Изменена политика аудита системы

Что это значит

Кто-то изменил, что именно попадает в журнал. Атакующие выключают аудит перед основным действием — поэтому событие критическое.

Первые шаги

1. 1Проверьте Subject и с какой машины.
2. 2Сравните с утверждённой политикой (auditpol /get /category:*).
3. 3Если изменение не плановое — это инцидент безопасности, а не сбой.

Связанные события

• 1102
• 4739