domaines et sélectionnez
Stratégies, Audit. Sélectionnez les événements que vous voulez auditer (par exemple
succès et échec des logons, accès aux fichiers et aux objets, utilisation des
droits d’utilisateurs, changements de stratégies de sécurité).
Si vous choisissez l’accès aux fichiers et aux objets, vous devez définir les
options d’audit pour les fichiers avec l’onglet Sécurité de la fenêtre Propriétés
du fichier, du répertoire ou du disque.
Il n’est pas nécessaire d’auditer tous les fichiers et les utilisateurs et de
filtrer ensuite les journaux. Vous pouvez auditer seulement certains utilisateurs
ou groupes, et seulement des fichiers ou des répertoires spécifiques.Dans le cas
d’un environnement extrêmement sécurisé, il peut être indispensable que le système
s’arrête dès que le journal Sécurité est plein. L’arrêt du système empêche un
pirate de remplir le journal Sécurité de faux événements, pour pouvoir le pénétrer
sans laisser de trace d’audit. Une fois le système arrêté, seul l’administrateur
systèmes peut s’y connecter. L’administrateur systèmes doit vider le journal avant
que quiconque puisse se connecter.

Pour configurer l’arrêt automatique, lorsque le jounal Sécurité est plein, ouvrez
un éditeur de Registre et allez à  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa.
(Avant d’éditer le Registre, mettez à  jour votre disquette de réparation d’urgence.
Ajoutez le nom de valeur CrashOnAuditFail, le type de données REG_DWORD et entrez
la valeur 1. Lorsque le journal Sécurité est plein, la valeur de l’entrée du Registre
passe sur 2 et le système s’arrête. L’administrateur systèmes peut redémarrer
le journal Sécurité, le vider et remettre la valeur sur 1. Les utilisateurs ne
peuvent pas se connecter avant la réinitialisation du système.