Appendice L: Eventi da monitorare

Si applica a: Windows Server 2022, Windows Server 2019, Windows Server

Nella tabella seguente sono elencati gli eventi da monitorare nell'ambiente, in base alle raccomandazioni fornite in Monitoraggio dei segnali di compromissione di Active Directory. Nella tabella che segue, la colonna "ID evento Windows corrente" elenca l'ID evento corrente così come viene implementato nelle versioni di Windows e Windows Server attualmente coperte dal supporto Mainstream.

La colonna "ID evento Windows legacy" elenca l'ID evento corrispondente nelle versioni legacy di Windows, ad esempio i computer client che eseguono Windows XP o versioni precedenti e i server che eseguono Windows Server 2003 o versioni precedenti. La colonna "Criticità potenziale" identifica il livello di criticità dell'evento (basso, medio o alto) per il rilevamento di attacchi e la colonna "Riepilogo evento" fornisce una breve descrizione dell'evento.

Una criticità potenziale di livello Alto indica che è necessario esaminare più occorrenze dell'evento. Una criticità potenziale di livello Medio o Basso indica che questi eventi devono essere esaminati solo se si verificano in modo imprevisto e con numeri che superano significativamente la base prevista in un periodo di tempo misurato. Tutte le organizzazioni devono testare queste raccomandazioni nei propri ambienti prima di creare avvisi che richiedono risposte obbligatorie in seguito a indagini. Ogni ambiente è diverso e alcuni degli eventi classificati con una criticità potenziale di livello Alto possono verificarsi a causa di altri eventi innocui.

ID evento Windows corrente	ID evento Windows legacy	Criticità potenziale	Riepilogo evento
4618	N/D	Alta	Si è verificato un modello di evento di sicurezza monitorato.
4649	N/D	Alta	È stato rilevato un attacco di tipo replay. Può essere un falso positivo innocuo causato da un errore di configurazione errata.
4719	612	Alta	I criteri di controllo del sistema sono stati modificati.
4765	N/D	Alta	La cronologia SID è stata aggiunta a un account.
4766	N/D	Alta	Tentativo fallito di aggiungere la cronologia SID a un account.
4794	N/D	Alta	Tentativo di impostare la modalità ripristino servizi directory.
4897	801	Alta	Separazione ruoli abilitata:
4964	N/D	Alta	Gruppi speciali assegnati a un nuovo account di accesso.
5124	N/D	Alta	Un'impostazione di sicurezza è stata aggiornata nel servizio risponditore OCSP
N/D	550	Da medio a alto	Possibile attacco Denial of Service (DoS)
1102	517	Da medio a alto	Il log di controllo è stato cancellato
4621	N/D	Medio	L'amministratore ha recuperato il sistema da CrashOnAuditFail. Gli utenti non amministratori ora potranno accedere. Alcune attività controllabili potrebbero non essere state registrate.
4675	N/D	Medio	I SID sono stati filtrati.
4692	N/D	Medio	Tentativo di backup della chiave master di protezione dei dati.
4693	N/D	Medio	Tentativo di recupero della chiave master di protezione dei dati.
4706	610	Medio	È stata creata una nuova relazione di trust con un dominio.
4713	617	Medio	I criteri Kerberos sono stati modificati.
4714	618	Medio	I criteri di ripristino dei dati crittografati sono stati modificati.
4715	N/D	Medio	I criteri di controllo (SACL) per un oggetto sono stati modificati.
4716	620	Medio	Le informazioni sui domini attendibili sono state modificate.
4724	628	Medio	È stato effettuato un tentativo di reimpostare la password di un account.
4727	631	Medio	È stato creato un gruppo globale con sicurezza abilitata.
4735	639	Medio	Un gruppo locale con sicurezza abilitata è stato modificato.
4737	641	Medio	Un gruppo globale con sicurezza abilitata è stato modificato.
4739	643	Medio	I criteri di dominio sono stati modificati.
4754	658	Medio	È stato creato un gruppo universale con sicurezza abilitata.
4755	659	Medio	Un gruppo universale con sicurezza abilitata è stato modificato.
4764	667	Medio	Un gruppo con sicurezza disabilitata è stato eliminato
4764	668	Medio	Il tipo di un gruppo è stato modificato.
4780	684	Medio	L'elenco di controllo di accesso è stato impostato su account che sono membri di gruppi Administrators.
4816	N/D	Medio	RPC ha rilevato una violazione dell'integrità durante la decrittografia di un messaggio in arrivo.
4865	N/D	Medio	È stata aggiunta una voce di informazioni sulle foreste attendibili.
4866	N/D	Medio	È stata rimossa una voce di informazioni sulle foreste attendibili.
4867	N/D	Medio	È stata modificata una voce di informazioni sulle foreste attendibili.
4868	772	Medio	Il gestore dei certificati ha negato una richiesta di certificati in sospeso.
4870	774	Medio	Servizi certificati ha revocato un certificato.
4882	786	Medio	Le autorizzazioni di sicurezza di Servizi certificati sono cambiate.
4885	789	Medio	Il filtro di controllo di Servizi certificati è cambiato.
4890	794	Medio	Le impostazioni del gestore di certificati per Servizi certificati sono cambiate.
4892	796	Medio	Una proprietà di Servizi certificati è cambiata.
4896	800	Medio	Una o più righe sono state eliminate dal database dei certificati.
4906	N/D	Medio	Il valore CrashOnAuditFail è stato modificato.
4907	N/D	Medio	Le impostazioni di controllo sull'oggetto sono state modificate.
4908	N/D	Medio	La tabella di accesso dei gruppi speciali è stata modificata.
4912	807	Medio	I criteri di controllo per utente sono stati modificati.
4960	N/D	Medio	IPsec ha eliminato un pacchetto in ingresso che non ha superato un controllo di integrità. Se questo problema persiste, potrebbe indicare un problema di rete o che i pacchetti vengono modificati in transito nel computer. Verificare che i pacchetti inviati dal computer remoto siano uguali a quelli ricevuti da questo computer. Questo errore potrebbe anche indicare problemi di interoperabilità con altre implementazioni IPsec.
4961	N/D	Medio	IPsec ha eliminato un pacchetto in ingresso che non ha superato un controllo di riproduzione. Se il problema persiste, potrebbe indicare un attacco di tipo replay contro questo computer.
4962	N/D	Medio	IPsec ha eliminato un pacchetto in ingresso che non ha superato un controllo di riproduzione. Il pacchetto in ingresso aveva un numero di sequenza troppo basso per garantire che non fosse una riproduzione.
4963	N/D	Medio	IPsec ha eliminato un pacchetto di testo non crittografato in ingresso che avrebbe dovuto essere protetto. Questo in genere è dovuto alla modifica del criterio IPsec da parte del computer remoto senza informare questo computer. Potrebbe anche trattarsi di un tentativo di attacco di spoofing.
4965	N/D	Medio	IPsec ha ricevuto da un computer remoto un pacchetto con un indice dei parametri di sicurezza (SPI) non corretto. Questo è in genere causato da un malfunzionamento hardware che danneggia i pacchetti. Se questi errori persistono, verificare che i pacchetti inviati dal computer remoto siano uguali a quelli ricevuti da questo computer. Questo errore può anche indicare problemi di interoperabilità con altre implementazioni IPsec. In questo caso, se la connettività non è impedita, questi eventi possono essere ignorati.
4976	N/D	Medio	Durante la negoziazione in modalità principale, IPsec ha ricevuto un pacchetto di negoziazione non valido. Se questo problema persiste, potrebbe indicare un problema di rete o un tentativo di modifica o riproduzione di questa negoziazione.
4977	N/D	Medio	Durante la negoziazione in modalità rapida, IPsec ha ricevuto un pacchetto di negoziazione non valido. Se questo problema persiste, potrebbe indicare un problema di rete o un tentativo di modifica o riproduzione di questa negoziazione.
4978	N/D	Medio	Durante la negoziazione in modalità estesa, IPsec ha ricevuto un pacchetto di negoziazione non valido. Se questo problema persiste, potrebbe indicare un problema di rete o un tentativo di modifica o riproduzione di questa negoziazione.
4983	N/D	Medio	Negoziazione in modalità IPsec estesa non riuscita. L'associazione di sicurezza in modalità principale corrispondente è stata eliminata.
4984	N/D	Medio	Negoziazione in modalità IPsec estesa non riuscita. L'associazione di sicurezza in modalità principale corrispondente è stata eliminata.
5027	N/D	Medio	Il servizio Windows Firewall non è riuscito a recuperare i criteri di sicurezza dall'archiviazione locale. Il servizio continuerà ad applicare i criteri correnti.
5028	N/D	Medio	Il servizio Windows Firewall non è riuscito ad analizzare i nuovi criteri di sicurezza. Il servizio continuerà con i criteri applicati correnti.
5029	N/D	Medio	Il servizio Windows Firewall non è riuscito a inizializzare il driver. Il servizio continuerà ad applicare i criteri correnti.
5030	N/D	Medio	L'avvio del servizio Windows Firewall non è riuscito.
5035	N/D	Medio	L'avvio del driver di Windows Firewall non è riuscito.
5037	N/D	Medio	Il driver di Windows Firewall ha rilevato un errore di runtime critico. Arresto in corso.
5038	N/D	Medio	L'integrità del codice ha determinato che l'hash dell'immagine di un file non è valido. Il file potrebbe essere danneggiato a causa di modifiche non autorizzate o l'hash non valido potrebbe indicare un potenziale errore del dispositivo del disco.
5120	N/D	Medio	Servizio risponditore OCSP avviato
5121	N/D	Medio	Servizio risponditore OCSP arrestato
5122	N/D	Medio	Una voce di configurazione nel servizio risponditore OCSP è cambiata
5123	N/D	Medio	Una voce di configurazione nel servizio risponditore OCSP è cambiata
5376	N/D	Medio	È stato eseguito il backup delle credenziali di Gestione credenziali.
5377	N/D	Medio	Le credenziali di Gestione credenziali sono state ripristinate da un backup.
5453	N/D	Medio	Una negoziazione IPsec con un computer remoto non è riuscita perché il servizio (IKE and AuthIP IPsec Keying Modules (IKEEXT) service) non è avviato.
5480	N/D	Medio	I servizi IPsec non sono riusciti a ottenere l'elenco completo delle interfacce di rete nel computer. Questo comporta un potenziale rischio per la sicurezza perché alcune interfacce di rete potrebbero non ottenere la protezione fornita dai filtri IPsec applicati. Usare lo snap-in Monitor di sicurezza IP per diagnosticare il problema.
5483	N/D	Medio	I servizi IPsec non sono riusciti a inizializzare il server RPC. Avvio dei servizi IPsec non riuscito.
5484	N/D	Medio	I servizi IPsec hanno riscontrato un errore critico e sono stati arrestati. L'arresto dei servizi IPsec può esporre il computer a un rischio maggiore di attacco alla rete o esporlo a potenziali rischi per la sicurezza.
5485	N/D	Medio	I servizi IPsec non sono riusciti a elaborare alcuni filtri IPsec in un evento plug-and-play per le interfacce di rete. Questo comporta un potenziale rischio per la sicurezza perché alcune interfacce di rete potrebbero non ottenere la protezione fornita dai filtri IPsec applicati. Usare lo snap-in Monitor di sicurezza IP per diagnosticare il problema.
5827	N/D	Medio	Il servizio Netlogon ha negato una connessione a canale sicuro Netlogon vulnerabile da un account del computer.
5828	N/D	Medio	Il servizio Netlogon ha negato una connessione a canale sicuro Netlogon vulnerabile da un account trust.
6145	N/D	Medio	Si sono verificati uno o più errori durante l'elaborazione dei criteri di sicurezza negli oggetti Criteri di gruppo.
6273	N/D	Medio	Il server dei criteri di rete ha negato l'accesso a un utente.
6274	N/D	Medio	Il Server dei criteri di rete ha eliminato la richiesta per un utente.
6275	N/D	Medio	Il Server dei criteri di rete ha eliminato la richiesta di accounting per un utente.
6276	N/D	Medio	Il Server dei criteri di rete ha messo in quarantena un utente.
6277	N/D	Medio	Il Server dei criteri di rete ha concesso l'accesso a un utente ma lo ha messo in prova perché l'host non soddisfa i criteri di integrità definiti.
6278	N/D	Medio	Il Server dei criteri di rete ha concesso l'accesso completo a un utente perché l'host soddisfa i criteri di integrità definiti.
6279	N/D	Medio	Il Server dei criteri di rete ha bloccato l'account utente a causa di ripetuti tentativi di autenticazione non riusciti.
6280	N/D	Medio	Il Server dei criteri di rete ha sbloccato l'account utente.
-	640	Medio	Database account generale modificato
-	619	Medio	Criteri di qualità del servizio modificati
24586	N/D	Medio	Errore durante la conversione del volume
24592	N/D	Medio	Tentativo di riavvio automatico della conversione nel volume %2 non riuscito.
24593	N/D	Medio	Scrittura dei metadati: il volume %2 restituisce errori durante il tentativo di modificare i metadati. Se gli errori continuano, decrittografare il volume
24594	N/D	Medio	Ricompilazione dei metadati: il tentativo di scrivere una copia dei metadati nel volume %2 non è riuscito e può apparire come danneggiamento del disco. Se gli errori continuano, decrittografare il volume.
4608	512	Bassa	Avvio di Windows in corso.
4609	513	Bassa	Arresto di Windows in corso.
4610	514	Bassa	Un pacchetto di autenticazione è stato caricato dall'autorità di protezione locale.
4611	515	Bassa	Un processo di accesso attendibile è stato registrato con l'autorità di protezione locale.
4612	516	Bassa	Le risorse interne allocate per l'accodamento dei messaggi di controllo si sono esaurite, causando la perdita di alcuni controlli.
4614	518	Bassa	Un pacchetto di autenticazione è stato caricato dal sistema di gestione degli account di sicurezza (SAM).
4615	519	Bassa	Uso non valido della porta LPC.
4616	520	Bassa	L'ora di sistema è stata modificata.
4622	N/D	Bassa	Un pacchetto di autenticazione è stato caricato dall'autorità di protezione locale.
4624	528,540	Bassa	È stato eseguito l'accesso a un account.
4625	529-537,539	Bassa	L'accesso a un account non è riuscito.
4634	538	Bassa	Un account è stato disconnesso.
4646	N/D	Bassa	È stata avviata la modalità di prevenzione DoS di IKE.
4647	551	Bassa	Disconnessione avviata dall'utente.
4648	552	Bassa	Tentativo di accesso con credenziali esplicite.
4650	N/D	Bassa	È stata stabilita un'associazione di sicurezza in modalità principale IPsec. La modalità estesa non è stata abilitata. L'autenticazione del certificato non è stata usata.
4651	N/D	Bassa	È stata stabilita un'associazione di sicurezza in modalità principale IPsec. La modalità estesa non è stata abilitata. È stato usato un certificato per l'autenticazione.
4652	N/D	Bassa	Negoziazione in modalità principale IPsec non riuscita.
4653	N/D	Bassa	Negoziazione in modalità principale IPsec non riuscita.
4654	N/D	Bassa	Negoziazione in modalità rapida IPsec non riuscita.
4655	N/D	Bassa	Un'associazione di sicurezza in modalità principale IPsec è terminata.
4656	560	Bassa	È stato richiesto un handle per un oggetto.
4657	567	Bassa	Un valore del Registro di sistema è stato modificato.
4658	562	Bassa	L'handle per un oggetto è stato chiuso.
4659	N/D	Bassa	È stato richiesto un handle per un oggetto con finalità di eliminazione.
4660	564	Bassa	Un oggetto è stato eliminato.
4661	565	Bassa	È stato richiesto un handle per un oggetto.
4662	566	Bassa	Un'operazione è stata eseguita su un oggetto.
4663	567	Bassa	è stato effettuato un tentativo di accedere a un oggetto.
4664	N/D	Bassa	È stato effettuato un tentativo di creare un collegamento reale.
4665	N/D	Bassa	È stato effettuato un tentativo di creare il contesto client di un'applicazione.
4666	N/D	Bassa	Un'applicazione ha tentato un'operazione:
4667	N/D	Bassa	Il contesto client di un'applicazione è stato eliminato.
4668	N/D	Bassa	È stata inizializzata un'applicazione.
4670	N/D	Bassa	Le autorizzazioni per un oggetto sono state modificate.
4671	N/D	Bassa	Un'applicazione ha tentato di accedere a un ordinale bloccato tramite TBS.
4672	576	Bassa	Privilegi speciali assegnati a un nuovo account di accesso.
4673	577	Bassa	È stato chiamato un servizio con privilegi.
4674	578	Bassa	È stata tentata un'operazione su un oggetto con privilegi.
4688	592	Bassa	È stato creato un nuovo processo.
4689	593	Bassa	Un processo è stato chiuso.
4690	594	Bassa	È stato effettuato un tentativo di duplicare un handle per un oggetto.
4691	595	Bassa	È stato richiesto l'accesso indiretto a un oggetto.
4694	N/D	Bassa	È stato effettuato un tentativo di proteggere dati protetti controllabili.
4695	N/D	Bassa	È stato effettuato un tentativo di annullare la protezione di dati protetti controllabili.
4696	600	Bassa	È stato assegnato un token primario a un processo.
4697	601	Bassa	Tentativo di installazione di un servizio
4698	602	Bassa	È stata creata un'attività pianificata.
4699	602	Bassa	Un'attività pianificata è stata eliminata.
4700	602	Bassa	Un'attività pianificata è stata abilitata.
4701	602	Bassa	Un'attività pianificata è stata disabilitata.
4702	602	Bassa	Un'attività pianificata è stata aggiornata.
4704	608	Bassa	È stato assegnato un diritto utente.
4705	609	Bassa	È stato rimosso un diritto utente.
4707	611	Bassa	È stato rimosso un trust per un dominio.
4709	N/D	Bassa	I servizi IPsec sono stati avviati.
4710	N/D	Bassa	I servizi IPsec sono stati disabilitati.
4711	N/D	Bassa	Può contenere uno dei seguenti: il motore PAStore ha applicato una copia memorizzata nella cache locale dei criteri IPsec di archiviazione di Active Directory nel computer. Il motore PAStore ha applicato i criteri IPsec di archiviazione di Active Directory nel computer. Il motore PAStore ha applicato i criteri IPsec di archiviazione nel registro locale nel computer. Il motore PAStore non è riuscito ad applicare una copia memorizzata nella cache locale dei criteri IPsec di archiviazione di Active Directory nel computer. Il motore PAStore non è riuscito ad applicare i criteri IPsec di archiviazione di Active Directory nel computer. Il motore PAStore non è riuscito ad applicare i criteri IPsec di archiviazione nel registro locale nel computer. Il motore PAStore non è riuscito ad applicare alcune regole dei criteri IPsec attivi nel computer. Il motore PAStore non è riuscito a caricare i criteri IPsec di archiviazione nella directory nel computer. Il motore PAStore ha caricato i criteri IPsec di archiviazione nella directory nel computer. Il motore PAStore non è riuscito a caricare i criteri IPsec di archiviazione locale nel computer. Il motore PAStore ha caricato i criteri IPsec di archiviazione locale nel computer. Il motore PAStore ha eseguito il polling delle modifiche apportate ai criteri IPsec attivi e non ha rilevato modifiche.
4712	N/D	Bassa	I servizi IPsec hanno riscontrato un errore potenzialmente grave.
4717	621	Bassa	A un account è stato concesso l'accesso alla sicurezza del sistema.
4718	622	Bassa	L'accesso alla sicurezza del sistema è stato rimosso da un account.
4720	624	Bassa	È stato creato un account utente.
4722	626	Bassa	Un account utente è stato abilitato.
4723	627	Bassa	È stato effettuato un tentativo di modificare la password di un account.
4725	629	Bassa	Un account utente è stato disabilitato.
4726	630	Bassa	Un account utente è stato eliminato.
4728	632	Bassa	È stato aggiunto un membro a un gruppo globale con sicurezza abilitata.
4729	633	Bassa	È stato rimosso un membro da un gruppo globale con sicurezza abilitata.
4730	634	Bassa	Un gruppo globale con sicurezza abilitata è stato eliminato.
4731	635	Bassa	È stato creato un gruppo locale con sicurezza abilitata.
4732	636	Bassa	È stato aggiunto un membro a un gruppo locale con sicurezza abilitata.
4733	637	Bassa	È stato rimosso un membro da un gruppo locale con sicurezza abilitata.
4734	638	Bassa	È stato eliminato un gruppo locale con sicurezza abilitata.
4738	642	Bassa	Un account utente è stato modificato.
4740	644	Bassa	Un account utente è stato bloccato.
4741	645	Bassa	Un account computer è stato modificato.
4742	646	Bassa	Un account computer è stato modificato.
4743	647	Bassa	Un account computer è stato eliminato.
4744	648	Bassa	È stato creato un gruppo locale con sicurezza disabilitata.
4745	649	Bassa	Un gruppo locale con sicurezza disabilitata è stato modificato.
4746	650	Bassa	È stato aggiunto un membro a un gruppo locale con sicurezza disabilitata.
4747	651	Bassa	È stato rimosso un membro da un gruppo locale con sicurezza disabilitata.
4748	652	Bassa	Un gruppo locale con sicurezza disabilitata è stato eliminato.
4749	653	Bassa	È stato creato un gruppo globale con sicurezza disabilitata.
4750	654	Bassa	Un gruppo globale con sicurezza disabilitata è stato modificato.
4751	655	Bassa	È stato aggiunto un membro a un gruppo globale con sicurezza disabilitata.
4752	656	Bassa	È stato rimosso un membro da un gruppo globale con sicurezza disabilitata.
4753	657	Bassa	Un gruppo globale con sicurezza disabilitata è stato eliminato.
4756	660	Bassa	È stato aggiunto un membro a un gruppo universale con sicurezza abilitata.
4757	661	Bassa	È stato rimosso un membro da un gruppo universale con sicurezza abilitata.
4758	662	Bassa	Un gruppo universale con sicurezza abilitata è stato eliminato.
4759	663	Bassa	È stato creato un gruppo universale con sicurezza disabilitata.
4760	664	Bassa	Un gruppo universale con sicurezza disabilitata è stato modificato.
4761	665	Bassa	È stato aggiunto un membro a un gruppo universale con sicurezza disabilitata.
4762	666	Bassa	È stato rimosso un membro da un gruppo universale con sicurezza disabilitata.
4767	671	Bassa	Un account utente è stato sbloccato.
4768	672,676	Bassa	È stato richiesto un ticket di autenticazione Kerberos (TGT).
4769	673	Bassa	È stato richiesto un ticket di servizio Kerberos.
4770	674	Bassa	È stato rinnovato un ticket di servizio Kerberos.
4771	675	Bassa	Preautenticazione Kerberos non riuscita.
4772	672	Bassa	Una richiesta di ticket di autenticazione Kerberos non è riuscita.
4774	678	Bassa	È stato eseguito il mapping di un account per l'accesso.
4775	679	Bassa	Non è stato possibile eseguire il mapping di un account per l'accesso.
4776	680,681	Bassa	Il controller di dominio ha tentato di convalidare le credenziali di un account.
4777	N/D	Bassa	Il controller di dominio non è riuscito a convalidare le credenziali di un account.
4778	682	Bassa	Una sessione è stata riconnessa a una stazione Windows.
4779	683	Bassa	Una sessione è stata disconnessa da una stazione Windows.
4781	685	Bassa	Il nome di un account è stato modificato:
4782	N/D	Bassa	È stato eseguito l'accesso all'hash della password di un account.
4783	667	Bassa	È stato creato un gruppo di applicazioni di base.
4784	N/D	Bassa	Un gruppo di applicazioni di base è stato modificato.
4785	689	Bassa	È stato aggiunto un membro a un gruppo di applicazioni di base.
4786	690	Bassa	È stato rimosso un membro da un gruppo di applicazioni di base.
4787	691	Bassa	È stato aggiunto un non membro a un gruppo di applicazioni di base.
4788	692	Bassa	È stato rimosso un non membro da un gruppo di applicazioni di base.
4789	693	Bassa	Un gruppo di applicazioni di base è stato eliminato.
4790	694	Bassa	È stato creato un gruppo di query LDAP.
4793	N/D	Bassa	È stata chiamata l'API di controllo criteri password.
4800	N/D	Bassa	La workstation è stata bloccata.
4801	N/D	Bassa	La workstation è stata sbloccata.
4802	N/D	Bassa	È stato richiamato lo screen saver.
4803	N/D	Bassa	Lo screen saver è stato chiuso.
4864	N/D	Bassa	È stato rilevato un conflitto dello spazio dei nomi.
4869	773	Bassa	Servizi certificati ha ricevuto una richiesta di certificato inviata di nuovo.
4871	775	Bassa	Servizi certificati ha ricevuto una richiesta di pubblicare l'elenco di revoche di certificati (CRL).
4872	776	Bassa	Servizi certificati ha pubblicato l'elenco di revoche di certificati (CRL).
4873	777	Bassa	L'estensione di una richiesta di certificato è cambiata.
4874	778	Bassa	Uno o più attributi della richiesta di certificato sono cambiati.
4875	779	Bassa	Servizi certificati ha ricevuto una richiesta di arresto.
4876	780	Bassa	Il backup di Servizi certificati è stato avviato.
4877	781	Bassa	È stato completato il backup di Servizi certificati.
4878	782	Bassa	È stato avviato il ripristino di Servizi certificati.
4879	783	Bassa	È stato completato il ripristino di Servizi certificati.
4880	784	Bassa	Servizi certificati è stato avviato.
4881	785	Bassa	Servizi certificati è stato arrestato.
4883	787	Bassa	Servizi certificati ha recuperato una chiave archiviata.
4884	788	Bassa	Servizi certificati ha importato un certificato nel database.
4886	790	Bassa	Servizi certificati ha ricevuto una richiesta di certificato.
4887	791	Bassa	Servizi certificati ha approvato una richiesta di certificato e ha emesso un certificato.
4888	792	Bassa	Servizi certificati ha negato una richiesta di certificato.
4889	793	Bassa	Servizi certificati ha impostato in sospeso lo stato di una richiesta di certificato.
4891	795	Bassa	Una voce di configurazione in Servizi certificati è cambiata.
4893	797	Bassa	Servizi certificati ha archiviato una chiave.
4894	798	Bassa	Servizi certificati ha importato e archiviato una chiave.
4895	799	Bassa	Servizi certificati ha pubblicato il certificato CA in Servizi di dominio Active Directory.
4898	802	Bassa	Modello caricato da Servizi certificati.
4902	N/D	Bassa	È stata creata la tabella dei criteri di controllo per utente.
4904	N/D	Bassa	È stato effettuato il tentativo di registrare un'origine evento di sicurezza.
4905	N/D	Bassa	È stato effettuato il tentativo di annullare la registrazione di un'origine evento di sicurezza.
4909	N/D	Bassa	Le impostazioni dei criteri locali per TBS sono state modificate.
4910	N/D	Bassa	Le impostazioni di Criteri di gruppo per TBS sono state modificate.
4928	N/D	Bassa	È stato stabilito un contesto di denominazione dell'origine della replica di Active Directory.
4929	N/D	Bassa	È stato rimosso un contesto di denominazione dell'origine della replica di Active Directory.
4930	N/D	Bassa	È stato modificato un contesto di denominazione dell'origine della replica di Active Directory.
4931	N/D	Bassa	È stato modificato un contesto di denominazione della destinazione della replica di Active Directory.
4932	N/D	Bassa	È iniziata la sincronizzazione di una replica di un contesto di denominazione di Active Directory.
4933	N/D	Bassa	La sincronizzazione di una replica di un contesto di denominazione di Active Directory è terminata.
4934	N/D	Bassa	Gli attributi di un oggetto Active Directory sono stati replicati.
4935	N/D	Bassa	Inizio di un errore di replica.
4936	N/D	Bassa	Fine di un errore di replica.
4937	N/D	Bassa	Un oggetto residuo è stato rimosso da una replica.
4944	N/D	Bassa	Il criterio seguente era attivo all'avvio di Windows Firewall.
4945	N/D	Bassa	All'avvio di Windows Firewall è stata elencata una regola.
4946	N/D	Bassa	È stata apportata una modifica all'elenco delle eccezioni di Windows Firewall. È stata aggiunta una regola.
4947	N/D	Bassa	È stata apportata una modifica all'elenco delle eccezioni di Windows Firewall. È stata modificata una regola.
4948	N/D	Bassa	È stata apportata una modifica all'elenco delle eccezioni di Windows Firewall. È stata eliminata una regola.
4949	N/D	Bassa	Le impostazioni di Windows Firewall sono state ripristinate ai valori predefiniti.
4950	N/D	Bassa	È stata modificata un'impostazione di Windows Firewall.
4951	N/D	Bassa	Una regola è stata ignorata perché il numero di versione principale non è stato riconosciuto da Windows Firewall.
4952	N/D	Bassa	Parti di una regola sono state ignorate perché il numero di versione secondaria non è stato riconosciuto da Windows Firewall. Le altre parti della regola verranno applicate.
4953	N/D	Bassa	Una regola è stata ignorata da Windows Firewall perché non è stato possibile analizzare la regola.
4954	N/D	Bassa	Le impostazioni di Criteri di gruppo di Windows Firewall sono state modificate. Sono state applicate le nuove impostazioni.
4956	N/D	Bassa	Windows Firewall ha modificato il profilo attivo.
4957	N/D	Bassa	Windows Firewall non ha applicato la regola seguente:
4958	N/D	Bassa	Windows Firewall non ha applicato la regola seguente perché la regola fa riferimento a elementi non configurati nel computer:
4979	N/D	Bassa	Sono state stabilite associazioni di sicurezza in modalità principale e in modalità estesa IPsec.
4980	N/D	Bassa	Sono state stabilite associazioni di sicurezza in modalità principale e in modalità estesa IPsec.
4981	N/D	Bassa	Sono state stabilite associazioni di sicurezza in modalità principale e in modalità estesa IPsec.
4982	N/D	Bassa	Sono state stabilite associazioni di sicurezza in modalità principale e in modalità estesa IPsec.
4985	N/D	Bassa	Lo stato di una transazione è cambiato.
5024	N/D	Bassa	Il servizio Windows Firewall è stato avviato correttamente.
5025	N/D	Bassa	Il servizio Windows Firewall è stato arrestato.
5031	N/D	Bassa	Il servizio Windows Firewall ha impedito a un'applicazione di accettare connessioni in ingresso sulla rete.
5032	N/D	Bassa	Windows Firewall non è riuscito a notificare all'utente di aver impedito a un'applicazione di accettare connessioni in ingresso nella rete.
5033	N/D	Bassa	Il driver di Windows Firewall è stato avviato correttamente.
5034	N/D	Bassa	Il driver di Windows Firewall è stato arrestato.
5039	N/D	Bassa	Una chiave del Registro di sistema è stata virtualizzata.
5040	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. È stato aggiunto un set di autenticazione.
5041	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. Un set di autenticazione è stato modificato.
5042	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. Un set di autenticazione è stato eliminato.
5043	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. È stata aggiunta una regola di sicurezza della connessione.
5044	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. Una regola di sicurezza della connessione è stata modificata.
5045	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. Una regola di sicurezza della connessione è stata eliminata.
5046	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. È stato aggiunto un set di crittografia.
5047	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. Un set di crittografia è stato modificato.
5048	N/D	Bassa	È stata apportata una modifica alle impostazioni IPsec. Un set di crittografia è stato eliminato.
5050	N/D	Bassa	Tentativo di disabilitare Windows Firewall a livello di codice usando una chiamata a InetFwProfile.FirewallEnabled(False)
5051	N/D	Bassa	Un file è stato virtualizzato.
5056	N/D	Bassa	È stata eseguita una verifica automatica della crittografia.
5057	N/D	Bassa	Operazione primitiva di crittografia non riuscita.
5058	N/D	Bassa	Operazione su file di chiave.
5059	N/D	Bassa	Operazione di migrazione delle chiavi.
5060	N/D	Bassa	Operazione di verifica non riuscita.
5061	N/D	Bassa	Operazione di crittografia.
5062	N/D	Bassa	È stata eseguita una verifica automatica della crittografia in modalità kernel.
5063	N/D	Bassa	È stata tentata un'operazione del provider di crittografia.
5064	N/D	Bassa	È stata tentata un'operazione del contesto di crittografia.
5065	N/D	Bassa	È stata tentata la modifica del contesto di crittografia.
5066	N/D	Bassa	È stata tentata un'operazione della funzione di crittografia.
5067	N/D	Bassa	È stata tentata una modifica della funzione di crittografia.
5068	N/D	Bassa	È stata tentata un'operazione del provider della funzione di crittografia.
5069	N/D	Bassa	È stata tentata un'operazione di proprietà della funzione di crittografia.
5070	N/D	Bassa	È stata tentata una modifica delle proprietà di una funzione di crittografia.
5125	N/D	Bassa	Una richiesta è stata inviata al servizio risponditore OCSP
5126	N/D	Bassa	Il certificato di firma è stato aggiornato automaticamente dal servizio risponditore OCSP
5127	N/D	Bassa	Il provider di revoca OCSP ha aggiornato correttamente le informazioni di revoca
5136	566	Bassa	Un oggetto del servizio directory è stato modificato.
5137	566	Bassa	Un oggetto del servizio directory è stato creato.
5138	N/D	Bassa	L'eliminazione di un oggetto del servizio directory è stata annullata.
5139	N/D	Bassa	Un oggetto del servizio directory è stato spostato.
5140	N/D	Bassa	È stato eseguito l'accesso a un oggetto condivisione di rete.
5141	N/D	Bassa	Un oggetto del servizio directory è stato eliminato.
5152	N/D	Bassa	Piattaforma filtro Windows ha bloccato un pacchetto.
5153	N/D	Bassa	Un filtro più restrittivo di Piattaforma filtro Windows ha bloccato un pacchetto.
5154	N/D	Bassa	Piattaforma filtro Windows ha consentito a un'applicazione o a un servizio di rimanere in ascolto delle connessioni in ingresso su una porta.
5155	N/D	Bassa	Piattaforma filtro Windows ha impedito a un'applicazione o a un servizio di rimanere in ascolto delle connessioni in ingresso su una porta.
5156	N/D	Bassa	Piattaforma filtro Windows ha permesso una connessione.
5157	N/D	Bassa	Piattaforma filtro Windows ha bloccato una connessione.
5158	N/D	Bassa	Piattaforma filtro Windows ha consentito un'associazione a una porta locale.
5159	N/D	Bassa	Piattaforma filtro Windows ha bloccato un'associazione a una porta locale.
5378	N/D	Bassa	La delega delle credenziali richiesta non è stata consentita dai criteri.
5440	N/D	Bassa	Il callout seguente era presente all'avvio del motore di filtro di base di Piattaforma filtro Windows.
5441	N/D	Bassa	Il filtro seguente era presente all'avvio del motore di filtro di base di Piattaforma filtro Windows.
5442	N/D	Bassa	Il provider seguente era presente all'avvio del motore di filtro di base di Piattaforma filtro Windows.
5443	N/D	Bassa	Il contesto del provider seguente era presente all'avvio del motore di filtro di base di Piattaforma filtro Windows.
5444	N/D	Bassa	Il sottolivello seguente era presente all'avvio del motore di filtro di base di Piattaforma filtro Windows.
5446	N/D	Bassa	Un callout di Piattaforma filtro Windows è stato modificato.
5447	N/D	Bassa	Un filtro di Piattaforma filtro Windows è stato modificato.
5448	N/D	Bassa	Un provider di Piattaforma filtro Windows è stato modificato.
5449	N/D	Bassa	Il contesto di un provider di Piattaforma filtro Windows è stato modificato.
5450	N/D	Bassa	Un sottolivello di Piattaforma filtro Windows è stato modificato.
5451	N/D	Bassa	È stata stabilita un'associazione di sicurezza in modalità rapida IPsec.
5452	N/D	Bassa	Un'associazione di sicurezza in modalità rapida IPsec è terminata.
5456	N/D	Bassa	Il motore PAStore ha applicato i criteri IPsec di archiviazione di Active Directory nel computer.
5457	N/D	Bassa	Il motore PAStore non è riuscito ad applicare i criteri IPsec di archiviazione di Active Directory nel computer.
5458	N/D	Bassa	Il motore PAStore ha applicato una copia memorizzata nella cache locale dei criteri IPsec di archiviazione di Active Directory nel computer.
5459	N/D	Bassa	Il motore PAStore non è riuscito ad applicare una copia memorizzata nella cache locale dei criteri IPsec di archiviazione di Active Directory nel computer.
5460	N/D	Bassa	Il motore PAStore ha applicato i criteri IPsec di archiviazione nel registro locale nel computer.
5461	N/D	Bassa	Il motore PAStore non è riuscito ad applicare i criteri IPsec di archiviazione nel registro locale nel computer.
5462	N/D	Bassa	Il motore PAStore non è riuscito ad applicare alcune regole dei criteri IPsec attivi nel computer. Usare lo snap-in Monitor di sicurezza IP per diagnosticare il problema.
5463	N/D	Bassa	Il motore PAStore ha eseguito il polling delle modifiche apportate ai criteri IPsec attivi e non ha rilevato modifiche.
5464	N/D	Bassa	Il motore PAStore ha eseguito il polling delle modifiche apportate ai criteri IPsec attivi, ha rilevato modifiche e le ha applicate ai servizi IPsec.
5465	N/D	Bassa	Il motore PAStore ha ricevuto un controllo per il ricaricamento forzato dei criteri IPsec ed ha elaborato correttamente il controllo.
5466	N/D	Bassa	Il motore PAStore ha eseguito il polling delle modifiche apportate ai criteri IPsec di Active Directory, ha determinato che non è possibile raggiungere Active Directory e userà invece la copia memorizzata nella cache dei criteri IPsec di Active Directory. Le eventuali modifiche apportate ai criteri IPsec di Active Directory dopo l'ultimo polling non sono state applicate.
5467	N/D	Bassa	Il motore PAStore ha eseguito il polling delle modifiche apportate ai criteri IPsec di Active Directory, ha determinato che è possibile raggiungere Active Directory e non ha rilevato modifiche ai criteri. La copia memorizzata nella cache dei criteri IPsec di Active Directory non viene più usata.
5468	N/D	Bassa	Il motore PAStore ha eseguito il polling delle modifiche apportate ai criteri IPsec di Active Directory, ha determinato che è possibile raggiungere Active Directory, ha rilevato modifiche ai criteri e ha applicato le modifiche. La copia memorizzata nella cache dei criteri IPsec di Active Directory non viene più usata.
5471	N/D	Bassa	Il motore PAStore ha caricato i criteri IPsec di archiviazione locale nel computer.
5472	N/D	Bassa	Il motore PAStore non è riuscito a caricare i criteri IPsec di archiviazione locale nel computer.
5473	N/D	Bassa	Il motore PAStore ha caricato i criteri IPsec di archiviazione nella directory nel computer.
5474	N/D	Bassa	Il motore PAStore non è riuscito a caricare i criteri IPsec di archiviazione nella directory nel computer.
5477	N/D	Bassa	Il motore PAStore non è riuscito ad aggiungere un filtro in modalità rapida.
5479	N/D	Bassa	I servizi IPsec sono stati arrestati. L'arresto dei servizi IPsec può esporre il computer a un rischio maggiore di attacco alla rete o esporlo a potenziali rischi per la sicurezza.
5632	N/D	Bassa	È stata effettuata una richiesta di autenticazione a una rete wireless.
5633	N/D	Bassa	È stata effettuata una richiesta di autenticazione a una rete cablata.
5712	N/D	Bassa	È stato effettuato un tentativo RPC (Remote Procedure Call).
5888	N/D	Bassa	Un oggetto nel catalogo COM+ è stato modificato.
5889	N/D	Bassa	Un oggetto è stato eliminato dal catalogo COM+.
5890	N/D	Bassa	Un oggetto è stato aggiunto al catalogo COM+.
6008	N/D	Bassa	L'arresto precedente del sistema è stato imprevisto
6144	N/D	Bassa	I criteri di sicurezza negli oggetti Criteri di gruppo sono stati applicati correttamente.
6272	N/D	Bassa	Il Server dei criteri di rete ha concesso l'accesso a un utente.
N/D	561	Bassa	È stato richiesto un handle per un oggetto.
N/D	563	Bassa	Oggetto aperto per l'eliminazione
N/D	625	Bassa	Tipo di account utente modificato
N/D	613	Bassa	Agente criteri IPsec avviato
N/D	614	Bassa	Agente criteri IPsec disabilitato
N/D	615	Bassa	Agente criteri IPsec
N/D	616	Bassa	L'agente criteri IPsec ha rilevato un potenziale errore grave
24577	N/D	Bassa	Crittografia del volume avviata
24578	N/D	Bassa	Crittografia del volume arrestata
24579	N/D	Bassa	Crittografia del volume completata
24580	N/D	Bassa	Decrittografia del volume avviata
24581	N/D	Bassa	Decrittografia del volume arrestata
24582	N/D	Bassa	Decrittografia del volume completata
24583	N/D	Bassa	Thread di lavoro di conversione per volume avviato
24584	N/D	Bassa	Thread di lavoro di conversione per volume temporaneamente arrestato
24588	N/D	Bassa	L'operazione di conversione nel volume %2 ha rilevato un errore di settore danneggiato. Convalidare i dati in questo volume
24595	N/D	Bassa	Il volume %2 contiene cluster danneggiati. Questi cluster verranno ignorati durante la conversione.
24621	N/D	Bassa	Controllo dello stato iniziale: transazione di conversione del volume in sequenza su %2.
5049	N/D	Bassa	Un'associazione di sicurezza IPsec è stata eliminata.
5478	N/D	Bassa	I servizi IPsec sono stati avviati.

Nota

Fare riferimento a Eventi di controllo della sicurezza di Windows per un elenco di molti ID di eventi di sicurezza e i relativi significati.

Eseguire wevtutil gp Microsoft-Windows-Security-Auditing /ge /gm:true per ottenere un elenco molto dettagliato di tutti gli ID degli eventi di sicurezza

Per altre informazioni sugli ID degli eventi di sicurezza di Windows e sui relativi significati, vedere l'articolo del supporto tecnico Microsoft Impostazioni di base dei criteri di controllo della sicurezza. È anche possibile scaricare gli Eventi di controllo della sicurezza di Windows, che forniscono informazioni dettagliate sugli eventi per i sistemi operativi a cui si fa riferimento in formato foglio di calcolo.