プロセスの追跡の監査

プログラムのアクティブ化、プロセスの終了、ハンドルの複製、および間接的なオブジェクトアクセスなどのイベントの詳細な追跡情報を監査するかどうかを決定します。

このポリシー設定を定義する場合、成功を監査するか、失敗を監査するか、またはすべてのイベントの種類を監査しないかを指定できます。成功の監査は、追跡対象のプロセスが成功した場合に監査エントリを生成します。失敗の監査は、追跡対象のプロセスが失敗した場合に監査エントリを生成します。

この値を [監査しない] に設定するには、このポリシー設定の [プロパティ] ダイアログボックスで、[これらのポリシーの設定を定義する] チェックボックスを選択して [成功] と [失敗] のチェックボックスをオフにします。

既定: [監査しない]。

このセキュリティ設定の構成

コンピューターの構成\Windows 設定\セキュリティの設定\ローカルポリシー\監査ポリシーの下でこのセキュリティ設定を構成できます。

プロセス追跡イベント	説明
592	新しいプロセスが作成されました。
593	プロセスが終了しました。
594	オブジェクトに対するハンドルが複製されました。
595	オブジェクトへの間接アクセスが取得されました。
596	データ保護マスターキーがバックアップされました。注マスターキーは CryptProtectData および CryptUnprotectData ルーチン、および暗号化ファイルシステム (EFS) によって使用されます。マスターキーは新しいものが作成されるたびにバックアップされます。(既定の設定は 90 日です。)キーは通常、ドメインコントローラーにバックアップされます。
597	データ保護マスターキーが回復用のサーバーから回復されました。
598	監査可能なデータが保護されました。
599	監査可能なデータの保護が解除されました。
600	プライマリトークンがプロセスに割り当てられました。
601	ユーザーがサービスのインストールを試みました。
602	スケジューラジョブが作成されました。