Windows11 系统日志安全记录里面，每1秒钟出现事件ID为5061加密操作审核失败，尝试了很多操作都没有用，请问该怎么处理？

Question

见图片：



1、尝试了sfc /SCANNOW，无效。

C:\Windows\System32>sfc /SCANNOW

开始系统扫描。此过程将需要一些时间。

开始系统扫描的验证阶段。

验证 100% 已完成。

Windows 资源保护未找到任何完整性冲突。

2、net user显示：

------------------------------------------------------------------------------- 

Administrator            DefaultAccount           Guest 

User               WDAGUtilityAccount 

命令成功完成。

User是我的账户，在此隐藏了真实的用户名。

3、尝试杀毒

无毒。

Answer 1

我尝试删除了“联想安全套件”，问题解决了，虽然不知道为什么。

Answer 2

你好，

感谢您在 Microsoft 社区论坛中发帖。

 “系统完整性审核失败”事件（ID 5061）是 Windows 安全日志中记录的加密操作错误。此错误表示系统在尝试访问加密密钥时失败。

可能原因：

1. 权限或密钥访问问题：系统可能无法正常访问某些加密密钥，这可能与权限设置有关。
2. 密钥存储提供程序问题：Microsoft Software Key Storage Provider 可能遇到问题，导致密钥无法访问。
3. 系统文件损坏：如果密钥存储文件损坏，系统可能会报告此错误。

解决建议：

1. 重启系统：有时此类问题是暂时的，重启可能有助于重置对密钥存储的访问。
2. 更新系统：确保系统安装了所有最新的 Windows 更新。
3. 检查第三方软件：某些第三方安全软件或加密软件可能会导致这种问题。尝试暂时禁用或卸载这些软件，看看问题是否得到解决。
4. 清理并重新注册密钥：如果问题仍然存在，可以尝试清理密钥存储并重新生成相关加密密钥。

如果错误不影响系统其他功能，且不频繁发生，可以继续观察，如果频繁发生，建议进一步检查系统的加密服务和密钥存储系统。

我希望以上信息对您有所帮助。

Answer 3

感谢您的回复！

1、我重启了很多次系统，但是没有任何作用。

2、我检查更新，显示您使用的是最新版本。

3、联想有自带的文件保险箱，但是我并没有使用。其他软件应该也没有加密问题。

4、清理并重新注册密钥。我还没有尝试这个操作。有没有办法定位到是哪个软件触发的5061审核失败？我现在还是没找到是什么引起的加密密钥问题。

5、这是其中一个事件的日志：

<Events>

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"> <System> <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}"/><EventID>5061</EventID><Version>0</Version><Level>0</Level><Task>12290</Task><Opcode>0</Opcode><Keywords>0x8010000000000000</Keywords><TimeCreated SystemTime="2024-12-20T10:07:26.9905853Z"/><EventRecordID>176508</EventRecordID><Correlation ActivityID="{76b007ad-514c-0002-d508-b0764c51db01}"/><Execution ProcessID="1388" ThreadID="1448"/><Channel>Security</Channel><Computer>ThinkCentreNJF</Computer><Security/> </System>

<EventData> <Data Name="SubjectUserSid">S-1-5-21-1481877200-824954104-4240502146-1002</Data><Data Name="SubjectUserName">User</Data><Data Name="SubjectDomainName">THINKCENTRENJF</Data><Data Name="SubjectLogonId">0x3546d</Data><Data Name="ProviderName">Microsoft Software Key Storage Provider</Data><Data Name="AlgorithmName">UNKNOWN</Data><Data Name="KeyName">LBV_DEFAULT_KEY</Data><Data Name="KeyType">%%2500</Data><Data Name="Operation">%%2480</Data><Data Name="ReturnCode">0x80090016</Data> </EventData>

<RenderingInfo Culture="zh-CN"> <Message>加密操作。 使用者: 安全 ID: S-1-5-21-1481877200-824954104-4240502146-1002 帐户名称: User 帐户域: THINKCENTRENJF 登录 ID: 0x3546D 加密参数: 提供程序名称: Microsoft Software Key Storage Provider 算法名称: UNKNOWN 密钥名称: LBV_DEFAULT_KEY 密钥类型: 用户密钥。 加密操作: 操作: 打开密钥。 返回代码: 0x80090016</Message><Level>信息</Level><Task>System Integrity</Task><Opcode>信息</Opcode><Channel>Security</Channel><Provider>Microsoft Windows security auditing.</Provider> <Keywords><Keyword>审核失败</Keyword></Keywords> </RenderingInfo> </Event> </Events>

Answer 4

您好，

感谢您的回复。

通常，事件 ID 5061事件是详细监控与加密密钥相关的 KSP 相关操作所必需的。如果您需要监控与特定加密密钥（ “密钥名称”）或特定“操作”（例如“删除密钥”）相关的操作，请创建监控规则并使用此事件作为信息源。

有关更多详细信息请参考官方文档：5061(S, F) Cryptographic operation. - Windows 10 | Microsoft Learn

我希望以上信息对您有所帮助。

Answer 5

您好！

我尝试了监控该事件(来源为：Microsoft Windows security auditing.，关键词为：审核失败)，然而这只是让该事件从Windows日志提取到自定义视图中，并没有新增信息。

我希望尝试您给的建议4. 清理并重新注册密钥：如果问题仍然存在，可以尝试清理密钥存储并重新生成相关加密密钥。我删除了TPM，重启了电脑，然而并没有用。您指的清理密钥并重新生成指的是什么操作呢？