通过

附录 L：事件监视器

下表根据监视 Active Directory 的入侵迹象提供的建议，列出了应在环境中监视的事件。 在下表中，“当前 Windows 事件 ID”列列出了在当前主流支持的 Windows 和 Windows Server 版本中实现的事件 ID。

“旧版 Windows 事件 ID”列列出了旧版 Windows 中的相应事件 ID，例如运行 Windows XP 或更早版本的客户端计算机和运行 Windows Server 2003 或更早版本的服务器。 “潜在严重程度”列标识在检测攻击时应将事件视为低、中还是高严重程度，“事件摘要”列提供了事件的简要说明。

若潜在严重程度为高，则表示事件发生一次时就应对其进行调查。 若潜在严重程度为中或低，表示仅应在事件意外发生或在测量时间段内次数大幅超过预期基线时对这些事件进行调查。 创建需要强制调查响应的警报前，所有组织都应在自己的环境中测试这些建议。 每个环境都是不同的，一些潜在严重程度等级为高的事件可能因其他无害事件而发生。

当前 Windows 事件 ID 旧版 Windows 事件 ID 潜在严重程度 事件摘要
4618 不可用 高 发生了受监视的安全事件模式。
4649 不可用 高 已检测到重播攻击。 可能是由于配置错误而导致的无害误报。
4719 612 高 已更改系统审核策略。
4765 不可用 高 已向帐户添加 SID 历史记录。
4766 不可用 高 尝试向帐户添加 SID 历史记录失败。
4794 不可用 高 尝试设置目录服务还原模式。
4897 801 高 角色分隔已启用：
4964 不可用 高 已向新的登录信息分配特殊组。
5124 不可用 高 OCSP 响应程序服务上已更新安全设置
不可用 550 中到高 可能的拒绝服务 (DoS) 攻击
1102 517 中到高 审核日志已清除
4621 不可用 中 管理员已从 CrashOnAuditFail 中恢复了系统。 现在将允许非管理员用户登录。 某个可审核活动可能未记录。
4675 不可用 中 筛选了 SID。
4692 不可用 中 已尝试备份数据保护主密钥。
4693 不可用 中 已尝试恢复数据保护主密钥。
4706 610 中 为域创建了新的信任。
4713 617 中 更改了 Kerberos 策略。
4714 618 中 更改了加密数据恢复策略。
4715 不可用 中 某个对象上的的审核策略 (SACL) 已更改。
4716 620 中 修改了受信任的域信息。
4724 628 中 尝试重置帐户的密码。
4727 631 中 创建了已启用安全性的全局组。
4735 639 中 更改了已启用安全性的本地组。
4737 641 中 更改了已启用安全性的全局组。
4739 643 中 更改了域策略。
4754 658 中 创建了已启用安全性的通用组。
4755 659 中 更改了已启用安全性的通用组。
4764 667 中 删除了已禁用安全性的组
4764 668 中 更改了组的类型。
4780 684 中 在作为管理员组成员的帐户上设置了 ACL。
4816 不可用 中 RPC 在解密传入的消息时检测到完整性违规。
4865 不可用 中 添加了受信任的林信息条目。
4866 不可用 中 删除了受信任的林信息条目。
4867 不可用 中 修改了受信任的林信息条目。
4868 772 中 证书管理器已拒绝挂起的证书申请。
4870 774 中 证书服务已吊销证书。
4882 786 中 证书服务的安全权限已更改。
4885 789 中 证书服务的审核筛选器已更改。
4890 794 中 证书服务的证书管理器设置已更改。
4892 796 中 证书服务的属性已更改。
4896 800 中 已经从证书数据库删除一个或多个行。
4906 不可用 中 CrashOnAuditFail 值已更改。
4907 不可用 中 某个对象上的审核设置已更改。
4908 不可用 中 特殊组登录信息表已修改。
4912 807 中 每用户审核策略已更改。
4960 不可用 中 IPsec 丢弃了未通过完整性检查的入站数据包。 如果此问题仍然存在，则可能表明存在网络问题或数据包在传输到此计算机的过程中被修改。 验证从远程计算机发送的数据包是否与此计算机接收的数据包相同。 此错误还可能表示与其他 IPsec 实现的互操作性问题。
4961 不可用 中 IPsec 丢弃了未通过重播检查的入站数据包。 如果此问题仍然存在，则可能表示此计算机受到重放攻击。
4962 不可用 中 IPsec 丢弃了未通过重播检查的入站数据包。 入站数据包的序列号太低，无法确保它是否通过重放。
4963 不可用 中 IPsec 丢弃了本应受到保护的入站明文数据包。 这通常是由于远程计算机在未通知此计算机的情况下更改了其 IPsec 策略。 这也可能是一次欺骗攻击尝试。
4965 不可用 中 IPsec 收到来自远程计算机的数据包，该数据包带有错误的安全参数索引 (SPI)。 这通常是由损坏数据包的故障硬件引起的。 如果这些错误仍然存在，请验证从远程计算机发送的数据包是否与此计算机接收的数据包相同。 此错误还可以表示与其他 IPsec 实现的互操作性问题。 在这种情况下，如果连接不受阻碍，则可以忽略这些事件。
4976 不可用 中 在主模式协商期间，IPsec 收到无效的协商数据包。 如果此问题仍然存在，则可能表示存在网络问题，或者有人尝试修改或重播此协商。
4977 不可用 中 在快速模式协商期间，IPsec 收到无效的协商数据包。 如果此问题仍然存在，则可能表示存在网络问题，或者有人尝试修改或重播此协商。
4978 不可用 中 在扩展模式协商期间，IPsec 收到无效的协商数据包。 如果此问题仍然存在，则可能表示存在网络问题，或者有人尝试修改或重播此协商。
4983 不可用 中 IPsec 扩展模式协商失败。 已删除相应的主模式安全关联。
4984 不可用 中 IPsec 扩展模式协商失败。 已删除相应的主模式安全关联。
5027 不可用 中 Windows 防火墙服务无法从本地存储检索安全策略。 该服务将继续强制实施当前策略。
5028 不可用 中 Windows 防火墙服务无法分析新的安全策略。 该服务将继续强制实施当前策略。
5029 不可用 中 Windows 防火墙服务无法初始化驱动程序。 该服务将继续强制实施当前策略。
5030 不可用 中 无法启动 Windows 防火墙服务。
5035 不可用 中 无法启动 Windows 防火墙驱动程序。
5037 不可用 中 Windows 防火墙驱动程序检测到严重的运行时错误。 正在终止。
5038 不可用 中 代码完整性确定文件的图像哈希无效。 文件可能由于未经授权的修改而损坏，或者无效的哈希值可能表示潜在的磁盘设备错误。
5120 不可用 中 OCSP 响应程序服务已启动
5121 不可用 中 OCSP 响应程序服务已停止
5122 不可用 中 OCSP 响应程序服务中的配置条目已更改
5123 不可用 中 OCSP 响应程序服务中的配置条目已更改
5376 不可用 中 备份了凭据管理器凭据。
5377 不可用 中 从备份中还原了凭据管理器凭据。
5453 不可用 中 与远程计算机的 IPsec 协商失败，因为 IKE 和 AuthIP IPsec 密钥模块 (IKEEXT) 服务未启动。
5480 不可用 中 IPsec 服务无法获取计算机上网络接口的完整列表。 这会带来潜在的安全风险，因为某些网络接口可能无法获得由应用的 IPsec 筛选器提供的保护。 使用 IP 安全监视器管理单元来诊断问题。
5483 不可用 中 IPsec 服务无法初始化 RPC 服务器。 无法启动 IPsec Services。
5484 不可用 中 IPsec 服务发生严重故障并已关闭。 关闭 IPsec Services 会使计算机面临更大的网络攻击风险，或使计算机面临潜在的安全风险。
5485 不可用 中 IPsec 服务无法针对网络接口的即插即用事件处理某些 IPsec 筛选器。 这会带来潜在的安全风险，因为某些网络接口可能无法获得由应用的 IPsec 筛选器提供的保护。 使用 IP 安全监视器管理单元来诊断问题。
5827 不可用 中 Netlogon 服务拒绝了来自计算机帐户的易受攻击的 Netlogon 安全通道连接。
5828 不可用 中 Netlogon 服务使用信任帐户拒绝了易受攻击的 Netlogon 安全通道连接。
6145 不可用 中 处理组策略对象中的安全策略时发生了一个或多个错误。
6273 不可用 中 网络策略服务器拒绝用户访问。
6274 不可用 中 网络策略服务器放弃了对用户的请求。
6275 不可用 中 网络策略服务器放弃了用户的记帐请求。
6276 不可用 中 网络策略服务器隔离了用户。
6277 不可用 中 网络策略服务器授予用户访问权限，但将其置于试用状态，因为主机不符合定义的运行状况策略。
6278 不可用 中 网络策略服务器授予用户完全访问权限，因为主机符合定义的运行状况策略。
6279 不可用 中 由于身份验证尝试多次失败，网络策略服务器锁定了用户帐户。
6280 不可用 中 网络策略服务器已解锁用户帐户。
- 640 中 常规帐户数据库已更改
- 619 中 服务质量策略已更改
24586 不可用 中 转换卷时遇到错误
24592 不可用 中 尝试在卷 %2 上自动重启转换失败。
24593 不可用 中 元数据写入：卷 %2 在尝试修改元数据时返回错误。 如果失败继续，则解密卷
24594 不可用 中 元数据重新生成：尝试在卷 %2 上写入元数据副本失败，并可能显示为磁盘损坏。 如果失败继续，则解密卷。
4608 512 低 Windows 正在启动。
4609 513 低 Windows 正在关闭。
4610 514 低 本地安全机构已加载验证包。
4611 515 低 已向本地安全机构注册了可信登录进程。
4612 516 低 已用尽分配给审核消息队列的内部资源，导致无法进行某些审核。
4614 518 低 安全帐户管理器加载了通知包。
4615 519 低 LPC 端口的使用无效。
4616 520 低 系统时间已更改。
4622 不可用 低 本地安全机构加载了安全包。
4624 528,540 低 帐户登录成功。
4625 529-537,539 低 无法登录帐户。
4634 538 低 已注销帐户。
4646 不可用 低 IKE DoS 防护模式已启动。
4647 551 低 用户启动的注销。
4648 552 低 尝试使用显式凭据登录。
4650 不可用 低 已建立 IPsec 主模式安全关联。 未启用扩展模式。 未使用证书身份验证。
4651 不可用 低 已建立 IPsec 主模式安全关联。 未启用扩展模式。 证书用于身份验证。
4652 不可用 低 IPsec 主模式协商失败。
4653 不可用 低 IPsec 主模式协商失败。
4654 不可用 低 IPsec 快速模式协商失败。
4655 不可用 低 IPsec 主模式安全关联已结束。
4656 560 低 请求某个对象的句柄。
4657 567 低 修改了注册表值。
4658 562 低 关闭某个对象的句柄。
4659 不可用 低 请求对象的句柄，以进行删除。
4660 564 低 对象已删除。
4661 565 低 请求某个对象的句柄。
4662 566 低 在对象上执行了操作。
4663 567 低 尝试访问某个对象。
4664 不可用 低 已尝试创建硬链接。
4665 不可用 低 尝试创建应用程序客户端上下文。
4666 不可用 低 应用程序尝试了一个操作：
4667 不可用 低 已删除应用程序客户端上下文。
4668 不可用 低 应用程序已初始化。
4670 不可用 低 已更改对象上的权限。
4671 不可用 低 应用程序已尝试通过 TBS 访问被禁的序号。
4672 576 低 已向新的登录分配特殊权限。
4673 577 低 调用了特权服务。
4674 578 低 尝试对特权对象执行操作。
4688 592 低 已创建新进程。
4689 593 低 进程已退出。
4690 594 低 尝试复制某个对象的句柄。
4691 595 低 已请求间接访问某个对象。
4694 不可用 低 已尝试保护可审核的受保护数据。
4695 不可用 低 已尝试解除保护可审核的受保护数据。
4696 600 低 向进程分配了主要令牌。
4697 601 低 尝试安装服务
4698 602 低 创建了一个计划任务。
4699 602 低 删除了一个计划任务。
4700 602 低 启用了一个计划任务。
4701 602 低 禁用了一个计划任务。
4702 602 低 更新了一个计划任务。
4704 608 低 已分配用户权限。
4705 609 低 删除了用户权限。
4707 611 低 删除了对域的信任。
4709 不可用 低 IPsec 服务已启动。
4710 不可用 低 IPsec 服务已禁用。
4711 不可用 低 可以包含以下任一项：PAStore 引擎在计算机上应用了 Active Directory 存储 IPsec 策略的本地缓存副本。 PAStore 引擎在计算机上应用了 Active Directory 存储 IPsec 策略。 PAStore 引擎在计算机上应用了本地注册表存储 IPsec 策略。 PAStore 引擎无法在计算机上应用 Active Directory 存储 IPsec 策略的本地缓存副本。 PAStore 引擎无法在计算机上应用 Active Directory 存储 IPsec 策略。 PAStore 引擎无法在计算机上应用本地注册表存储 IPsec 策略。 PAStore 引擎无法在计算机上应用活动 IPsec 策略的某些规则。 PAStore 引擎无法在计算机上加载目录存储 IPsec 策略。 PAStore 引擎在计算机上加载了目录存储 IPsec 策略。 PAStore 引擎无法在计算机上加载本地存储 IPsec 策略。 PAStore 引擎在计算机上加载了本地存储 IPsec 策略。PAStore 引擎轮询了活动 IPsec 策略的更改，未检测到任何更改。
4712 不可用 低 IPsec 服务遇到潜在的严重故障。
4717 621 低 向帐户授予了系统安全访问权限。
4718 622 低 从帐户中删除了系统安全访问权限。
4720 624 低 创建了用户帐户。
4722 626 低 启用了用户帐户。
4723 627 低 尝试更改帐户的密码。
4725 629 低 禁用了用户帐户。
4726 630 低 删除了用户帐户。
4728 632 低 向已启用安全性的全局组中添加了成员。
4729 633 低 从已启用安全性的全局组中删除了成员。
4730 634 低 删除了已启用安全性的全局组。
4731 635 低 创建了已启用安全性的本地组。
4732 636 低 向已启用安全性的本地组中添加了成员。
4733 637 低 从已启用安全性的本地组中删除了成员。
4734 638 低 删除了已启用安全性的本地组。
4738 642 低 更改了用户帐户。
4740 644 低 已锁定用户帐户。
4741 645 低 更改了计算机帐户。
4742 646 低 更改了计算机帐户。
4743 647 低 删除了计算机帐户。
4744 648 低 创建了已禁用安全性的本地组。
4745 649 低 更改了已禁用安全性的本地组。
4746 650 低 向已禁用安全性的本地组中添加了成员。
4747 651 低 从已禁用安全性的本地组中删除了成员。
4748 652 低 删除了已禁用安全性的本地组。
4749 653 低 创建了已禁用安全性的全局组。
4750 654 低 更改了已禁用安全性的全局组。
4751 655 低 向已禁用安全性的全局组中添加了成员。
4752 656 低 从已禁用安全性的全局组中删除了成员。
4753 657 低 删除了已禁用安全性的全局组。
4756 660 低 向已启用安全性的通用组中添加了成员。
4757 661 低 从已启用安全性的通用组中删除了成员。
4758 662 低 删除了已启用安全性的通用组。
4759 663 低 创建了已禁用安全性的通用组。
4760 664 低 更改了已禁用安全性的通用组。
4761 665 低 向已禁用安全性的通用组中添加了成员。
4762 666 低 从已禁用安全性的通用组中删除了成员。
4767 671 低 已解锁用户帐户。
4768 672,676 低 请求了 Kerberos 身份验证票证 (TGT)。
4769 673 低 请求了 Kerberos 服务票证。
4770 674 低 已续订 Kerberos 服务票证。
4771 675 低 Kerberos 预身份验证失败。
4772 672 低 Kerberos 身份验证票证请求失败。
4774 678 低 已出于登录目的映射帐户。
4775 679 低 无法映射帐户进行登录。
4776 680,681 低 域控制器试图验证帐户的凭据。
4777 不可用 低 域控制器未能验证帐户的凭据。
4778 682 低 会话已重新连接到窗口工作站。
4779 683 低 会话已从窗口工作站断开连接。
4781 685 低 已更改帐户名称：
4782 不可用 低 已访问密码哈希帐户。
4783 667 低 已创建基本应用程序组。
4784 不可用 低 更改了基本应用程序组。
4785 689 低 向基本应用程序组添加了成员。
4786 690 低 已从基本应用程序组中删除了成员。
4787 691 低 向基本应用程序组添加了非成员。
4788 692 低 从基本应用程序组删除了非成员。
4789 693 低 已删除基本应用程序组。
4790 694 低 已创建 LDAP 查询组。
4793 不可用 低 调用了密码策略检查 API。
4800 不可用 低 工作站已锁定。
4801 不可用 低 工作站已解锁。
4802 不可用 低 调用了屏幕保护程序。
4803 不可用 低 消除了屏幕保护程序。
4864 不可用 低 检测到命名空间冲突。
4869 773 低 证书服务收到重新提交的证书申请。
4871 775 低 证书服务收到发布证书吊销列表 (CRL) 的申请。
4872 776 低 证书服务已发布证书吊销列表 (CRL)。
4873 777 低 证书申请扩展已更改。
4874 778 低 一个或多个证书申请属性已更改。
4875 779 低 证书服务收到执行关闭操作的申请。
4876 780 低 证书服务备份已启动。
4877 781 低 证书服务备份已完成。
4878 782 低 证书服务还原已启动。
4879 783 低 证书服务还原已完成。
4880 784 低 证书服务已启动。
4881 785 低 证书服务已停止。
4883 787 低 证书服务检索到存档的密钥。
4884 788 低 证书服务已将证书导入到其数据库中。
4886 790 低 证书服务收到证书申请。
4887 791 低 证书服务已批准证书申请并颁发证书。
4888 792 低 证书服务已拒绝证书申请。
4889 793 低 证书服务将证书申请的状态设置为挂起。
4891 795 低 证书服务中的配置项已更改。
4893 797 低 证书服务已存档密钥。
4894 798 低 证书服务已导入并存档密钥。
4895 799 低 证书服务已将 CA 证书发布到 Active Directory 域服务。
4898 802 低 证书服务已加载模板。
4902 不可用 低 已创建每用户审核策略表。
4904 不可用 低 尝试注册安全事件源。
4905 不可用 低 尝试注销安全事件源。
4909 不可用 低 已更改 TBS 的本地策略设置。
4910 不可用 低 已更改 TBS 的组策略设置。
4928 不可用 低 已建立 Active Directory 副本源命名上下文。
4929 不可用 低 已删除 Active Directory 副本源命名上下文。
4930 不可用 低 修改了 Active Directory 副本源命名上下文。
4931 不可用 低 修改了 Active Directory 副本目标命名上下文。
4932 不可用 低 Active Directory 命名上下文的副本同步已开始。
4933 不可用 低 Active Directory 命名上下文的副本同步已结束。
4934 不可用 低 已复制 Active Directory 对象的属性。
4935 不可用 低 复制故障开始。
4936 不可用 低 复制故障结束。
4937 不可用 低 已从副本中删除延迟对象。
4944 不可用 低 在 Windows 防火墙启动后，以下策略处于活动状态。
4945 不可用 低 Windows 防火墙启动时列出了某个规则。
4946 不可用 低 对 Windows 防火墙例外列表进行了更改。 已添加规则。
4947 不可用 低 对 Windows 防火墙例外列表进行了更改。 已修改规则。
4948 不可用 低 对 Windows 防火墙例外列表进行了更改。 已删除规则。
4949 不可用 低 Windows 防火墙设置已还原为默认值。
4950 不可用 低 Windows 防火墙设置已更改。
4951 不可用 低 已忽略了某个规则，因为 Windows 防火墙无法识别其主版本号。
4952 不可用 低 已忽略某个规则的某些部分，因为 Windows 防火墙未识别其次要版本号。 将强制实施规则的其他部分。
4953 不可用 低 Windows 防火墙忽略了某个规则，因为它无法分析该规则。
4954 不可用 低 Windows 防火墙组策略设置已更改。 已应用新设置。
4956 不可用 低 Windows 防火墙更改了活动配置文件。
4957 不可用 低 Windows 防火墙未应用以下规则：
4958 不可用 低 Windows 防火墙未应用以下规则，因为这台计算机上未配置规则引用的项：
4979 不可用 低 已建立 IPsec 主模式和扩展模式安全关联。
4980 不可用 低 已建立 IPsec 主模式和扩展模式安全关联。
4981 不可用 低 已建立 IPsec 主模式和扩展模式安全关联。
4982 不可用 低 已建立 IPsec 主模式和扩展模式安全关联。
4985 不可用 低 已更改事务状态。
5024 不可用 低 已成功启动 Windows 防火墙服务。
5025 不可用 低 已停止 Windows 防火墙服务。
5031 不可用 低 Windows 防火墙服务已禁止应用程序接受网络中的传入连接。
5032 不可用 低 Windows 防火墙无法通知用户已禁止应用程序接受网络中的传入连接。
5033 不可用 低 已成功启动 Windows 防火墙驱动程序。
5034 不可用 低 Windows 防火墙驱动程序已停止。
5039 不可用 低 已虚拟化注册表项。
5040 不可用 低 对 IPsec 设置进行了更改。 添加了身份验证集。
5041 不可用 低 对 IPsec 设置进行了更改。 修改了身份验证集。
5042 不可用 低 对 IPsec 设置进行了更改。 删除了身份验证集。
5043 不可用 低 对 IPsec 设置进行了更改。 添加了连接安全规则。
5044 不可用 低 对 IPsec 设置进行了更改。 修改了连接安全规则。
5045 不可用 低 对 IPsec 设置进行了更改。 删除了连接安全规则。
5046 不可用 低 对 IPsec 设置进行了更改。 添加了加密集。
5047 不可用 低 对 IPsec 设置进行了更改。 修改了加密集。
5048 不可用 低 对 IPsec 设置进行了更改。 删除了加密集。
5050 不可用 低 尝试通过调用 InetFwProfile.FirewallEnabled(False) 以编程方式禁用 Windows 防火墙
5051 不可用 低 文件已虚拟化。
5056 不可用 低 执行了加密自检。
5057 不可用 低 加密基元操作失败。
5058 不可用 低 重要文件操作。
5059 不可用 低 密钥迁移操作。
5060 不可用 低 验证操作失败。
5061 不可用 低 加密操作。
5062 不可用 低 执行了内核模式加密自检。
5063 不可用 低 尝试了加密提供程序操作。
5064 不可用 低 尝试了加密上下文操作。
5065 不可用 低 尝试了加密上下文修改。
5066 不可用 低 尝试了加密函数操作。
5067 不可用 低 尝试了加密函数修改。
5068 不可用 低 尝试了加密函数提供程序操作。
5069 不可用 低 尝试了加密函数属性操作。
5070 不可用 低 尝试了加密函数属性修改。
5125 不可用 低 请求已提交到 OCSP 响应程序服务
5126 不可用 低 签名证书已由 OCSP 响应程序服务自动更新
5127 不可用 低 OCSP 吊销提供程序已成功更新吊销信息
5136 566 低 修改了目录服务对象。
5137 566 低 创建了目录服务对象。
5138 不可用 低 取消删除了目录服务对象。
5139 不可用 低 删除了目录服务对象。
5140 不可用 低 已访问网络共享对象。
5141 不可用 低 取消删除了目录服务对象。
5152 不可用 低 Windows 筛选平台已禁止数据包。
5153 不可用 低 限制更严格的 Windows 筛选平台筛选器已禁止数据包。
5154 不可用 低 Windows 筛选平台已允许应用程序或服务在端口上侦听传入连接。
5155 不可用 低 Windows 筛选平台已禁止应用程序或服务在端口上侦听传入连接。
5156 不可用 低 Windows 筛选平台已允许连接。
5157 不可用 低 Windows 筛选平台已禁止连接。
5158 不可用 低 Windows 筛选平台已允许绑定到本地端口。
5159 不可用 低 Windows 筛选平台已禁止绑定到本地端口。
5378 不可用 低 策略禁止了所请求的凭据委派。
5440 不可用 低 Windows 筛选平台基础筛选引擎启动时，存在以下标注。
5441 不可用 低 Windows 筛选平台基本筛选引擎启动时，存在以下筛选器。
5442 不可用 低 Windows 筛选平台基本筛选引擎启动时，存在以下提供程序。
5443 不可用 低 Windows 筛选平台基本筛选引擎启动时，存在以下提供程序上下文。
5444 不可用 低 Windows 筛选平台基本筛选引擎启动时，存在以下子层。
5446 不可用 低 Windows 筛选平台标注已更改。
5447 不可用 低 Windows 筛选平台筛选器已更改。
5448 不可用 低 Windows 筛选平台提供程序已更改。
5449 不可用 低 Windows 筛选平台提供程序上下文已更改。
5450 不可用 低 Windows 筛选平台子层已更改。
5451 不可用 低 已建立 IPsec 快速模式安全关联。
5452 不可用 低 IPsec 快速模式安全关联已结束。
5456 不可用 低 PAStore 引擎在计算机上应用了 Active Directory 存储 IPsec 策略。
5457 不可用 低 PAStore 引擎无法在计算机上应用 Active Directory 存储 IPsec 策略。
5458 不可用 低 PAStore 引擎在计算机上应用了 Active Directory 存储 IPsec 策略的本地缓存副本。
5459 不可用 低 PAStore 引擎无法在计算机上应用 Active Directory 存储 IPsec 策略的本地缓存副本。
5460 不可用 低 PAStore 引擎在计算机上应用了本地注册表存储 IPsec 策略。
5461 不可用 低 PAStore 引擎无法在计算机上应用本地注册表存储 IPsec 策略。
5462 不可用 低 PAStore 引擎无法在计算机上应用活动 IPsec 策略的某些规则。 使用 IP 安全监视器管理单元来诊断问题。
5463 不可用 低 PAStore 引擎轮询了活动 IPsec 策略的更改，未检测到任何更改。
5464 不可用 低 PAStore 引擎轮询了对活动 IPsec 策略的更改、检测到更改并将其应用于 IPsec 服务。
5465 不可用 低 PAStore 引擎收到了用于强制重新加载 IPsec 策略的控件，并已成功处理该控件。
5466 不可用 低 PAStore 引擎轮询了 Active Directory IPsec 策略的更改，确定无法访问 Active Directory，并将改用 Active Directory IPsec 策略的缓存副本。 无法应用自上次轮询以来对 Active Directory IPsec 策略所做的任何更改。
5467 不可用 低 PAStore 引擎轮询了 Active Directory IPsec 策略的更改，确定可以访问 Active Directory，且未发现策略有任何更改。 不再使用 Active Directory IPsec 策略的缓存副本。
5468 不可用 低 PAStore 引擎轮询了 Active Directory IPsec 策略的更改，确定可以访问 Active Directory、找到策略更改并应用这些更改。 不再使用 Active Directory IPsec 策略的缓存副本。
5471 不可用 低 PAStore 引擎在计算机上加载了本地存储 IPsec 策略。
5472 不可用 低 PAStore 引擎无法在计算机上加载本地存储 IPsec 策略。
5473 不可用 低 PAStore 引擎在计算机上加载了目录存储 IPsec 策略。
5474 不可用 低 PAStore 引擎无法在计算机上加载目录存储 IPsec 策略。
5477 不可用 低 PAStore 引擎无法添加快速模式筛选器。
5479 不可用 低 IPsec 服务已成功关闭。 关闭 IPsec Services 会使计算机面临更大的网络攻击风险，或使计算机面临潜在的安全风险。
5632 不可用 低 请求向无线网络进行身份验证。
5633 不可用 低 请求向有线网络进行身份验证。
5712 不可用 低 已尝试执行远程过程调用 (RPC)。
5888 不可用 低 修改了 COM+ 目录中的对象。
5889 不可用 低 从 COM+ 目录中删除了对象。
5890 不可用 低 向 COM + 目录中添加了对象。
6008 不可用 低 上一次系统关闭是意外发生的
6144 不可用 低 已成功应用组策略对象中的安全策略。
6272 不可用 低 网络策略服务器授予用户访问权限。
不可用 561 低 请求某个对象的句柄。
不可用 563 低 打开对象以删除
不可用 625 低 用户帐户类型已更改
不可用 613 低 IPsec 策略代理已启动
不可用 614 低 IPsec 策略代理已禁用
不可用 615 低 IPsec 策略代理
不可用 616 低 IPsec 策略代理遇到潜在的严重故障
24577 不可用 低 已启动卷加密
24578 不可用 低 已停止卷加密
24579 不可用 低 已完成卷加密
24580 不可用 低 已启动卷解密
24581 不可用 低 已停止卷解密
24582 不可用 低 已完成卷解密
24583 不可用 低 已启动卷的转换工作线程
24584 不可用 低 卷的转换工作线程暂时停止
24588 不可用 低 卷 %2 的转换操作遇到坏扇区错误。 请验证此卷上的数据
24595 不可用 低 卷 %2 包含错误的群集。 转换期间将跳过这些群集。
24621 不可用 低 初始状态检查：滚动 %2 上的卷转换事务。
5049 不可用 低 已删除 IPsec 安全关联。
5478 不可用 低 IPsec 服务已成功启动。

注意

若需查看多种安全事件 ID 及其含义的列表，请参阅 Windows 安全审核事件。

运行 wevtutil gp Microsoft-Windows-Security-Auditing /ge /gm:true 以获取所有安全事件 ID 的详尽列表

有关 Windows 安全事件 ID 及其含义的详细信息，请参阅 Microsoft 支持文章基本安全审核策略设置。 还可以下载 Windows 安全审核事件，这些事件以电子表格的形式提供有关引用的操作系统的详细事件信息。