Поделиться через


Безопасность ведения журнала событий

Замечание

API ведения журнала событий предназначен для приложений, работающих в операционной системе Windows Server 2003, Windows XP или Windows 2000. В Windows Vista была изменена инфраструктура ведения журнала событий. Приложения, предназначенные для запуска в операционных системах Windows Vista или более поздних версий, теперь должны использовать журнал событий Windows.

Журнал безопасности предназначен для использования системой. Однако пользователи могут считывать и очищать журнал безопасности , если им предоставлена привилегия SE_SECURITY_NAME (право пользователя "управление аудитом и журналом безопасности"). Дополнительные сведения см. в разделе "Привилегии".

Только локальный центр безопасности (Lsass.exe) имеет разрешение на запись для журнала безопасности . Никакие другие учетные записи не могут запрашивать эту привилегию. Чтобы записать событие в журнал безопасности , используйте функцию AuthzReportSecurityEvent .

Доступ к журналу приложений , системным журналам и пользовательским журналам ограничен. Система предоставляет доступ на основе прав доступа, предоставленных учетной записи, в которой выполняется поток. В следующей таблице показано, какие типы доступа требуются функциями ведения журнала событий.

Право доступа Description
ELF_LOGFILE_CLEAR (0x0004) Требуется ClearEventLog.
ELF_LOGFILE_READ (0x0001) Требуется OpenBackupEventLog и OpenEventLog.
ELF_LOGFILE_WRITE (0x0002) Требуется RegisterEventSource.

Используйте значение реестра CustomSD для настройки безопасности журнала приложений , системного журнала и пользовательских журналов. Дополнительные сведения см. в разделе "Ключ журнала событий".