Evénements systèmes importants

event ID 517 (The audit log
was cleared) indépendamment de la
manière dont la stratégie d’audit de
l’ordinateur est configurée. Vous savez
ainsi qui a effacé le journal de sécurité.
Si Audit system events est activé,
Win2K journalise event ID 512
(Windows NT is starting up) quand le
système se réinitialise. Les réinitialisations
sont importantes pour la sécurité
parce que les systèmes Win2K
sont très vulnérables aux attaques par
accès physique pendant que l’OS est
inopérant. Vous pouvez fort bien
comparer event ID 512 avec d’autres
informations en votre possession,
comme les journaux d’entrée et de
sortie dans la salle des serveurs, pour
savoir qui était présent quand le serveur
s’est réinitialisé. Si vous activez
Audit policy changes, Win2K journalisera
event ID 612 (Audit Policy
Change) quand l’audit policy de l’ordinateur
sera changée. Event ID 612 enregistre
exactement les catégories qui
ont été activées et désactivées.
Des changements incorrects apportés
à  l’heure d’un système peuvent
semer le chaos dans les applications.
Pour changer l’heure du système, les
utilisateurs doivent posséder le droit
utilisateur Change system time, que
vous pouvez suivre en activant Audit
privilege use. Ensuite, surveillez toute
occurrence éventuelle de event ID 577
(Privileged Service Called) qui spécifie
SeSystemTimePrivilege dans sa description.