert werden, auf dem sich der Benutzer angemeldet hat. Wenn diese Einstellung konfiguriert ist, werden eine oder mehrere Sicherheitsüberwachungsereignisse für jede erfolgreiche Anmeldung generiert. Sie müssen auch die Einstellung Anmeldung überwachen unter Erweiterte Überwachungsrichtlinienkonfiguration\Systemüberwachungsrichtlinien\Anmeldung/Abmelden aktivieren. Mehrere Ereignisse werden generiert, wenn die Benutzer- und Geräteanspruchsinformationen nicht in ein einzelnes Sicherheitsüberwachungsereignis passen können.

Volumen: Wenig Auf einem Clientcomputer. Mittel auf einem Domänencontroller oder einem Netzwerkserver.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Benutzergeräteansprüche überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Anmeldung/Abmeldung

AccountManagement_AuditApplicationGroupManagement

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountManagement_AuditApplicationGroupManagement

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an Anwendungsgruppen generiert werden, z. B. die folgenden: Anwendungsgruppe wird erstellt, geändert oder gelöscht. Mitglied wird einer Anwendungsgruppe hinzugefügt oder daraus entfernt.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn versucht wird, eine Anwendungsgruppe zu ändern. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Ändern einer Anwendungsgruppe kein Überwachungsereignis generiert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Anwendungsgruppenverwaltung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoverwaltung

AccountManagement_AuditComputerAccountManagement

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountManagement_AuditComputerAccountManagement

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an Computerkonten generiert werden, z. B. wenn ein Computerkonto erstellt, geändert oder gelöscht wird.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, ein Computerkonto zu ändern, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn sich ein Computerkonto ändert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Computerkontoverwaltung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoverwaltung

AccountManagement_AuditDistributionGroupManagement

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountManagement_AuditDistributionGroupManagement

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an Verteilergruppen generiert werden, z. B. die folgenden: Verteilergruppe wird erstellt, geändert oder gelöscht. Mitglied wird einer Verteilergruppe hinzugefügt oder daraus entfernt. Der Typ der Verteilergruppe wird geändert.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, eine Verteilergruppe zu ändern, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn sich eine Verteilergruppe ändert.

Hinweis

Ereignisse in dieser Unterkategorie werden nur auf Domänencontrollern protokolliert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Verteilergruppenverwaltung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoverwaltung

AccountManagement_AuditOtherAccountManagementEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountManagement_AuditOtherAccountManagementEvents

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von anderen Benutzerkontoänderungen generiert wurden, die nicht in dieser Kategorie behandelt werden, wie z. B.: Auf den Kennworthash eines Benutzerkontos wurde zugegriffen. Dies geschieht in der Regel während einer Kennwortmigration des Active Directory-Verwaltungstools. Die API zur Überprüfung der Kennwortrichtlinie wurde aufgerufen. Aufrufe dieser Funktion können Teil eines Angriffs sein, wenn eine böswillige Anwendung die Richtlinie testet, um die Anzahl der Versuche während eines Kennwortwörterbuchangriffs zu reduzieren. Änderungen an der Standarddomänengruppenrichtlinie unter den folgenden Gruppenrichtlinienpfaden: Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Kontorichtlinien\Kennwortrichtlinie Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Kontorichtlinien\Kontosperrrichtlinie.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Überwachen anderer Kontoverwaltungsereignisse
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoverwaltung

AccountManagement_AuditSecurityGroupManagement

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountManagement_AuditSecurityGroupManagement

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an Sicherheitsgruppen generiert werden, z. B. die folgenden: Sicherheitsgruppe wird erstellt, geändert oder gelöscht. Mitglied wird einer Sicherheitsgruppe hinzugefügt oder daraus entfernt. Der Gruppentyp wird geändert.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn versucht wird, eine Sicherheitsgruppe zu ändern. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn sich eine Sicherheitsgruppe ändert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Sicherheitsgruppenverwaltung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoverwaltung

AccountManagement_AuditUserAccountManagement

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/AccountManagement_AuditUserAccountManagement

Mit dieser Richtlinieneinstellung können Sie Änderungen an Benutzerkonten überwachen. Zu den Ereignissen gehören: Ein Benutzerkonto wird erstellt, geändert, gelöscht; umbenannt, deaktiviert, aktiviert, gesperrt oder entsperrt. Das Kennwort eines Benutzerkontos wird festgelegt oder geändert. Dem SID-Verlauf eines Benutzerkontos wird eine Sicherheits-ID (SID) hinzugefügt. Das Kennwort für den Verzeichnisdienste-Wiederherstellungsmodus ist konfiguriert. Berechtigungen für Administratorbenutzerkonten werden geändert. Anmeldeinformationen des Anmeldeinformations-Managers werden gesichert oder wiederhergestellt.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, ein Benutzerkonto zu ändern, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn sich ein Benutzerkonto ändert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Benutzerkontenverwaltung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Kontoverwaltung

DetailedTracking_AuditDPAPIActivity

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DetailedTracking_AuditDPAPIActivity

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die generiert werden, wenn Verschlüsselungs- oder Entschlüsselungsanforderungen an die Datenschutzanwendungsschnittstelle (Data Protection Application Interface, DPAPI) gesendet werden. DPAPI wird verwendet, um Geheiminformationen wie gespeicherte Kennwort- und Schlüsselinformationen zu schützen. Weitere Informationen zu DPAPI finden Sie unter Verwenden des Datenschutzes.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn eine Verschlüsselungs- oder Entschlüsselungsanforderung an DPAPI gestellt wird. Erfolgsüberwachungen zeichnen erfolgreiche Anforderungen auf, und Fehlerüberwachungen erfassen nicht erfolgreiche Anforderungen.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn eine Verschlüsselungs- oder Entschlüsselungsanforderung an DIE DPAPI gesendet wird.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	DPAPI-Aktivität überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Detaillierte Nachverfolgung

DetailedTracking_AuditPNPActivity

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DetailedTracking_AuditPNPActivity

Mit dieser Richtlinieneinstellung können Sie überwachen, wann plug and play ein externes Gerät erkennt.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird jedes Mal ein Überwachungsereignis generiert, wenn plug and play ein externes Gerät erkennt. Für diese Kategorie werden nur Erfolgsüberwachungen aufgezeichnet.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn ein externes Gerät durch Plug & Play erkannt wird.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	PNP-Aktivität überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Detaillierte Nachverfolgung

DetailedTracking_AuditProcessCreation

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DetailedTracking_AuditProcessCreation

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die beim Erstellen oder Starten eines Prozesses generiert werden. Der Name der Anwendung oder des Benutzers, die den Prozess erstellt hat, wird ebenfalls überwacht.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Erstellen eines Prozesses ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Erstellen eines Prozesses kein Überwachungsereignis generiert.

Volume: Hängt davon ab, wie der Computer verwendet wird.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Prozesserstellung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Detaillierte Nachverfolgung

DetailedTracking_AuditProcessTermination

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DetailedTracking_AuditProcessTermination

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die generiert werden, wenn ein Prozess beendet wird.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Beenden eines Prozesses ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Beenden eines Prozesses kein Überwachungsereignis generiert.

Volume: Hängt davon ab, wie der Computer verwendet wird.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Prozessbeendung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Detaillierte Nachverfolgung

DetailedTracking_AuditRPCEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DetailedTracking_AuditRPCEvents

Mit dieser Richtlinieneinstellung können Sie eingehende RPC-Verbindungen (Remote Procedure Call) überwachen.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch einer Remote-RPC-Verbindung ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Versuch einer REMOTE-RPC-Verbindung kein Überwachungsereignis generiert.

Volume: Hohe Anzahl von RPC-Servern.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	RPC-Ereignisse überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Detaillierte Nachverfolgung

DetailedTracking_AuditTokenRightAdjusted

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DetailedTracking_AuditTokenRightAdjusted

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Anpassen der Berechtigungen eines Tokens generiert werden.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Überwachungstoken rechts angepasst
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Detaillierte Nachverfolgung

DSAccess_AuditDetailedDirectoryServiceReplication

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DSAccess_AuditDetailedDirectoryServiceReplication

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von einer detaillierten Active Directory Domain Services(AD DS)-Replikation zwischen Domänencontrollern generiert werden.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Detaillierte Verzeichnisdienstreplikation überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > DS-Zugriff

DSAccess_AuditDirectoryServiceAccess

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DSAccess_AuditDirectoryServiceAccess

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die beim Zugriff auf ein AD DS-Objekt (Active Directory Domain Services) generiert werden. Nur AD DS-Objekte mit einer übereinstimmenden Systemzugriffssteuerungsliste (SACL) werden protokolliert. Ereignisse in dieser Unterkategorie ähneln den In früheren Versionen von Windows verfügbaren Verzeichnisdienstzugriffsereignissen.

Volume: Hohe Anzahl von Domänencontrollern. Keine auf Clientcomputern.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Verzeichnisdienstzugriff überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > DS-Zugriff

DSAccess_AuditDirectoryServiceChanges

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DSAccess_AuditDirectoryServiceChanges

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an Objekten in Active Directory Domain Services (AD DS) generiert wurden. Ereignisse werden protokolliert, wenn ein Objekt erstellt, gelöscht, geändert, verschoben oder wiederherstellen wird. In dieser Unterkategorie protokollierte Ereignisse geben nach Möglichkeit die alten und neuen Werte der Eigenschaften des Objekts an. Ereignisse in dieser Unterkategorie werden nur auf Domänencontrollern protokolliert, und nur Objekte in AD DS mit einer übereinstimmenden Systemzugriffssteuerungsliste (SACL) werden protokolliert.

Hinweis

Aktionen für einige Objekte und Eigenschaften führen aufgrund von Einstellungen für die Objektklasse im Schema nicht dazu, dass Überwachungsereignisse generiert werden.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, ein Objekt in AD DS zu ändern, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, erfolglose Versuche werden jedoch NICHT aufgezeichnet.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Versuch, ein Objekt im AD DS-Objekt zu ändern, kein Überwachungsereignis generiert.

Volume: Nur auf Domänencontrollern mit hohem Volumen.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Verzeichnisdienständerungen überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > DS-Zugriff

DSAccess_AuditDirectoryServiceReplication

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/DSAccess_AuditDirectoryServiceReplication

Mit dieser Richtlinieneinstellung können Sie die Replikation zwischen zwei AD DS-Domänencontrollern (Active Directory Domain Services) überwachen.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird während der AD DS-Replikation ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen eine erfolgreiche Replikation auf, und Fehlerüberwachungen führen eine nicht erfolgreiche Replikation durch.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird während der AD DS-Replikation kein Überwachungsereignis generiert.

Volume: Mittel auf Domänencontrollern. Keine auf Clientcomputern.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Verzeichnisdienstreplikation überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > DS-Zugriff

ObjectAccess_AuditApplicationGenerated

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditApplicationGenerated

Mit dieser Richtlinieneinstellung können Sie Anwendungen überwachen, die Ereignisse mithilfe der Windows-Überwachung-APIs (Application Programming Interfaces) generieren. Anwendungen, die für die Verwendung der Windows-Überwachungs-API entwickelt wurden, verwenden diese Unterkategorie, um Überwachungsereignisse im Zusammenhang mit ihrer Funktion zu protokollieren. Zu den Ereignissen in dieser Unterkategorie gehören: Erstellen eines Anwendungsclientkontexts. Löschen eines Anwendungsclientkontexts. Initialisierung eines Anwendungsclientkontexts. Andere Anwendungsvorgänge, die die Windows-Überwachungs-APIs verwenden.

Volume: Hängt von den Anwendungen ab, die sie generieren.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Anwendung generiert überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditCentralAccessPolicyStaging

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditCentralAccessPolicyStaging

Mit dieser Richtlinieneinstellung können Sie Zugriffsanforderungen überwachen, bei denen die von einer vorgeschlagenen Richtlinie gewährte oder verweigerte Berechtigung von der aktuellen zentralen Zugriffsrichtlinie für ein Objekt abweicht. Wenn Sie diese Richtlinieneinstellung konfigurieren, wird jedes Mal ein Überwachungsereignis generiert, wenn ein Benutzer auf ein Objekt zugreift, und die berechtigung, die von der aktuellen zentralen Zugriffsrichtlinie für das Objekt gewährt wird, unterscheidet sich von der Berechtigung, die von der vorgeschlagenen Richtlinie gewährt wird. Das resultierende Überwachungsereignis wird wie folgt generiert: 1) Erfolgsüberwachungen zeichnet bei der Konfiguration Zugriffsversuche auf, wenn die aktuelle zentrale Zugriffsrichtlinie Zugriff gewährt, aber die vorgeschlagene Richtlinie den Zugriff verweigert. 2) Fehlerüberwachungen bei konfigurierten Aufzeichnungsversuchen, wenn: a) Die aktuelle zentrale Zugriffsrichtlinie gewährt keinen Zugriff, aber die vorgeschlagene Richtlinie gewährt Zugriff. b) Ein Prinzipal fordert die maximal zulässigen Zugriffsrechte an, und die von der aktuellen zentralen Zugriffsrichtlinie gewährten Zugriffsrechte unterscheiden sich von den Zugriffsrechten, die von der vorgeschlagenen Richtlinie gewährt werden. Volumen: Potenziell hoch auf einem Dateiserver, wenn sich die vorgeschlagene Richtlinie erheblich von der aktuellen zentralen Zugriffsrichtlinie unterscheidet.

Volumen: Potenziell hoch auf einem Dateiserver, wenn sich die vorgeschlagene Richtlinie erheblich von der aktuellen zentralen Zugriffsrichtlinie unterscheidet.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Staging zentraler Zugriffsrichtlinien überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditCertificationServices

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditCertificationServices

Mit dieser Richtlinieneinstellung können Sie Active Directory-Zertifikatdienste (AD CS)-Vorgänge überwachen. ZU DEN AD CS-Vorgängen gehören: AD CS-Start/-Herunterfahren/Sichern/Wiederherstellen. Änderungen an der Zertifikatsperrliste (Certificate Revocation List, CRL). Neue Zertifikatanforderungen. Ausstellung eines Zertifikats. Sperrung eines Zertifikats. Änderungen an den Zertifikat-Manager-Einstellungen für AD CS. Änderungen in der Konfiguration von AD CS. Änderungen an einer Zertifikatdienstvorlage. Importieren eines Zertifikats. Die Veröffentlichung eines Zertifizierungsstellenzertifikats erfolgt in Active Directory Domain Services. Änderungen an den Sicherheitsberechtigungen für AD CS. Archivierung eines Schlüssels. Importieren eines Schlüssels. Abrufen eines Schlüssels. Start des OCSP-Antwortdiensts (Online Certificate Status Protocol). Beenden des OCSP-Antwortdiensts (Online Certificate Status Protocol).

Volume: Mittel oder niedrig auf Computern, auf denen Active Directory-Zertifikatdienste ausgeführt werden.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Zertifizierungsdienste überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditDetailedFileShare

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditDetailedFileShare

Mit dieser Richtlinieneinstellung können Sie Versuche überwachen, auf Dateien und Ordner in einem freigegebenen Ordner zuzugreifen. Die Einstellung Detaillierte Dateifreigabe protokolliert jedes Mal, wenn auf eine Datei oder einen Ordner zugegriffen wird, ein Ereignis, während die Einstellung Dateifreigabe nur ein Ereignis für jede Verbindung erfasst, die zwischen einem Client und einer Dateifreigabe hergestellt wird. Detaillierte Dateifreigabeüberwachungsereignisse enthalten detaillierte Informationen zu den Berechtigungen oder anderen Kriterien, die zum Gewähren oder Verweigern des Zugriffs verwendet werden.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn versucht wird, auf eine Datei oder einen Ordner auf einer Freigabe zuzugreifen. Der Administrator kann angeben, ob nur Erfolge, nur Fehler oder sowohl Erfolge als auch Fehler überwacht werden sollen.

Hinweis

Es gibt keine Systemzugriffssteuerungslisten (SACLs) für freigegebene Ordner.

• Wenn diese Richtlinieneinstellung aktiviert ist, wird der Zugriff auf alle freigegebenen Dateien und Ordner im System überwacht.

Volume: Hohe Auslastung auf einem Dateiserver oder Domänencontroller aufgrund des SYSVOL-Netzwerkzugriffs, der für die Gruppenrichtlinie erforderlich ist.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Detaillierte Dateifreigabe überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditFileShare

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditFileShare

Mit dieser Richtlinieneinstellung können Sie Zugriffsversuche auf einen freigegebenen Ordner überwachen.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, auf einen freigegebenen Ordner zuzugreifen, ein Überwachungsereignis generiert.

• Wenn diese Richtlinieneinstellung definiert ist, kann der Administrator angeben, ob nur Erfolge, nur Fehler oder sowohl Erfolge als auch Fehler überwacht werden sollen.

Hinweis

Es gibt keine Systemzugriffssteuerungslisten (SACLs) für freigegebene Ordner.

• Wenn diese Richtlinieneinstellung aktiviert ist, wird der Zugriff auf alle freigegebenen Ordner im System überwacht.

Volume: Hohe Auslastung auf einem Dateiserver oder Domänencontroller aufgrund des SYSVOL-Netzwerkzugriffs, der für die Gruppenrichtlinie erforderlich ist.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Dateifreigabe überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditFileSystem

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditFileSystem

Mit dieser Richtlinieneinstellung können Sie Benutzerversuche für den Zugriff auf Dateisystemobjekte überwachen. Ein Sicherheitsüberwachungsereignis wird nur für Objekte generiert, für die SACL (System Access Control Lists) angegeben ist, und nur dann, wenn der angeforderte Zugriffstyp( z. B. Schreiben, Lesen oder Ändern) und das Konto, das die Anforderung sendet, mit den Einstellungen in der SACL übereinstimmt. Weitere Informationen zum Aktivieren der Objektzugriffsüberwachung finden Sie unter<https://go.microsoft.com/fwlink/?LinkId=122083> .

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird jedes Mal ein Überwachungsereignis generiert, wenn ein Konto auf ein Dateisystemobjekt mit einer entsprechenden SACL zugreift. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn ein Konto auf ein Dateisystemobjekt mit einer entsprechenden SACL zugreift.

Hinweis

Sie können eine SACL für ein Dateisystemobjekt festlegen, indem Sie die Registerkarte Sicherheit im Dialogfeld Eigenschaften dieses Objekts verwenden.

Volume: Hängt davon ab, wie die Dateisystem-SACLs konfiguriert sind.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Dateisystem überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditFilteringPlatformConnection

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditFilteringPlatformConnection

Mit dieser Richtlinieneinstellung können Sie Verbindungen überwachen, die von der Windows-Filterplattform (Windows Filtering Platform, WFP) zugelassen oder blockiert werden. Die folgenden Ereignisse sind enthalten: Der Windows-Firewalldienst blockiert, dass eine Anwendung eingehende Verbindungen im Netzwerk akzeptiert. Das WFP lässt eine Verbindung zu. Das WFP blockiert eine Verbindung. Das WFP lässt eine Bindung an einen lokalen Port zu. Das WFP blockiert eine Bindung an einen lokalen Port. Das WFP lässt eine Verbindung zu. Das WFP blockiert eine Verbindung. Das WFP ermöglicht es einer Anwendung oder einem Dienst, an einem Port auf eingehende Verbindungen zu lauschen. Das WFP blockiert eine Anwendung oder einen Dienst, um an einem Port auf eingehende Verbindungen zu lauschen.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn Verbindungen vom WFP zugelassen oder blockiert werden. Erfolgsüberwachungen von Datensatzereignissen, die generiert werden, wenn Verbindungen zulässig sind, und Fehlerüberwachungen Datensatzereignisse, die beim Blockieren von Verbindungen generiert werden.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn die Verbindung vom WFP zugelassen oder blockiert wird.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Filterplattformverbindung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditFilteringPlatformPacketDrop

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditFilteringPlatformPacketDrop

Mit dieser Richtlinieneinstellung können Sie Pakete überwachen, die von der Windows-Filterplattform (Windows Filtering Platform, WFP) gelöscht werden.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Filterplattform: Verworfene Pakete überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditHandleManipulation

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditHandleManipulation

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die generiert werden, wenn ein Handle für ein Objekt geöffnet oder geschlossen wird. Nur Objekte mit einer übereinstimmenden Systemzugriffssteuerungsliste (SACL) generieren Sicherheitsüberwachungsereignisse.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Bearbeiten eines Handles ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Bearbeiten eines Handles kein Überwachungsereignis generiert.

Hinweis

Ereignisse in dieser Unterkategorie generieren Ereignisse nur für Objekttypen, bei denen die entsprechende Objektzugriffsunterkategorie aktiviert ist. Wenn beispielsweise der Zugriff auf Dateisystemobjekte aktiviert ist, werden Sicherheitsüberwachungsereignisse für die Verarbeitung von Manipulationen generiert. Wenn der Zugriff auf registry-Objekte nicht aktiviert ist, werden keine Sicherheitsüberwachungsereignisse für die Verarbeitung von Manipulationen generiert.

Volume: Hängt davon ab, wie SACLs konfiguriert werden.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Handleänderung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditKernelObject

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditKernelObject

Mit dieser Richtlinieneinstellung können Sie Zugriffsversuche auf den Kernel überwachen, einschließlich Mutexen und Semaphoren. Nur Kernelobjekte mit einer übereinstimmenden Systemzugriffssteuerungsliste (SACL) generieren Sicherheitsüberwachungsereignisse.

Hinweis

Die Richtlinieneinstellung Audit: Überwachen des Zugriffs auf globale Systemobjekte steuert die Standard-SACL von Kernelobjekten.

Volume: Hoch, wenn die Überwachung des Zugriffs auf globale Systemobjekte aktiviert ist.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Kernelobjekt überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditOtherObjectAccessEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditOtherObjectAccessEvents

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch die Verwaltung von Aufgabenplanungsaufträgen oder COM+-Objekten generiert wurden. Für Planeraufträge werden folgende Überwacht: Auftrag erstellt. Auftrag wurde gelöscht. Auftrag aktiviert. Auftrag deaktiviert. Auftrag aktualisiert. Für COM+-Objekte wird Folgendes überwacht: Katalogobjekt hinzugefügt. Katalogobjekt aktualisiert. Das Katalogobjekt wurde gelöscht.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Andere Objektzugriffsereignisse überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditRegistry

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditRegistry

Mit dieser Richtlinieneinstellung können Sie Zugriffsversuche auf Registrierungsobjekte überwachen. Ein Sicherheitsüberwachungsereignis wird nur für Objekte generiert, für die Systemzugriffssteuerungslisten (SACLs) angegeben sind, und nur dann, wenn die Art des angeforderten Zugriffs, z. B. Lesen, Schreiben oder Ändern, und das Konto, das die Anforderung erstellt, mit den Einstellungen in der SACL übereinstimmen.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird jedes Mal ein Überwachungsereignis generiert, wenn ein Konto auf ein Registrierungsobjekt mit einer entsprechenden SACL zugreift. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn ein Konto auf ein Registrierungsobjekt mit einer entsprechenden SACL zugreift.

Hinweis

Sie können eine SACL für ein Registrierungsobjekt mithilfe des Dialogfelds Berechtigungen festlegen.

Volume: Hängt davon ab, wie SACLs für die Registrierung konfiguriert sind.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Registrierung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditRemovableStorage

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditRemovableStorage

Mit dieser Richtlinieneinstellung können Sie Benutzerversuche für den Zugriff auf Dateisystemobjekte auf einem Wechseldatenträger überwachen. Ein Sicherheitsüberwachungsereignis wird nur für alle Objekte für alle angeforderten Zugriffstypen generiert.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird jedes Mal ein Überwachungsereignis generiert, wenn ein Konto auf ein Dateisystemobjekt in einem Wechselspeicher zugreift. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn ein Konto auf ein Dateisystemobjekt in einem Wechselspeicher zugreift.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Wechselmedien überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

ObjectAccess_AuditSAM

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/ObjectAccess_AuditSAM

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Zugriffsversuche auf SAM-Objekte (Security Accounts Manager) generiert werden. SAM-Objekte umfassen Folgendes: SAM_ALIAS -- Eine lokale Gruppe. SAM_GROUP : Eine Gruppe, die keine lokale Gruppe ist. SAM_USER: Ein Benutzerkonto. SAM_DOMAIN: Eine Domäne. SAM_SERVER: Ein Computerkonto.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn versucht wird, auf ein Kernelobjekt zuzugreifen. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Versuch, auf ein Kernelobjekt zuzugreifen, kein Überwachungsereignis generiert.

Hinweis

Nur die Systemzugriffssteuerungsliste (SACL) für SAM_SERVER kann geändert werden. Volume: Hohe Anzahl von Domänencontrollern.

Volume: Hohe Anzahl von Domänencontrollern. Weitere Informationen zum Reduzieren der Anzahl von Ereignissen, die durch die Überwachung des Zugriffs auf globale Systemobjekte generiert werden, finden Sie unter Überwachen des Zugriffs auf globale Systemobjekte.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	SAM überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinie Konfiguration > Systemüberwachungsrichtlinien > Objektzugriff

PolicyChange_AuditAuthenticationPolicyChange

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PolicyChange_AuditAuthenticationPolicyChange

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an der Authentifizierungsrichtlinie generiert werden, z. B. die folgenden: Erstellung von Gesamtstruktur- und Domänenvertrauensstellungen. Änderung von Gesamtstruktur- und Domänenvertrauensstellungen. Entfernen von Gesamtstruktur- und Domänenvertrauensstellungen. Änderungen an der Kerberos-Richtlinie unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Kontorichtlinien\Kerberos-Richtlinie. Gewähren eines der folgenden Benutzerrechte für einen Benutzer oder eine Gruppe: Zugriff auf diesen Computer aus dem Netzwerk. Lokale Anmeldung zulassen. Anmeldung über Terminaldienste zulassen. Melden Sie sich als Batchauftrag an. Melden Sie einen Dienst an. Namespace Kollision. Beispiel: Eine neue Vertrauensstellung hat denselben Namen wie ein vorhandener Namespacename.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, die Authentifizierungsrichtlinie zu ändern, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Ändern der Authentifizierungsrichtlinie kein Überwachungsereignis generiert.

Hinweis

Das Sicherheitsüberwachungsereignis wird protokolliert, wenn die Gruppenrichtlinie angewendet wird. Dies tritt nicht zu dem Zeitpunkt auf, zu dem die Einstellungen geändert werden.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Authentifizierungsrichtlinienänderung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Richtlinienänderung

PolicyChange_AuditAuthorizationPolicyChange

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PolicyChange_AuditAuthorizationPolicyChange

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an der Autorisierungsrichtlinie generiert werden, z. B. die folgenden: Zuweisung von Benutzerrechten (Berechtigungen), z. B. SeCreateTokenPrivilege, die nicht über die Unterkategorie "Änderung der Authentifizierungsrichtlinie" überwacht werden. Entfernen von Benutzerrechten (Berechtigungen), z. B. SeCreateTokenPrivilege, die nicht durch die Unterkategorie "Änderung der Authentifizierungsrichtlinie" überwacht werden. Änderungen in der EfS-Richtlinie (Encrypted File System). Änderungen an den Ressourcenattributen eines Objekts. Änderungen an der zentralen Zugriffsrichtlinie (Central Access Policy, CAP), die auf ein Objekt angewendet wird.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, die Autorisierungsrichtlinie zu ändern, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn sich die Autorisierungsrichtlinie ändert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Autorisierungsrichtlinienänderung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Richtlinienänderung

PolicyChange_AuditFilteringPlatformPolicyChange

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PolicyChange_AuditFilteringPlatformPolicyChange

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen an der Windows-Filterplattform (Windows Filtering Platform, WFP) generiert wurden, z. B. den folgenden: IPsec-Dienststatus. Änderungen an IPsec-Richtlinieneinstellungen. Änderungen an den Richtlinieneinstellungen der Windows-Firewall. Änderungen an WFP-Anbietern und -Engine.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn versucht wird, das WFP zu ändern. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn eine Änderung am WFP auftritt.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Filterplattform-Richtlinienänderung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Richtlinienänderung

PolicyChange_AuditMPSSVCRuleLevelPolicyChange

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PolicyChange_AuditMPSSVCRuleLevelPolicyChange

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von Änderungen an Richtlinienregeln generiert werden, die vom Microsoft Protection Service (MPSSVC) verwendet werden. Dieser Dienst wird von der Windows-Firewall verwendet. Zu den Ereignissen gehören: Berichterstellung aktiver Richtlinien beim Starten des Windows-Firewalldiensts. Änderungen an Windows-Firewallregeln. Änderungen an der Ausnahmeliste der Windows-Firewall. Änderungen an den Einstellungen der Windows-Firewall. Regeln, die vom Windows-Firewalldienst ignoriert oder nicht angewendet werden. Änderungen an den Gruppenrichtlinieneinstellungen der Windows-Firewall.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, indem versucht wird, von MPSSVC verwendete Richtlinienregeln zu ändern. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird durch Änderungen an Richtlinienregeln, die von MPSSVC verwendet werden, kein Überwachungsereignis generiert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Richtlinienänderung auf MPSSVC-Regelebene überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Richtlinienänderung

PolicyChange_AuditOtherPolicyChangeEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PolicyChange_AuditOtherPolicyChangeEvents

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die von anderen Sicherheitsrichtlinienänderungen generiert werden, die nicht in der Kategorie "Richtlinienänderung" überwacht werden, z. B. die folgenden Änderungen: TPM-Konfigurationsänderungen (Trusted Platform Module). Kryptografische Selbsttests im Kernelmodus. Kryptografieanbietervorgänge. Kryptografische Kontextvorgänge oder -änderungen. Änderungen an angewendeten zentralen Zugriffsrichtlinien (CENTRAL Access Policies, CAPs). Änderungen an Startkonfigurationsdaten (BOOT Configuration Data, BCD).

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Andere Richtlinienänderungsereignisse überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Richtlinienänderung

PolicyChange_AuditPolicyChange

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PolicyChange_AuditPolicyChange

Mit dieser Richtlinieneinstellung können Sie Änderungen an den Richtlinieneinstellungen für die Sicherheitsüberwachung überwachen, z. B. die folgenden: Einstellungsberechtigungen und Überwachungseinstellungen für das Überwachungsrichtlinienobjekt. Änderungen an der Systemüberwachungsrichtlinie. Registrierung von Sicherheitsereignisquellen. Aufheben der Registrierung von Sicherheitsereignisquellen. Änderungen an den Überwachungseinstellungen pro Benutzer. Ändert den Wert von CrashOnAuditFail. Änderungen an der Systemzugriffssteuerungsliste für ein Dateisystem- oder Registrierungsobjekt. Änderungen an der Liste "Spezielle Gruppen".

Hinweis

Die Änderungsüberwachung der Systemzugriffssteuerungsliste (SACL) wird durchgeführt, wenn sich eine SACL für ein Objekt ändert und die Kategorie der Richtlinienänderung aktiviert ist. DaCL(Discretionary Access Control List) und Besitzeränderungen werden überwacht, wenn die Objektzugriffsüberwachung aktiviert ist und die SACL des Objekts für die Überwachung der DACL/Besitzeränderung konfiguriert ist.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Richtlinienänderung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Richtlinienänderung

PrivilegeUse_AuditNonSensitivePrivilegeUse

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PrivilegeUse_AuditNonSensitivePrivilegeUse

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch die Verwendung nicht vertraulicher Berechtigungen (Benutzerrechte) generiert wurden. Die folgenden Berechtigungen sind nicht vertraulich: Access Credential Manager als vertrauenswürdiger Aufrufer. Greifen Sie über das Netzwerk auf diesen Computer zu. Fügen Sie Arbeitsstationen zur Domäne hinzu. Passen Sie die Speicherkontingente für einen Prozess an. Lokale Anmeldung zulassen. Anmeldung über Terminaldienste zulassen. Umgehen Sie die Traverse-Überprüfung. Ändern Sie die Systemzeit. Erstellen Sie eine Auslagerungsdatei. Erstellen sie globale Objekte. Erstellen sie permanent freigegebene Objekte. Erstellen sie symbolische Verknüpfungen. Verweigern Sie den Zugriff auf diesen Computer aus dem Netzwerk. Die Anmeldung als Batchauftrag verweigern. Verweigern der Anmeldung als Dienst. Lokale Anmeldung verweigern. Verweigern der Anmeldung über Terminaldienste. Erzwingen des Herunterfahrens von einem Remotesystem. Erhöhen eines Prozessarbeitssatzes. Erhöhen Sie die Planungspriorität. Sperren von Seiten im Arbeitsspeicher. Melden Sie sich als Batchauftrag an. Melden Sie sich als Dienst an. Ändern einer Objektbezeichnung. Ausführen von Volumewartungsaufgaben. Profilerstellung für einen einzelnen Prozess. Profilerstellung für die Systemleistung. Entfernen Sie den Computer aus der Dockingstation. Fahren Sie das System herunter. Synchronisieren von Verzeichnisdienstdaten.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn eine nicht sensible Berechtigung aufgerufen wird. Erfolgreiche Überwachungen zeichnen erfolgreiche Aufrufe auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Aufrufe auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Aufrufen einer nicht vertraulichen Berechtigung kein Überwachungsereignis generiert.

Volumen: Sehr hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Nicht sensible Verwendung von Rechten überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Berechtigungsverwendung

PrivilegeUse_AuditOtherPrivilegeUseEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PrivilegeUse_AuditOtherPrivilegeUseEvents

Nicht verwendet.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Andere Rechteverwendungsereignisse überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Berechtigungsverwendung

PrivilegeUse_AuditSensitivePrivilegeUse

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/PrivilegeUse_AuditSensitivePrivilegeUse

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die generiert werden, wenn vertrauliche Berechtigungen (Benutzerrechte) verwendet werden, z. B.: Ein privilegierter Dienst wird aufgerufen. Eine der folgenden Berechtigungen wird aufgerufen: Als Teil des Betriebssystems fungieren. Sichern von Dateien und Verzeichnissen. Erstellen Sie ein Tokenobjekt. Debuggen von Programmen. Aktivieren Sie Computer- und Benutzerkonten für die Delegierung als vertrauenswürdig. Generieren von Sicherheitsüberwachungen. Annehmen der Identität eines Clients nach der Authentifizierung. Laden und Entladen von Gerätetreibern. Verwalten von Überwachungs- und Sicherheitsprotokollen. Ändern Sie die Werte der Firmwareumgebung. Ersetzen Sie ein Token auf Prozessebene. Stellen Sie Dateien und Verzeichnisse wieder her. Übernehmen Sie den Besitz von Dateien oder anderen Objekten.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis generiert, wenn vertrauliche Berechtigungsanforderungen gestellt werden. Erfolgsüberwachungen zeichnen erfolgreiche Anforderungen auf, und Fehlerüberwachungen erfassen nicht erfolgreiche Anforderungen.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird kein Überwachungsereignis generiert, wenn vertrauliche Berechtigungsanforderungen gestellt werden.

Volumen: Hoch.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Sensible Verwendung von Rechten überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Systemüberwachungsrichtlinien > Berechtigungsverwendung

System_AuditIPsecDriver

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/System_AuditIPsecDriver

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die vom IPsec-Filtertreiber generiert werden, z. B. die folgenden: Starten und Herunterfahren der IPsec-Dienste. Netzwerkpakete wurden aufgrund eines Integritätsprüfungsfehlers verworfen. Netzwerkpakete, die aufgrund eines Wiederholungsprüfungsfehlers verworfen wurden. Netzwerkpakete, die aufgrund von Klartext verworfen wurden. Netzwerkpakete, die mit falschem Sicherheitsparameterindex (SPI) empfangen werden. Dies kann darauf hindeuten, dass entweder die Netzwerkkarte nicht ordnungsgemäß funktioniert oder der Treiber aktualisiert werden muss. Unfähigkeit, IPsec-Filter zu verarbeiten.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird ein Überwachungsereignis für einen IPsec-Filtertreibervorgang generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird für einen IPSec-Filtertreibervorgang kein Überwachungsereignis generiert.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	IPsec-Treiber überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > SystemüberwachungsrichtlinienSystem >

System_AuditOtherSystemEvents

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/System_AuditOtherSystemEvents

Mit dieser Richtlinieneinstellung können Sie jedes der folgenden Ereignisse überwachen: Starten und Herunterfahren des Windows-Firewalldiensts und -Treibers. Verarbeitung von Sicherheitsrichtlinien durch den Windows-Firewalldienst. Kryptografieschlüsseldatei und Migrationsvorgänge.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	3

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3 (Standard)	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Andere Systemereignisse überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > SystemüberwachungsrichtlinienSystem >

System_AuditSecurityStateChange

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/System_AuditSecurityStateChange

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die durch Änderungen des Sicherheitsstatus des Computers generiert werden, z. B. die folgenden Ereignisse: Starten und Herunterfahren des Computers. Änderung der Systemzeit. Wiederherstellung des Systems aus CrashOnAuditFail, das nach dem Neustart eines Systems protokolliert wird, wenn das Sicherheitsereignisprotokoll voll ist und der Registrierungseintrag CrashOnAuditFail konfiguriert ist.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	1

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1 (Standard)	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Sicherheitsstatusänderung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > SystemüberwachungsrichtlinienSystem >

System_AuditSecuritySystemExtension

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/System_AuditSecuritySystemExtension

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die sich auf Sicherheitssystemerweiterungen oder -dienste beziehen, z. B. die folgenden: Eine Sicherheitssystemerweiterung, z. B. eine Authentifizierung, Benachrichtigung oder ein Sicherheitspaket, wird geladen und bei der lokalen Sicherheitsautorität (Local Security Authority, LSA) registriert. Es wird verwendet, um Anmeldeversuche zu authentifizieren, Anmeldeanforderungen zu übermitteln und um Konto- oder Kennwortänderungen zu ändern. Beispiele für Sicherheitssystemerweiterungen sind Kerberos und NTLM. Ein Dienst wird installiert und beim Dienststeuerungs-Manager registriert. Das Überwachungsprotokoll enthält Informationen zu Dienstname, Binärdatei, Typ, Starttyp und Dienstkonto.

• Wenn Sie diese Richtlinieneinstellung konfigurieren, wird beim Versuch, eine Sicherheitssystemerweiterung zu laden, ein Überwachungsereignis generiert. Erfolgsüberwachungen zeichnen erfolgreiche Versuche auf, und Fehlerüberwachungen zeichnen fehlgeschlagene Versuche auf.

• Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, wird beim Versuch, eine Sicherheitssystemerweiterung zu laden, kein Überwachungsereignis generiert.

Volumen: Niedrig. Sicherheitssystemerweiterungsereignisse werden häufiger auf einem Domänencontroller als auf Clientcomputern oder Mitgliedsservern generiert.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	0

Zulässige Werte:

Wert	Beschreibung
0 (Standard)	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Sicherheitssystemerweiterung überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > SystemüberwachungsrichtlinienSystem >

System_AuditSystemIntegrity

Bereich	Editionen	Geeignetes Betriebssystem
✅ Gerät ❌ Benutzer	✅ Pro ✅ Enterprise ✅ Education ✅ Windows SE ✅ IoT Enterprise / IoT Enterprise LTSC	✅ Windows 10, Version 1803 mit KB4516045 [10.0.17134.1039] und höher ✅ Windows 10, Version 1809 mit KB4516077 [10.0.17763.774] und höher ✅ Windows 10, Version 1903 mit KB4512941 [10.0.18362.329] und höher ✅ Windows 10, Version 2004 [10.0.19041] und höher

./Device/Vendor/MSFT/Policy/Config/Audit/System_AuditSystemIntegrity

Mit dieser Richtlinieneinstellung können Sie Ereignisse überwachen, die die Integrität des Sicherheitssubsystems verletzen, z. B.: Ereignisse, die aufgrund eines Problems mit dem Überwachungssystem nicht in das Ereignisprotokoll geschrieben werden konnten. Ein Prozess, der einen LPC-Port (Local Procedure Call) verwendet, der nicht gültig ist, um die Identität eines Clients durch Antworten, Lesen oder Schreiben in oder aus einem Clientadressraum zu annehmen. Die Erkennung eines Remoteprozeduraufrufs (RPC), der die Systemintegrität gefährdet. Die Erkennung eines Hashwerts einer ausführbaren Datei, die aufgrund der Codeintegrität ungültig ist. Kryptografische Vorgänge, die die Systemintegrität gefährden.

Volumen: Niedrig.

Beschreibungsframeworkeigenschaften:

Eigenschaftenname	Eigenschaftenwert
Format	int
Zugriffstyp	Hinzufügen, Löschen, Abrufen, Ersetzen
Standardwert	3

Zulässige Werte:

Wert	Beschreibung
0	Aus/Keine.
1	Erfolgreich.
2	Versagen.
3 (Standard)	Erfolg+Fehler.

Gruppenrichtlinienzuordnung:

Name	Wert
Name	Systemintegrität überwachen
Pfad	Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > SystemüberwachungsrichtlinienSystem >

Verwandte Artikel

Dienstanbieter für die Richtlinienkonfiguration