6126 lines
145 KiB
C
6126 lines
145 KiB
C
|
/*++ BUILD Version: 0001 // Increment this if a change has global effects
|
|||
|
|
|
|||
|
|
Copyright (c) 1991 Microsoft Corporation
|
|||
|
|
|
|||
|
|
Module Name:
|
|||
|
|
|
|||
|
|
msaudite.mc
|
|||
|
|
|
|||
|
|
Abstract:
|
|||
|
|
|
|||
|
|
Constant definitions for the NT Audit Event Messages.
|
|||
|
|
|
|||
|
|
Author:
|
|||
|
|
|
|||
|
|
Jim Kelly (JimK) 30-Mar-1992
|
|||
|
|
|
|||
|
|
Revision History:
|
|||
|
|
|
|||
|
|
Notes:
|
|||
|
|
|
|||
|
|
The .h and .res forms of this file are generated from the .mc
|
|||
|
|
form of the file (base\seaudit\msaudite\msaudite.mc).
|
|||
|
|
Please make all changes to the .mc form of the file.
|
|||
|
|
|
|||
|
|
If you add a new audit category or make any change to the
|
|||
|
|
audit event id valid limits (0x200 ~ 0x5ff), please make a
|
|||
|
|
corresponding change to ntlsa.h
|
|||
|
|
|
|||
|
|
--*/
|
|||
|
|
|
|||
|
|
#ifndef _MSAUDITE_
|
|||
|
|
#define _MSAUDITE_
|
|||
|
|
|
|||
|
|
/*lint -e767 */ // Don't complain about different definitions // winnt
|
|||
|
|
//
|
|||
|
|
// Values are 32 bit values layed out as follows:
|
|||
|
|
//
|
|||
|
|
// 3 3 2 2 2 2 2 2 2 2 2 2 1 1 1 1 1 1 1 1 1 1
|
|||
|
|
// 1 0 9 8 7 6 5 4 3 2 1 0 9 8 7 6 5 4 3 2 1 0 9 8 7 6 5 4 3 2 1 0
|
|||
|
|
// +---+-+-+-----------------------+-------------------------------+
|
|||
|
|
// |Sev|C|R| Facility | Code |
|
|||
|
|
// +---+-+-+-----------------------+-------------------------------+
|
|||
|
|
//
|
|||
|
|
// where
|
|||
|
|
//
|
|||
|
|
// Sev - is the severity code
|
|||
|
|
//
|
|||
|
|
// 00 - Success
|
|||
|
|
// 01 - Informational
|
|||
|
|
// 10 - Warning
|
|||
|
|
// 11 - Error
|
|||
|
|
//
|
|||
|
|
// C - is the Customer code flag
|
|||
|
|
//
|
|||
|
|
// R - is a reserved bit
|
|||
|
|
//
|
|||
|
|
// Facility - is the facility code
|
|||
|
|
//
|
|||
|
|
// Code - is the facility's status code
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// Define the facility codes
|
|||
|
|
//
|
|||
|
|
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// Define the severity codes
|
|||
|
|
//
|
|||
|
|
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: 0x00000000L (No symbolic name defined)
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Unused message ID
|
|||
|
|
//
|
|||
|
|
|
|||
|
|
|
|||
|
|
// Message ID 0 is unused - just used to flush out the diagram
|
|||
|
|
//
|
|||
|
|
// min/max limits on audit category-id and event-id of audit events
|
|||
|
|
//
|
|||
|
|
|
|||
|
|
#define SE_ADT_MIN_CATEGORY_ID 1 // SE_CATEGID_SYSTEM
|
|||
|
|
#define SE_ADT_MAX_CATEGORY_ID 9 // SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
|
|||
|
|
|
|||
|
|
#define SE_ADT_MIN_AUDIT_ID 0x200 // see msaudite.h
|
|||
|
|
#define SE_ADT_MAX_AUDIT_ID 0x5ff // see msaudite.h
|
|||
|
|
///////////////////////////////////////////////////////////////////////////
|
|||
|
|
///////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Audit Message ID Space: //
|
|||
|
|
// //
|
|||
|
|
// 0x0000 - 0x00FF : Reserved for future use. //
|
|||
|
|
// //
|
|||
|
|
// 0x0100 - 0x01FF : Categories //
|
|||
|
|
// //
|
|||
|
|
// 0x0200 - 0x05FF : Events //
|
|||
|
|
// //
|
|||
|
|
// 0x0600 - 0x063F : Standard access types and names for //
|
|||
|
|
// specific accesses when no specific names //
|
|||
|
|
// can be found. //
|
|||
|
|
// //
|
|||
|
|
// 0x0640 - 0x06FF : Well known privilege names (as we would //
|
|||
|
|
// like them displayed in the event viewer). //
|
|||
|
|
// //
|
|||
|
|
// 0x0700 - 0x0FFE : Reserved for future use. //
|
|||
|
|
// //
|
|||
|
|
// 0X0FFF : SE_ADT_LAST_SYSTEM_MESSAGE (the highest //
|
|||
|
|
// value audit message used by the system) //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// 0x1000 and above: For use by Parameter Message Files //
|
|||
|
|
// //
|
|||
|
|
///////////////////////////////////////////////////////////////////////////
|
|||
|
|
///////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_ADT_LAST_SYSTEM_MESSAGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Highest System-Defined Audit Message Value.
|
|||
|
|
//
|
|||
|
|
#define SE_ADT_LAST_SYSTEM_MESSAGE ((ULONG)0x00000FFFL)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// CATEGORIES //
|
|||
|
|
// //
|
|||
|
|
// Categories take up the range 0x1 - 0x400 //
|
|||
|
|
// //
|
|||
|
|
// Category IDs: //
|
|||
|
|
// //
|
|||
|
|
// SE_CATEGID_SYSTEM //
|
|||
|
|
// SE_CATEGID_LOGON //
|
|||
|
|
// SE_CATEGID_OBJECT_ACCESS //
|
|||
|
|
// SE_CATEGID_PRIVILEGE_USE //
|
|||
|
|
// SE_CATEGID_DETAILED_TRACKING //
|
|||
|
|
// SE_CATEGID_POLICY_CHANGE //
|
|||
|
|
// SE_CATEGID_ACCOUNT_MANAGEMENT //
|
|||
|
|
// SE_CATEGID_DS_ACCESS //
|
|||
|
|
// SE_CATEGID_ACCOUNT_LOGON //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// System Event
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_SYSTEM ((ULONG)0x00000001L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon/Logoff
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_LOGON ((ULONG)0x00000002L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Access
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_OBJECT_ACCESS ((ULONG)0x00000003L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_PRIVILEGE_USE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Privilege Use
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_PRIVILEGE_USE ((ULONG)0x00000004L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Detailed Tracking
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_DETAILED_TRACKING ((ULONG)0x00000005L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Policy Change
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_POLICY_CHANGE ((ULONG)0x00000006L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Account Management
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_ACCOUNT_MANAGEMENT ((ULONG)0x00000007L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_DS_ACCESS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Directory Service Access
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_DS_ACCESS ((ULONG)0x00000008L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Account Logon
|
|||
|
|
//
|
|||
|
|
#define SE_CATEGID_ACCOUNT_LOGON ((ULONG)0x00000009L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_SYSTEM //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_SYSTEM_RESTART //
|
|||
|
|
// SE_AUDITID_SYSTEM_SHUTDOWN //
|
|||
|
|
// SE_AUDITID_AUTH_PACKAGE_LOAD //
|
|||
|
|
// SE_AUDITID_LOGON_PROC_REGISTER //
|
|||
|
|
// SE_AUDITID_AUDITS_DISCARDED //
|
|||
|
|
// SE_AUDITID_NOTIFY_PACKAGE_LOAD //
|
|||
|
|
// SE_AUDITID_SYSTEM_TIME_CHANGE //
|
|||
|
|
// SE_AUDITID_LPC_INVALID_USE //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_RESTART
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings - None
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SYSTEM_RESTART
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Windows is starting up.
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SYSTEM_RESTART ((ULONG)0x00000200L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_SHUTDOWN
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings - None
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SYSTEM_SHUTDOWN
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Windows is shutting down.
|
|||
|
|
// All logon sessions will be terminated by this shutdown.
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SYSTEM_SHUTDOWN ((ULONG)0x00000201L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_AUTH_PACKAGE_LOAD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Authentication Package Name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_AUTH_PACKAGE_LOAD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// An authentication package has been loaded by the Local Security Authority.
|
|||
|
|
// This authentication package will be used to authenticate logon attempts.
|
|||
|
|
// %n
|
|||
|
|
// Authentication Package Name:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_AUTH_PACKAGE_LOAD ((ULONG)0x00000202L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_LOGON_PROC_REGISTER
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Logon Process Name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SYSTEM_LOGON_PROC_REGISTER
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A trusted logon process has registered with the Local Security Authority.
|
|||
|
|
// This logon process will be trusted to submit logon requests.
|
|||
|
|
// %n
|
|||
|
|
// %n
|
|||
|
|
// Logon Process Name:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SYSTEM_LOGON_PROC_REGISTER ((ULONG)0x00000203L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_AUDITS_DISCARDED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Number of audits discarded
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_AUDITS_DISCARDED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Internal resources allocated for the queuing of audit messages have been exhausted,
|
|||
|
|
// leading to the loss of some audits.
|
|||
|
|
// %n
|
|||
|
|
// %tNumber of audit messages discarded:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_AUDITS_DISCARDED ((ULONG)0x00000204L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_AUDIT_LOG_CLEARED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Primary user account name
|
|||
|
|
//
|
|||
|
|
// 2 - Primary authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Primary logon ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Client user account name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 5 - Client authenticating domain name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 6 - Client logon ID string ("-" if no client)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_AUDIT_LOG_CLEARED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The audit log was cleared
|
|||
|
|
// %n
|
|||
|
|
// %tPrimary User Name:%t%1%n
|
|||
|
|
// %tPrimary Domain:%t%2%n
|
|||
|
|
// %tPrimary Logon ID:%t%3%n
|
|||
|
|
// %tClient User Name:%t%4%n
|
|||
|
|
// %tClient Domain:%t%5%n
|
|||
|
|
// %tClient Logon ID:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_AUDIT_LOG_CLEARED ((ULONG)0x00000205L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_NOTIFY_PACKAGE_LOAD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Notification Package Name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_NOTIFY_PACKAGE_LOAD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// An notification package has been loaded by the Security Account Manager.
|
|||
|
|
// This package will be notified of any account or password changes.
|
|||
|
|
// %n
|
|||
|
|
// Notification Package Name:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_NOTIFY_PACKAGE_LOAD ((ULONG)0x00000206L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LPC_INVALID_USE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - LPC call (e.g. "impersonation" | "reply")
|
|||
|
|
//
|
|||
|
|
// 2 - Server Port name
|
|||
|
|
//
|
|||
|
|
// 3 - Faulting process
|
|||
|
|
//
|
|||
|
|
// Event type: success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// SE_AUDIT_LPC_INVALID_USE is generated when a process uses an invalid LPC
|
|||
|
|
// port in an attempt to impersonate a client, reply or read/write from/to a client address space.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LPC_INVALID_USE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Invalid use of LPC port.%n
|
|||
|
|
// %tProcess ID: %1%n
|
|||
|
|
// %tImage File Name: %2%n
|
|||
|
|
// %tPrimary User Name:%t%3%n
|
|||
|
|
// %tPrimary Domain:%t%4%n
|
|||
|
|
// %tPrimary Logon ID:%t%5%n
|
|||
|
|
// %tClient User Name:%t%6%n
|
|||
|
|
// %tClient Domain:%t%7%n
|
|||
|
|
// %tClient Logon ID:%t%8%n
|
|||
|
|
// %tInvalid use: %9%n
|
|||
|
|
// %tServer Port Name:%t%10%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LPC_INVALID_USE ((ULONG)0x00000207L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_TIME_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_SYSTEM
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// Type: success
|
|||
|
|
//
|
|||
|
|
// Description: This event is generated when the system time is changed.
|
|||
|
|
//
|
|||
|
|
// Note: This will often appear twice in the audit log; this is an implementation
|
|||
|
|
// detail wherein changing the system time results in two calls to NtSetSystemTime.
|
|||
|
|
// This is necessary to deal with time zone changes.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SYSTEM_TIME_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The system time was changed.%n
|
|||
|
|
// Process ID:%t%1%n
|
|||
|
|
// Process Name:%t%2%n
|
|||
|
|
// Primary User Name:%t%3%n
|
|||
|
|
// Primary Domain:%t%4%n
|
|||
|
|
// Primary Logon ID:%t%5%n
|
|||
|
|
// Client User Name:%t%6%n
|
|||
|
|
// Client Domain:%t%7%n
|
|||
|
|
// Client Logon ID:%t%8%n
|
|||
|
|
// Previous Time:%t%10 %9%n
|
|||
|
|
// New Time:%t%12 %11%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SYSTEM_TIME_CHANGE ((ULONG)0x00000208L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_LOGON //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_SUCCESSFUL_LOGON //
|
|||
|
|
// SE_AUDITID_UNKNOWN_USER_OR_PWD //
|
|||
|
|
// SE_AUDITID_ACCOUNT_TIME_RESTR //
|
|||
|
|
// SE_AUDITID_ACCOUNT_DISABLED //
|
|||
|
|
// SE_AUDITID_ACCOUNT_EXPIRED //
|
|||
|
|
// SE_AUDITID_WORKSTATION_RESTR //
|
|||
|
|
// SE_AUDITID_LOGON_TYPE_RESTR //
|
|||
|
|
// SE_AUDITID_PASSWORD_EXPIRED //
|
|||
|
|
// SE_AUDITID_NETLOGON_NOT_STARTED //
|
|||
|
|
// SE_AUDITID_UNSUCCESSFUL_LOGON //
|
|||
|
|
// SE_AUDITID_LOGOFF //
|
|||
|
|
// SE_AUDITID_ACCOUNT_LOCKED //
|
|||
|
|
// SE_AUDITID_NETWORK_LOGON //
|
|||
|
|
// SE_AUDITID_IPSEC_LOGON_SUCCESS //
|
|||
|
|
// SE_AUDITID_IPSEC_LOGOFF_MM //
|
|||
|
|
// SE_AUDITID_IPSEC_LOGOFF_QM //
|
|||
|
|
// SE_AUDITID_IPSEC_AUTH_FAIL_CERT_TRUST //
|
|||
|
|
// SE_AUDITID_IPSEC_AUTH //
|
|||
|
|
// SE_AUDITID_IPSEC_ATTRIB_FAIL //
|
|||
|
|
// SE_AUDITID_IPSEC_NEGOTIATION_FAIL //
|
|||
|
|
// SE_AUDITID_IPSEC_IKE_NOTIFICATION //
|
|||
|
|
// SE_AUDITID_DOMAIN_TRUST_INCONSISTENT //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SUCCESSFUL_LOGON
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 5 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 6 - Authentication package name
|
|||
|
|
//
|
|||
|
|
// 7 - Workstation from which logon request came
|
|||
|
|
//
|
|||
|
|
// 8 - Globally unique logon ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SUCCESSFUL_LOGON
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Successful Logon:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
// %tLogon Type:%t%4%n
|
|||
|
|
// %tLogon Process:%t%5%n
|
|||
|
|
// %tAuthentication Package:%t%6%n
|
|||
|
|
// %tWorkstation Name:%t%7%n
|
|||
|
|
// %tLogon GUID:%t%8
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SUCCESSFUL_LOGON ((ULONG)0x00000210L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_UNKNOWN_USER_OR_PWD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_UNKNOWN_USER_OR_PWD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tUnknown user name or bad password%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_UNKNOWN_USER_OR_PWD ((ULONG)0x00000211L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_TIME_RESTR
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_TIME_RESTR
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tAccount logon time restriction violation%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_TIME_RESTR ((ULONG)0x00000212L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_DISABLED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_DISABLED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tAccount currently disabled%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_DISABLED ((ULONG)0x00000213L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_EXPIRED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_EXPIRED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tThe specified user account has expired%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_EXPIRED ((ULONG)0x00000214L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_WORKSTATION_RESTR
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_WORKSTATION_RESTR
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tUser not allowed to logon at this computer%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_WORKSTATION_RESTR ((ULONG)0x00000215L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOGON_TYPE_RESTR
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOGON_TYPE_RESTR
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%tThe user has not been granted the requested%n
|
|||
|
|
// %t%tlogon type at this machine%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOGON_TYPE_RESTR ((ULONG)0x00000216L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PASSWORD_EXPIRED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PASSWORD_EXPIRED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tThe specified account's password has expired%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PASSWORD_EXPIRED ((ULONG)0x00000217L)
|
|||
|
|
|
|||
|
|
//'
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_NETLOGON_NOT_STARTED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_NETLOGON_NOT_STARTED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tThe NetLogon component is not active%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_NETLOGON_NOT_STARTED ((ULONG)0x00000218L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_UNSUCCESSFUL_LOGON
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_UNSUCCESSFUL_LOGON
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tAn error occurred during logon%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6%n
|
|||
|
|
// %tStatus code:%t%7%n
|
|||
|
|
// %tSubstatus code:%t%8
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_UNSUCCESSFUL_LOGON ((ULONG)0x00000219L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOGOFF
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Event Type : success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when the logoff process is complete,
|
|||
|
|
// A logoff is considered complete when the associated logon session object
|
|||
|
|
// is deleted.
|
|||
|
|
//
|
|||
|
|
// Notes:
|
|||
|
|
// A logon session object is deleted only after all tokens
|
|||
|
|
// associated with it are closed. This can take arbitrarily long time.
|
|||
|
|
// Because of this, the time difference between SE_AUDITID_SUCCESSFUL_LOGON
|
|||
|
|
// and SE_AUDITID_LOGOFF does not accurately indicate the total logon duration
|
|||
|
|
// for a user. To calculate the logon duration, use the SE_AUDITID_BEGIN_LOGOFF
|
|||
|
|
// time instead.
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOGOFF
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Logoff:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
// %tLogon Type:%t%4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOGOFF ((ULONG)0x0000021AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_LOCKED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 5 - Authentication package name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_LOCKED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tAccount locked out%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_LOCKED ((ULONG)0x0000021BL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_NETWORK_LOGON
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event represents a successful logon of type Network(2) or
|
|||
|
|
// NetworkCleartext(8).
|
|||
|
|
//
|
|||
|
|
// [kumarp] I do not know why this event was created separately because
|
|||
|
|
// this was already covered by SE_AUDITID_SUCCESSFUL_LOGON with
|
|||
|
|
// the right logon types.
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Logon Type string
|
|||
|
|
//
|
|||
|
|
// 5 - Logon process name
|
|||
|
|
//
|
|||
|
|
// 6 - Authentication package name
|
|||
|
|
//
|
|||
|
|
// 7 - Workstation from which logon request came
|
|||
|
|
//
|
|||
|
|
// 8 - Globally unique logon ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_NETWORK_LOGON
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Successful Network Logon:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
// %tLogon Type:%t%4%n
|
|||
|
|
// %tLogon Process:%t%5%n
|
|||
|
|
// %tAuthentication Package:%t%6%n
|
|||
|
|
// %tWorkstation Name:%t%7%n
|
|||
|
|
// %tLogon GUID:%t%8
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_NETWORK_LOGON ((ULONG)0x0000021CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_LOGON_SUCCESS
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Mode
|
|||
|
|
//
|
|||
|
|
// 2 - Peer Identity
|
|||
|
|
//
|
|||
|
|
// 3 - Filter
|
|||
|
|
//
|
|||
|
|
// 4 - Parameters
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_LOGON_SUCCESS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE security association established.%n
|
|||
|
|
// Mode: %n%1%n
|
|||
|
|
// Peer Identity: %n%2%n
|
|||
|
|
// Filter: %n%3%n
|
|||
|
|
// Parameters: %n%4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_LOGON_SUCCESS ((ULONG)0x0000021DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_LOGOFF_QM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Filter
|
|||
|
|
//
|
|||
|
|
// 2 - Inbound SPI
|
|||
|
|
//
|
|||
|
|
// 3 - Outbound SPI
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_LOGOFF_QM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE security association ended.%n
|
|||
|
|
// Mode: Data Protection (Quick mode)
|
|||
|
|
// Filter: %n%1%n
|
|||
|
|
// Inbound SPI: %n%2%n
|
|||
|
|
// Outbound SPI: %n%3%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_LOGOFF_QM ((ULONG)0x0000021EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_LOGOFF_MM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Filter
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_LOGOFF_MM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE security association ended.%n
|
|||
|
|
// Mode: Key Exchange (Main mode)%n
|
|||
|
|
// Filter: %n%1%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_LOGOFF_MM ((ULONG)0x0000021FL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_AUTH_FAIL_CERT_TRUST
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Peer Identity
|
|||
|
|
//
|
|||
|
|
// 2 - Filter
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_AUTH_FAIL_CERT_TRUST
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE security association establishment failed because peer could not authenticate.
|
|||
|
|
// The certificate trust could not be established.%n
|
|||
|
|
// Peer Identity: %n%1%n
|
|||
|
|
// Filter: %n%2%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_AUTH_FAIL_CERT_TRUST ((ULONG)0x00000220L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_AUTH_FAIL
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Peer Identity
|
|||
|
|
//
|
|||
|
|
// 2 - Filter
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_AUTH_FAIL
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE peer authentication failed.%n
|
|||
|
|
// Peer Identity: %n%1%n
|
|||
|
|
// Filter: %n%2%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_AUTH_FAIL ((ULONG)0x00000221L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_ATTRIB_FAIL
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Mode
|
|||
|
|
//
|
|||
|
|
// 2 - Filter
|
|||
|
|
//
|
|||
|
|
// 3 - Attribute Name
|
|||
|
|
//
|
|||
|
|
// 4 - Expected Value
|
|||
|
|
//
|
|||
|
|
// 5 - Received Value
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_ATTRIB_FAIL
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE security association establishment failed because peer
|
|||
|
|
// sent invalid proposal.%n
|
|||
|
|
// Mode: %n%1%n
|
|||
|
|
// Filter: %n%2%n
|
|||
|
|
// Attribute: %n%3%n
|
|||
|
|
// Expected value: %n%4%n
|
|||
|
|
// Received value: %n%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_ATTRIB_FAIL ((ULONG)0x00000222L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_NEGOTIATION_FAIL
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Mode
|
|||
|
|
//
|
|||
|
|
// 2 - Filter
|
|||
|
|
//
|
|||
|
|
// 3 - Failure Point
|
|||
|
|
//
|
|||
|
|
// 4 - Failure Reason
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_NEGOTIATION_FAIL
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IKE security association negotiation failed.%n
|
|||
|
|
// Mode: %n%1%n
|
|||
|
|
// Filter: %n%2%n
|
|||
|
|
// Peer Identity: %n%3%n
|
|||
|
|
// Failure Point: %n%4%n
|
|||
|
|
// Failure Reason: %n%5%n
|
|||
|
|
// Extra Status: %n%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_NEGOTIATION_FAIL ((ULONG)0x00000223L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DOMAIN_TRUST_INCONSISTENT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Event Type : failure
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated by an authentication package when the
|
|||
|
|
// quarantined domain SID filtering function in LSA returns
|
|||
|
|
// STATUS_DOMAIN_TRUST_INCONSISTENT error code.
|
|||
|
|
//
|
|||
|
|
// In case of kerberos:
|
|||
|
|
// If the server ticket info has a TDOSid then KdcCheckPacForSidFiltering
|
|||
|
|
// function makes a check to make sure the SID from the TDO matches
|
|||
|
|
// the client's home domain SID. A call to LsaIFilterSids
|
|||
|
|
// is made to do the check. If this function fails with
|
|||
|
|
// STATUS_DOMAIN_TRUST_INCONSISTENT then this event is generated.
|
|||
|
|
//
|
|||
|
|
// In case of netlogon:
|
|||
|
|
// NlpUserValidateHigher function does a similar check by
|
|||
|
|
// calling LsaIFilterSids.
|
|||
|
|
//
|
|||
|
|
// Notes:
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DOMAIN_TRUST_INCONSISTENT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason:%t%tDomain sid inconsistent%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package:%t%5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DOMAIN_TRUST_INCONSISTENT ((ULONG)0x00000224L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ALL_SIDS_FILTERED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Event Type : failure
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// During a cross forest authentication, SIDS corresponding to untrusted
|
|||
|
|
// namespaces are filtered out. If this filtering action results into
|
|||
|
|
// removal of all sids then this event is generated.
|
|||
|
|
//
|
|||
|
|
// Notes:
|
|||
|
|
// This is generated on the computer running kdc
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ALL_SIDS_FILTERED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon Failure:%n
|
|||
|
|
// %tReason: %tAll sids were filtered out%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%2%n
|
|||
|
|
// %tLogon Type:%t%3%n
|
|||
|
|
// %tLogon Process:%t%4%n
|
|||
|
|
// %tAuthentication Package%t: %5%n
|
|||
|
|
// %tWorkstation Name:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ALL_SIDS_FILTERED ((ULONG)0x00000225L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_IKE_NOTIFICATION
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Notification Message
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_IKE_NOTIFICATION
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// %1%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_IKE_NOTIFICATION ((ULONG)0x00000226L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_BEGIN_LOGOFF
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Event Type : success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when a user initiates logoff.
|
|||
|
|
//
|
|||
|
|
// Notes:
|
|||
|
|
// When the logoff process is complete, SE_AUDITID_LOGOFF event is generated.
|
|||
|
|
// A logoff is considered complete when the associated logon session object
|
|||
|
|
// is deleted. This happens only after all tokens associated with it are closed.
|
|||
|
|
// This can take arbitrarily long time therefore there can be a substantial
|
|||
|
|
// time difference between the two events.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_BEGIN_LOGOFF
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User initiated logoff:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_BEGIN_LOGOFF ((ULONG)0x00000227L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOGON_USING_EXPLICIT_CREDENTIALS
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Event Type : success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when someone tries to logon using
|
|||
|
|
// explicit credentials while already logged on as a different user.
|
|||
|
|
//
|
|||
|
|
// Notes:
|
|||
|
|
// This is generated on the client machine from which logon request originates.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOGON_USING_EXPLICIT_CREDENTIALS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon attempt using explicit credentials:%n
|
|||
|
|
// Logged on user:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%2%n
|
|||
|
|
// %tLogon ID:%t%3%n
|
|||
|
|
// %tLogon GUID:%t%4%n
|
|||
|
|
// User whose credentials were used:%n
|
|||
|
|
// %tUser Name:%t%5%n
|
|||
|
|
// %tDomain:%t%6%n%n
|
|||
|
|
// %tLogon GUID:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOGON_USING_EXPLICIT_CREDENTIALS ((ULONG)0x00000228L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_OBJECT_ACCESS //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_OPEN_HANDLE //
|
|||
|
|
// SE_AUDITID_CLOSE_HANDLE //
|
|||
|
|
// SE_AUDITID_OPEN_OBJECT_FOR_DELETE //
|
|||
|
|
// SE_AUDITID_DELETE_OBJECT //
|
|||
|
|
// SE_AUDITID_OPEN_HANDLE_OBJECT_TYPE //
|
|||
|
|
// SE_AUDITID_OBJECT_OPERATION //
|
|||
|
|
// SE_AUDITID_OBJECT_ACCESS //
|
|||
|
|
// SE_AUDITID_HARDLINK_CREATION //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_OPEN_HANDLE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object Type string
|
|||
|
|
//
|
|||
|
|
// 2 - Object name
|
|||
|
|
//
|
|||
|
|
// 3 - New handle ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Object server name
|
|||
|
|
//
|
|||
|
|
// 5 - Process ID string
|
|||
|
|
//
|
|||
|
|
// 6 - Primary user account name
|
|||
|
|
//
|
|||
|
|
// 7 - Primary authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 8 - Primary logon ID string
|
|||
|
|
//
|
|||
|
|
// 9 - Client user account name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 10 - Client authenticating domain name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 11 - Client logon ID string ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 12 - Access names
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_OPEN_HANDLE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Open:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tObject Type:%t%2%n
|
|||
|
|
// %tObject Name:%t%3%n
|
|||
|
|
// %tHandle ID:%t%4%n
|
|||
|
|
// %tOperation ID:%t{%5,%6}%n
|
|||
|
|
// %tProcess ID:%t%7%n
|
|||
|
|
// %tImage File Name:%t%8%n
|
|||
|
|
// %tPrimary User Name:%t%9%n
|
|||
|
|
// %tPrimary Domain:%t%10%n
|
|||
|
|
// %tPrimary Logon ID:%t%11%n
|
|||
|
|
// %tClient User Name:%t%12%n
|
|||
|
|
// %tClient Domain:%t%13%n
|
|||
|
|
// %tClient Logon ID:%t%14%n
|
|||
|
|
// %tAccesses:%t%t%15%n
|
|||
|
|
// %tPrivileges:%t%t%16%n
|
|||
|
|
// %tRestricted Sid Count: %17%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_OPEN_HANDLE ((ULONG)0x00000230L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CLOSE_HANDLE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object server name
|
|||
|
|
//
|
|||
|
|
// 2 - Handle ID string
|
|||
|
|
//
|
|||
|
|
// 3 - Process ID string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CLOSE_HANDLE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Handle Closed:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tHandle ID:%t%2%n
|
|||
|
|
// %tProcess ID:%t%3%n
|
|||
|
|
// %tImage File Name:%t%4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CLOSE_HANDLE ((ULONG)0x00000232L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_OPEN_OBJECT_FOR_DELETE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object Type string
|
|||
|
|
//
|
|||
|
|
// 2 - Object name
|
|||
|
|
//
|
|||
|
|
// 3 - New handle ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Object server name
|
|||
|
|
//
|
|||
|
|
// 5 - Process ID string
|
|||
|
|
//
|
|||
|
|
// 6 - Primary user account name
|
|||
|
|
//
|
|||
|
|
// 7 - Primary authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 8 - Primary logon ID string
|
|||
|
|
//
|
|||
|
|
// 9 - Client user account name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 10 - Client authenticating domain name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 11 - Client logon ID string ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 12 - Access names
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_OPEN_OBJECT_FOR_DELETE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Open for Delete:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tObject Type:%t%2%n
|
|||
|
|
// %tObject Name:%t%3%n
|
|||
|
|
// %tHandle ID:%t%4%n
|
|||
|
|
// %tOperation ID:%t{%5,%6}%n
|
|||
|
|
// %tProcess ID:%t%7%n
|
|||
|
|
// %tPrimary User Name:%t%8%n
|
|||
|
|
// %tPrimary Domain:%t%9%n
|
|||
|
|
// %tPrimary Logon ID:%t%10%n
|
|||
|
|
// %tClient User Name:%t%11%n
|
|||
|
|
// %tClient Domain:%t%12%n
|
|||
|
|
// %tClient Logon ID:%t%13%n
|
|||
|
|
// %tAccesses%t%t%14%n
|
|||
|
|
// %tPrivileges%t%t%15%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_OPEN_OBJECT_FOR_DELETE ((ULONG)0x00000233L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DELETE_OBJECT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object server name
|
|||
|
|
//
|
|||
|
|
// 2 - Handle ID string
|
|||
|
|
//
|
|||
|
|
// 3 - Process ID string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DELETE_OBJECT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Deleted:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tHandle ID:%t%2%n
|
|||
|
|
// %tProcess ID:%t%3%n
|
|||
|
|
// %tImage File Name:%t%4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DELETE_OBJECT ((ULONG)0x00000234L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_OPEN_HANDLE_OBJECT_TYPE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object Type string
|
|||
|
|
//
|
|||
|
|
// 2 - Object name
|
|||
|
|
//
|
|||
|
|
// 3 - New handle ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Object server name
|
|||
|
|
//
|
|||
|
|
// 5 - Process ID string
|
|||
|
|
//
|
|||
|
|
// 6 - Primary user account name
|
|||
|
|
//
|
|||
|
|
// 7 - Primary authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 8 - Primary logon ID string
|
|||
|
|
//
|
|||
|
|
// 9 - Client user account name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 10 - Client authenticating domain name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 11 - Client logon ID string ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 12 - Access names
|
|||
|
|
//
|
|||
|
|
// 13 - Object Type parameters
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_OPEN_HANDLE_OBJECT_TYPE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Open:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tObject Type:%t%2%n
|
|||
|
|
// %tObject Name:%t%3%n
|
|||
|
|
// %tHandle ID:%t%4%n
|
|||
|
|
// %tOperation ID:%t{%5,%6}%n
|
|||
|
|
// %tProcess ID:%t%7%n
|
|||
|
|
// %tProcess Name:%t%8%n
|
|||
|
|
// %tPrimary User Name:%t%9%n
|
|||
|
|
// %tPrimary Domain:%t%10%n
|
|||
|
|
// %tPrimary Logon ID:%t%11%n
|
|||
|
|
// %tClient User Name:%t%12%n
|
|||
|
|
// %tClient Domain:%t%13%n
|
|||
|
|
// %tClient Logon ID:%t%14%n
|
|||
|
|
// %tAccesses%t%t%15%n
|
|||
|
|
// %tPrivileges%t%t%16%n%n
|
|||
|
|
// Properties:%n%17%18%19%20%21%22%23%24%25%26%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_OPEN_HANDLE_OBJECT_TYPE ((ULONG)0x00000235L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
// SE_AUDITID_OBJECT_OPERATION
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Operation Name
|
|||
|
|
//
|
|||
|
|
// 2 - Object Type
|
|||
|
|
//
|
|||
|
|
// 3 - Object name
|
|||
|
|
//
|
|||
|
|
// 4 - Handle ID
|
|||
|
|
//
|
|||
|
|
// 5 - Primary user account name
|
|||
|
|
//
|
|||
|
|
// 6 - Primary authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 7 - Primary logon ID string
|
|||
|
|
//
|
|||
|
|
// 8 - Client user account name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 9 - Client authenticating domain name ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 10 - Client logon ID string ("-" if no client)
|
|||
|
|
//
|
|||
|
|
// 11 - Requested accesses to the object
|
|||
|
|
//
|
|||
|
|
// 12 - Object properties ("-" if none)
|
|||
|
|
//
|
|||
|
|
// 13 - additional information ("-" if none)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_OBJECT_OPERATION
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Operation:%n
|
|||
|
|
// %tOperation Type%t%1%n
|
|||
|
|
// %tObject Type:%t%2%n
|
|||
|
|
// %tObject Name:%t%3%n
|
|||
|
|
// %tHandle ID:%t%4%n
|
|||
|
|
// %tPrimary User Name:%t%5%n
|
|||
|
|
// %tPrimary Domain:%t%6%n
|
|||
|
|
// %tPrimary Logon ID:%t%7%n
|
|||
|
|
// %tClient User Name:%t%8%n
|
|||
|
|
// %tClient Domain:%t%9%n
|
|||
|
|
// %tClient Logon ID:%t%10%n
|
|||
|
|
// %tAccesses%t%t%11%n
|
|||
|
|
// %tProperties:%n%12%n
|
|||
|
|
// %tAdditional Info:%t%13%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_OBJECT_OPERATION ((ULONG)0x00000236L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object server name
|
|||
|
|
//
|
|||
|
|
// 2 - Handle ID string
|
|||
|
|
//
|
|||
|
|
// 3 - Process ID string
|
|||
|
|
//
|
|||
|
|
// 4 - List of Accesses
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Object Access Attempt:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tHandle ID:%t%2%n
|
|||
|
|
// %tObject Type:%t%3%n
|
|||
|
|
// %tProcess ID:%t%4%n
|
|||
|
|
// %tImage File Name:%t%5%n
|
|||
|
|
// %tAccess Mask:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_OBJECT_ACCESS ((ULONG)0x00000237L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_HARDLINK_CREATION
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object server name
|
|||
|
|
//
|
|||
|
|
// 2 - Handle ID string
|
|||
|
|
//
|
|||
|
|
// 3 - Process ID string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_HARDLINK_CREATION
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Hard link creation attempt:%n
|
|||
|
|
// %tPrimary User Name:%t%1%n
|
|||
|
|
// %tPrimary Domain:%t%2%n
|
|||
|
|
// %tPrimary Logon ID:%t%3%n
|
|||
|
|
// %tFile Name:%t%4%n
|
|||
|
|
// %tLink Name:%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_HARDLINK_CREATION ((ULONG)0x00000238L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_PRIVILEGE_USE //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_ASSIGN_SPECIAL_PRIV //
|
|||
|
|
// SE_AUDITID_PRIVILEGED_SERVICE //
|
|||
|
|
// SE_AUDITID_PRIVILEGED_OBJECT //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ASSIGN_SPECIAL_PRIV
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_PRIVILEGE_USE
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// When a user logs on, if any one of the following privileges is added
|
|||
|
|
// to his/her token, this event is generated.
|
|||
|
|
//
|
|||
|
|
// - SeChangeNotifyPrivilege
|
|||
|
|
// - SeAuditPrivilege
|
|||
|
|
// - SeCreateTokenPrivilege
|
|||
|
|
// - SeAssignPrimaryTokenPrivilege
|
|||
|
|
// - SeBackupPrivilege
|
|||
|
|
// - SeRestorePrivilege
|
|||
|
|
// - SeDebugPrivilege
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User name
|
|||
|
|
//
|
|||
|
|
// 2 - domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Privilege names (as 1 string, with formatting)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ASSIGN_SPECIAL_PRIV
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Special privileges assigned to new logon:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
// %tPrivileges:%t%t%4
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ASSIGN_SPECIAL_PRIV ((ULONG)0x00000240L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PRIVILEGED_SERVICE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_PRIVILEGE_USE
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when a user makes an attempt to perform
|
|||
|
|
// a privileged system service operation.
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - server name
|
|||
|
|
//
|
|||
|
|
// 2 - service name
|
|||
|
|
//
|
|||
|
|
// 3 - Primary User name
|
|||
|
|
//
|
|||
|
|
// 4 - Primary domain name
|
|||
|
|
//
|
|||
|
|
// 5 - Primary Logon ID string
|
|||
|
|
//
|
|||
|
|
// 6 - Client User name (or "-" if not impersonating)
|
|||
|
|
//
|
|||
|
|
// 7 - Client domain name (or "-" if not impersonating)
|
|||
|
|
//
|
|||
|
|
// 8 - Client Logon ID string (or "-" if not impersonating)
|
|||
|
|
//
|
|||
|
|
// 9 - Privilege names (as 1 string, with formatting)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PRIVILEGED_SERVICE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Privileged Service Called:%n
|
|||
|
|
// %tServer:%t%t%1%n
|
|||
|
|
// %tService:%t%t%2%n
|
|||
|
|
// %tPrimary User Name:%t%3%n
|
|||
|
|
// %tPrimary Domain:%t%4%n
|
|||
|
|
// %tPrimary Logon ID:%t%5%n
|
|||
|
|
// %tClient User Name:%t%6%n
|
|||
|
|
// %tClient Domain:%t%7%n
|
|||
|
|
// %tClient Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PRIVILEGED_SERVICE ((ULONG)0x00000241L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PRIVILEGED_OBJECT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_PRIVILEGE_USE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - object server
|
|||
|
|
//
|
|||
|
|
// 2 - object handle (if available)
|
|||
|
|
//
|
|||
|
|
// 3 - process ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Primary User name
|
|||
|
|
//
|
|||
|
|
// 5 - Primary domain name
|
|||
|
|
//
|
|||
|
|
// 6 - Primary Logon ID string
|
|||
|
|
//
|
|||
|
|
// 7 - Client User name (or "-" if not impersonating)
|
|||
|
|
//
|
|||
|
|
// 8 - Client domain name (or "-" if not impersonating)
|
|||
|
|
//
|
|||
|
|
// 9 - Client Logon ID string (or "-" if not impersonating)
|
|||
|
|
//
|
|||
|
|
// 10 - Privilege names (as 1 string, with formatting)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PRIVILEGED_OBJECT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Privileged object operation:%n
|
|||
|
|
// %tObject Server:%t%1%n
|
|||
|
|
// %tObject Handle:%t%2%n
|
|||
|
|
// %tProcess ID:%t%3%n
|
|||
|
|
// %tPrimary User Name:%t%4%n
|
|||
|
|
// %tPrimary Domain:%t%5%n
|
|||
|
|
// %tPrimary Logon ID:%t%6%n
|
|||
|
|
// %tClient User Name:%t%7%n
|
|||
|
|
// %tClient Domain:%t%8%n
|
|||
|
|
// %tClient Logon ID:%t%9%n
|
|||
|
|
// %tPrivileges:%t%10
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PRIVILEGED_OBJECT ((ULONG)0x00000242L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_DETAILED_TRACKING //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_PROCESS_CREATED //
|
|||
|
|
// SE_AUDITID_PROCESS_EXIT //
|
|||
|
|
// SE_AUDITID_DUPLICATE_HANDLE //
|
|||
|
|
// SE_AUDITID_INDIRECT_REFERENCE //
|
|||
|
|
// SE_AUDITID_DPAPI_BACKUP //
|
|||
|
|
// SE_AUDITID_DPAPI_RECOVERY //
|
|||
|
|
// SE_AUDITID_DPAPI_PROTECT //
|
|||
|
|
// SE_AUDITID_DPAPI_UNPROTECT //
|
|||
|
|
// SE_AUDITID_ASSIGN_TOKEN //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PROCESS_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - process ID string
|
|||
|
|
//
|
|||
|
|
// 2 - Image file name (if available - otherwise "-")
|
|||
|
|
//
|
|||
|
|
// 3 - Creating process's ID
|
|||
|
|
//
|
|||
|
|
// 4 - User name (of new process)
|
|||
|
|
//
|
|||
|
|
// 5 - domain name (of new process)
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string (of new process)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PROCESS_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A new process has been created:%n
|
|||
|
|
// %tNew Process ID:%t%1%n
|
|||
|
|
// %tImage File Name:%t%2%n
|
|||
|
|
// %tCreator Process ID:%t%3%n
|
|||
|
|
// %tUser Name:%t%4%n
|
|||
|
|
// %tDomain:%t%t%5%n
|
|||
|
|
// %tLogon ID:%t%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PROCESS_CREATED ((ULONG)0x00000250L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PROCESS_EXIT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - process ID string
|
|||
|
|
//
|
|||
|
|
// 2 - image name
|
|||
|
|
//
|
|||
|
|
// 3 - User name
|
|||
|
|
//
|
|||
|
|
// 4 - domain name
|
|||
|
|
//
|
|||
|
|
// 5 - Logon ID string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PROCESS_EXIT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A process has exited:%n
|
|||
|
|
// %tProcess ID:%t%1%n
|
|||
|
|
// %tImage File Name:%t%2%n
|
|||
|
|
// %tUser Name:%t%3%n
|
|||
|
|
// %tDomain:%t%t%4%n
|
|||
|
|
// %tLogon ID:%t%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PROCESS_EXIT ((ULONG)0x00000251L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DUPLICATE_HANDLE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Origin (source) handle ID string
|
|||
|
|
//
|
|||
|
|
// 2 - Origin (source) process ID string
|
|||
|
|
//
|
|||
|
|
// 3 - New (Target) handle ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Target process ID string
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DUPLICATE_HANDLE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A handle to an object has been duplicated:%n
|
|||
|
|
// %tSource Handle ID:%t%1%n
|
|||
|
|
// %tSource Process ID:%t%2%n
|
|||
|
|
// %tTarget Handle ID:%t%3%n
|
|||
|
|
// %tTarget Process ID:%t%4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DUPLICATE_HANDLE ((ULONG)0x00000252L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_INDIRECT_REFERENCE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Object type
|
|||
|
|
//
|
|||
|
|
// 2 - object name (if available - otherwise "-")
|
|||
|
|
//
|
|||
|
|
// 3 - ID string of handle used to gain access
|
|||
|
|
//
|
|||
|
|
// 3 - server name
|
|||
|
|
//
|
|||
|
|
// 4 - process ID string
|
|||
|
|
//
|
|||
|
|
// 5 - primary User name
|
|||
|
|
//
|
|||
|
|
// 6 - primary domain name
|
|||
|
|
//
|
|||
|
|
// 7 - primary logon ID
|
|||
|
|
//
|
|||
|
|
// 8 - client User name
|
|||
|
|
//
|
|||
|
|
// 9 - client domain name
|
|||
|
|
//
|
|||
|
|
// 10 - client logon ID
|
|||
|
|
//
|
|||
|
|
// 11 - granted access names (with formatting)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_INDIRECT_REFERENCE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Indirect access to an object has been obtained:%n
|
|||
|
|
// %tObject Type:%t%1%n
|
|||
|
|
// %tObject Name:%t%2%n
|
|||
|
|
// %tProcess ID:%t%3%n
|
|||
|
|
// %tPrimary User Name:%t%4%n
|
|||
|
|
// %tPrimary Domain:%t%5%n
|
|||
|
|
// %tPrimary Logon ID:%t%6%n
|
|||
|
|
// %tClient User Name:%t%7%n
|
|||
|
|
// %tClient Domain:%t%8%n
|
|||
|
|
// %tClient Logon ID:%t%9%n
|
|||
|
|
// %tAccesses:%t%10%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_INDIRECT_REFERENCE ((ULONG)0x00000253L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DPAPI_BACKUP
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Master key GUID
|
|||
|
|
//
|
|||
|
|
// 2 - Recovery Server
|
|||
|
|
//
|
|||
|
|
// 3 - GUID identifier of the recovery key
|
|||
|
|
//
|
|||
|
|
// 4 - Failure reason
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DPAPI_BACKUP
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Backup of data protection master key.
|
|||
|
|
// %n
|
|||
|
|
// %tKey Identifier:%t%t%1%n
|
|||
|
|
// %tRecovery Server:%t%t%2%n
|
|||
|
|
// %tRecovery Key ID:%t%t%3%n
|
|||
|
|
// %tFailure Reason:%t%t%4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DPAPI_BACKUP ((ULONG)0x00000254L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DPAPI_RECOVERY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Master key GUID
|
|||
|
|
//
|
|||
|
|
// 2 - Recovery Server
|
|||
|
|
//
|
|||
|
|
// 3 - Reason for the backup
|
|||
|
|
//
|
|||
|
|
// 4 - GUID identifier of the recovery key
|
|||
|
|
//
|
|||
|
|
// 5 - Failure reason
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DPAPI_RECOVERY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Recovery of data protection master key.
|
|||
|
|
// %n
|
|||
|
|
// %tKey Identifier:%t%t%1%n
|
|||
|
|
// %tRecovery Reason:%t%t%3%n
|
|||
|
|
// %tRecovery Server:%t%t%2%n
|
|||
|
|
// %tRecovery Key ID:%t%t%4%n
|
|||
|
|
// %tFailure Reason:%t%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DPAPI_RECOVERY ((ULONG)0x00000255L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DPAPI_PROTECT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// 1 - Master key GUID
|
|||
|
|
//
|
|||
|
|
// 2 - Data Description
|
|||
|
|
//
|
|||
|
|
// 3 - Protected data flags
|
|||
|
|
//
|
|||
|
|
// 4 - Algorithms
|
|||
|
|
//
|
|||
|
|
// 5 - failure reason
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DPAPI_PROTECT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Protection of auditable protected data.
|
|||
|
|
// %n
|
|||
|
|
// %tData Description:%t%t%2%n
|
|||
|
|
// %tKey Identifier:%t%t%1%n
|
|||
|
|
// %tProtected Data Flags:%t%3%n
|
|||
|
|
// %tProtection Algorithms:%t%4%n
|
|||
|
|
// %tFailure Reason:%t%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DPAPI_PROTECT ((ULONG)0x00000256L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DPAPI_UNPROTECT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// 1 - Master key GUID
|
|||
|
|
//
|
|||
|
|
// 2 - Data Description
|
|||
|
|
//
|
|||
|
|
// 3 - Protected data flags
|
|||
|
|
//
|
|||
|
|
// 4 - Algorithms
|
|||
|
|
//
|
|||
|
|
// 5 - failure reason
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DPAPI_UNPROTECT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Unprotection of auditable protected data.
|
|||
|
|
// %n
|
|||
|
|
// %tData Description:%t%t%2%n
|
|||
|
|
// %tKey Identifier:%t%t%1%n
|
|||
|
|
// %tProtected Data Flags:%t%3%n
|
|||
|
|
// %tProtection Algorithms:%t%4%n
|
|||
|
|
// %tFailure Reason:%t%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DPAPI_UNPROTECT ((ULONG)0x00000257L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ASSIGN_TOKEN
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_DETAILED_TRACKING
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1. Current Process ID (the process doing the assignment
|
|||
|
|
// 2. Current Image File Name
|
|||
|
|
// 3. Current User Name
|
|||
|
|
// 4. Current Domain
|
|||
|
|
// 5. Current Logon ID
|
|||
|
|
//
|
|||
|
|
// 6. Process ID (of new process)
|
|||
|
|
// 7. Image Name (of new process)
|
|||
|
|
// 8. User name (of new process)
|
|||
|
|
// 9. domain name (of new process)
|
|||
|
|
// 10. Logon ID string (of new process)
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ASSIGN_TOKEN
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A process was assigned a primary token.
|
|||
|
|
// %n
|
|||
|
|
// Assigning Process Information:%n
|
|||
|
|
// %tProcess ID:%t%1%n
|
|||
|
|
// %tImage File Name:%t%2%n
|
|||
|
|
// %tUser Name:%t%3%n
|
|||
|
|
// %tDomain:%t%t%4%n
|
|||
|
|
// %tLogon ID:%t%t%5%n
|
|||
|
|
// New Process Information:%n
|
|||
|
|
// %tProcess ID:%t%6%n
|
|||
|
|
// %tImage File Name:%t%7%n
|
|||
|
|
// %tUser Name:%t%8%n
|
|||
|
|
// %tDomain:%t%t%9%n
|
|||
|
|
// %tLogon ID:%t%t%10%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ASSIGN_TOKEN ((ULONG)0x00000258L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_POLICY_CHANGE //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_USER_RIGHT_ASSIGNED //
|
|||
|
|
// SE_AUDITID_USER_RIGHT_REMOVED //
|
|||
|
|
// SE_AUDITID_TRUSTED_DOMAIN_ADD //
|
|||
|
|
// SE_AUDITID_TRUSTED_DOMAIN_REM //
|
|||
|
|
// SE_AUDITID_TRUSTED_DOMAIN_MOD //
|
|||
|
|
// SE_AUDITID_POLICY_CHANGE //
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_START //
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_DISABLED //
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_CHANGED //
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_FAILURE //
|
|||
|
|
// SE_AUDITID_SYSTEM_ACCESS_CHANGE //
|
|||
|
|
// SE_AUDITID_NAMESPACE_COLLISION //
|
|||
|
|
// SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_ADD //
|
|||
|
|
// SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_REM //
|
|||
|
|
// SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_MOD //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_RIGHT_ASSIGNED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User right name
|
|||
|
|
//
|
|||
|
|
// 2 - SID string of account assigned the user right
|
|||
|
|
//
|
|||
|
|
// 3 - User name of subject assigning the right
|
|||
|
|
//
|
|||
|
|
// 4 - Domain name of subject assigning the right
|
|||
|
|
//
|
|||
|
|
// 5 - Logon ID string of subject assigning the right
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_RIGHT_ASSIGNED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Right Assigned:%n
|
|||
|
|
// %tUser Right:%t%1%n
|
|||
|
|
// %tAssigned To:%t%2%n
|
|||
|
|
// %tAssigned By:%n
|
|||
|
|
// %t User Name:%t%3%n
|
|||
|
|
// %t Domain:%t%t%4%n
|
|||
|
|
// %t Logon ID:%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_RIGHT_ASSIGNED ((ULONG)0x00000260L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_RIGHT_REMOVED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User right name
|
|||
|
|
//
|
|||
|
|
// 2 - SID string of account from which the user
|
|||
|
|
// right was removed
|
|||
|
|
//
|
|||
|
|
// 3 - User name of subject removing the right
|
|||
|
|
//
|
|||
|
|
// 4 - Domain name of subject removing the right
|
|||
|
|
//
|
|||
|
|
// 5 - Logon ID string of subject removing the right
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_RIGHT_REMOVED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Right Removed:%n
|
|||
|
|
// %tUser Right:%t%1%n
|
|||
|
|
// %tRemoved From:%t%2%n
|
|||
|
|
// %tRemoved By:%n
|
|||
|
|
// %t User Name:%t%3%n
|
|||
|
|
// %t Domain:%t%t%4%n
|
|||
|
|
// %t Logon ID:%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_RIGHT_REMOVED ((ULONG)0x00000261L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TRUSTED_DOMAIN_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success/failure
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when somebody creates a trust relationship
|
|||
|
|
// with another domain.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// It is recorded on the domain controller on which
|
|||
|
|
// the trusted domain object (TDO) is created and not on any other
|
|||
|
|
// domain controller to which the TDO creation replicates.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TRUSTED_DOMAIN_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// New Trusted Domain:%n
|
|||
|
|
// %tDomain Name:%t%1%n
|
|||
|
|
// %tDomain ID:%t%2%n
|
|||
|
|
// %tEstablished By:%n
|
|||
|
|
// %t User Name:%t%3%n
|
|||
|
|
// %t Domain:%t%t%4%n
|
|||
|
|
// %t Logon ID:%t%5%n
|
|||
|
|
// %tTrust Type:%t%6%n
|
|||
|
|
// %tTrust Direction:%t%7%n
|
|||
|
|
// %tTrust Attributes:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TRUSTED_DOMAIN_ADD ((ULONG)0x00000262L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TRUSTED_DOMAIN_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success/failure
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when somebody removes a trust relationship
|
|||
|
|
// with another domain.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// It is recorded on the domain controller on which
|
|||
|
|
// the trusted domain object (TDO) is deleted and not on any other
|
|||
|
|
// domain controller to which the TDO deletion replicates.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TRUSTED_DOMAIN_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Trusted Domain Removed:%n
|
|||
|
|
// %tDomain Name:%t%1%n
|
|||
|
|
// %tDomain ID:%t%2%n
|
|||
|
|
// %tRemoved By:%n
|
|||
|
|
// %t User Name:%t%3%n
|
|||
|
|
// %t Domain:%t%t%4%n
|
|||
|
|
// %t Logon ID:%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TRUSTED_DOMAIN_REM ((ULONG)0x00000263L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - System success audit status ("+" or "-")
|
|||
|
|
// 2 - System failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 3 - Logon/Logoff success audit status ("+" or "-")
|
|||
|
|
// 4 - Logon/Logoff failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 5 - Object Access success audit status ("+" or "-")
|
|||
|
|
// 6 - Object Access failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 7 - Detailed Tracking success audit status ("+" or "-")
|
|||
|
|
// 8 - Detailed Tracking failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 9 - Privilege Use success audit status ("+" or "-")
|
|||
|
|
// 10 - Privilege Use failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 11 - Policy Change success audit status ("+" or "-")
|
|||
|
|
// 12 - Policy Change failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 13 - Account Management success audit status ("+" or "-")
|
|||
|
|
// 14 - Account Management failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 15 - Directory Service access success audit status ("+" or "-")
|
|||
|
|
// 16 - Directory Service access failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 17 - Account Logon success audit status ("+" or "-")
|
|||
|
|
// 18 - Account Logon failure audit status ("+" or "-")
|
|||
|
|
//
|
|||
|
|
// 19 - Account Name of user that changed the policy
|
|||
|
|
//
|
|||
|
|
// 20 - Domain of user that changed the policy
|
|||
|
|
//
|
|||
|
|
// 21 - Logon ID of user that changed the policy
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Audit Policy Change:%n
|
|||
|
|
// New Policy:%n
|
|||
|
|
// %tSuccess%tFailure%n
|
|||
|
|
// %t %3%t %4%tLogon/Logoff%n
|
|||
|
|
// %t %5%t %6%tObject Access%n
|
|||
|
|
// %t %7%t %8%tPrivilege Use%n
|
|||
|
|
// %t %13%t %14%tAccount Management%n
|
|||
|
|
// %t %11%t %12%tPolicy Change%n
|
|||
|
|
// %t %1%t %2%tSystem%n
|
|||
|
|
// %t %9%t %10%tDetailed Tracking%n
|
|||
|
|
// %t %15%t %16%tDirectory Service Access%n
|
|||
|
|
// %t %17%t %18%tAccount Logon%n%n
|
|||
|
|
// Changed By:%n
|
|||
|
|
// %t User Name:%t%19%n
|
|||
|
|
// %t Domain Name:%t%20%n
|
|||
|
|
// %t Logon ID:%t%21
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_POLICY_CHANGE ((ULONG)0x00000264L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_START
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Ipsec Policy Agent
|
|||
|
|
//
|
|||
|
|
// 2 - Policy Source
|
|||
|
|
//
|
|||
|
|
// 3 - Event Data
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_POLICY_START
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IPSec Services started: %t%1%n
|
|||
|
|
// Policy Source: %t%2%n
|
|||
|
|
// %3%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_POLICY_START ((ULONG)0x00000265L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_DISABLED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Ipsec Policy Agent
|
|||
|
|
//
|
|||
|
|
// 2 - Event Data
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_POLICY_DISABLED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IPSec Services disabled: %t%1%n
|
|||
|
|
// %2%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_POLICY_DISABLED ((ULONG)0x00000266L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_CHANGED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Event Data
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_POLICY_CHANGED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IPSec Services: %t%1%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_POLICY_CHANGED ((ULONG)0x00000267L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_IPSEC_POLICY_FAILURE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Event Data
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_IPSEC_POLICY_FAILURE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// IPSec Services encountered a potentially serious failure.%n
|
|||
|
|
// %1%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_IPSEC_POLICY_FAILURE ((ULONG)0x00000268L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_KERBEROS_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - user account name
|
|||
|
|
//
|
|||
|
|
// 2 - domain name of user
|
|||
|
|
//
|
|||
|
|
// 3 - logon ID of user
|
|||
|
|
//
|
|||
|
|
// 4 - description of the change made
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_KERBEROS_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Kerberos Policy Changed:%n
|
|||
|
|
// Changed By:%n
|
|||
|
|
// %t User Name:%t%1%n
|
|||
|
|
// %t Domain Name:%t%2%n
|
|||
|
|
// %t Logon ID:%t%3%n
|
|||
|
|
// Changes made:%n
|
|||
|
|
// ('--' means no changes, otherwise each change is shown as:%n
|
|||
|
|
// <ParameterName>: <new value> (<old value>))%n
|
|||
|
|
// %4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_KERBEROS_POLICY_CHANGE ((ULONG)0x00000269L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_EFS_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - user account name
|
|||
|
|
//
|
|||
|
|
// 2 - domain name of user
|
|||
|
|
//
|
|||
|
|
// 3 - logon ID of user
|
|||
|
|
//
|
|||
|
|
// 4 - description of the change made
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_EFS_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Encrypted Data Recovery Policy Changed:%n
|
|||
|
|
// Changed By:%n
|
|||
|
|
// %t User Name:%t%1%n
|
|||
|
|
// %t Domain Name:%t%2%n
|
|||
|
|
// %t Logon ID:%t%3%n
|
|||
|
|
// Changes made:%n
|
|||
|
|
// ('--' means no changes, otherwise each change is shown as:%n
|
|||
|
|
// <ParameterName>: <new value> (<old value>))%n
|
|||
|
|
// %4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_EFS_POLICY_CHANGE ((ULONG)0x0000026AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TRUSTED_DOMAIN_MOD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success/failure
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when somebody modifies a trust relationship
|
|||
|
|
// with another domain.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// It is recorded on the domain controller on which
|
|||
|
|
// the trusted domain object (TDO) is modified and not on any other
|
|||
|
|
// domain controller to which the TDO modification replicates.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TRUSTED_DOMAIN_MOD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Trusted Domain Information Modified:%n
|
|||
|
|
// %tDomain Name:%t%1%n
|
|||
|
|
// %tDomain ID:%t%2%n
|
|||
|
|
// %tModified By:%n
|
|||
|
|
// %t User Name:%t%3%n
|
|||
|
|
// %t Domain:%t%t%4%n
|
|||
|
|
// %t Logon ID:%t%5%n
|
|||
|
|
// %tTrust Type:%t%6%n
|
|||
|
|
// %tTrust Direction:%t%7%n
|
|||
|
|
// %tTrust Attributes:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TRUSTED_DOMAIN_MOD ((ULONG)0x0000026CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_ACCESS_GRANTED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User right name
|
|||
|
|
//
|
|||
|
|
// 2 - SID string of account for which the user
|
|||
|
|
// right was affected
|
|||
|
|
//
|
|||
|
|
// 3 - User name of subject changing the right
|
|||
|
|
//
|
|||
|
|
// 4 - Domain name of subject changing the right
|
|||
|
|
//
|
|||
|
|
// 5 - Logon ID string of subject changing the right
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SYSTEM_ACCESS_GRANTED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// System Security Access Granted:%n
|
|||
|
|
// %tAccess Granted:%t%4%n
|
|||
|
|
// %tAccount Modified:%t%5%n
|
|||
|
|
// %tAssigned By:%n
|
|||
|
|
// %t User Name:%t%1%n
|
|||
|
|
// %t Domain:%t%t%2%n
|
|||
|
|
// %t Logon ID:%t%3%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SYSTEM_ACCESS_GRANTED ((ULONG)0x0000026DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SYSTEM_ACCESS_REMOVED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User right name
|
|||
|
|
//
|
|||
|
|
// 2 - SID string of account for which the user
|
|||
|
|
// right was affected
|
|||
|
|
//
|
|||
|
|
// 3 - User name of subject changing the right
|
|||
|
|
//
|
|||
|
|
// 4 - Domain name of subject changing the right
|
|||
|
|
//
|
|||
|
|
// 5 - Logon ID string of subject changing the right
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SYSTEM_ACCESS_REMOVED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// System Security Access Removed:%n
|
|||
|
|
// %tAccess Removed:%t%4%n
|
|||
|
|
// %tAccount Modified:%t%5%n
|
|||
|
|
// %tRemoved By:%n
|
|||
|
|
// %t User Name:%t%1%n
|
|||
|
|
// %t Domain:%t%t%2%n
|
|||
|
|
// %t Logon ID:%t%3%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SYSTEM_ACCESS_REMOVED ((ULONG)0x0000026EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_NAMESPACE_COLLISION
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// When a namespace element in one forest overlaps a namespace element in
|
|||
|
|
// some other forest, it can lead to ambiguity in resolving a name
|
|||
|
|
// belonging to one of the namespace elements. This overlap is also called
|
|||
|
|
// a collision.This event is generated when such a collision is detected.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// Not all fields are valid for each entry type.
|
|||
|
|
// For example, fields like DNS name, NetBIOS name and SID are not valid
|
|||
|
|
// for an entry of type 'TopLevelName'.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_NAMESPACE_COLLISION
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Namespace collision detected:%n
|
|||
|
|
// %tTarget type:%t%1%n
|
|||
|
|
// %tTarget name:%t%2%n
|
|||
|
|
// %tForest Root:%t%3%n
|
|||
|
|
// %tTop Level Name:%t%4%n
|
|||
|
|
// %tDNS Name:%t%5%n
|
|||
|
|
// %tNetBIOS Name:%t%6%n
|
|||
|
|
// %tSID:%t%t%7%n
|
|||
|
|
// %tNew Flags:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_NAMESPACE_COLLISION ((ULONG)0x00000300L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when the forest trust information is updated and
|
|||
|
|
// one or more entries get added. One such audit event is generated
|
|||
|
|
// per added entry. If multiple entries get added, deleted or modified
|
|||
|
|
// in a single update of the forest trust information, all the generated
|
|||
|
|
// audit events will have a single unique identifier called OperationID.
|
|||
|
|
// This allows one to determine that the multiple generated audits are
|
|||
|
|
// the result of a single operation.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// Not all fields are valid for each entry type.
|
|||
|
|
// For example, fields like DNS name, NetBIOS name and SID are not valid
|
|||
|
|
// for an entry of type 'TopLevelName'.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Trusted Forest Information Entry Added:%n
|
|||
|
|
// %tForest Root:%t%1%n
|
|||
|
|
// %tForest Root SID:%t%2%n
|
|||
|
|
// %tOperation ID:%t{%3,%4}%n
|
|||
|
|
// %tEntry Type:%t%5%n
|
|||
|
|
// %tFlags:%t%t%6%n
|
|||
|
|
// %tTop Level Name:%t%7%n
|
|||
|
|
// %tDNS Name:%t%8%n
|
|||
|
|
// %tNetBIOS Name:%t%9%n
|
|||
|
|
// %tDomain SID:%t%10%n
|
|||
|
|
// %tAdded by%t:%n
|
|||
|
|
// %tClient User Name:%t%11%n
|
|||
|
|
// %tClient Domain:%t%12%n
|
|||
|
|
// %tClient Logon ID:%t%13%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_ADD ((ULONG)0x00000301L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when the forest trust information is updated and
|
|||
|
|
// one or more entries get deleted. One such audit event is generated
|
|||
|
|
// per deleted entry. If multiple entries get added, deleted or modified
|
|||
|
|
// in a single update of the forest trust information, all the generated
|
|||
|
|
// audit events will have a single unique identifier called OperationID.
|
|||
|
|
// This allows one to determine that the multiple generated audits are
|
|||
|
|
// the result of a single operation.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// Not all fields are valid for each entry type.
|
|||
|
|
// For example, fields like DNS name, NetBIOS name and SID are not valid
|
|||
|
|
// for an entry of type 'TopLevelName'.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Trusted Forest Information Entry Removed:%n
|
|||
|
|
// %tForest Root:%t%1%n
|
|||
|
|
// %tForest Root SID:%t%2%n
|
|||
|
|
// %tOperation ID:%t{%3,%4}%n
|
|||
|
|
// %tEntry Type:%t%5%n
|
|||
|
|
// %tFlags:%t%t%6%n
|
|||
|
|
// %tTop Level Name:%t%7%n
|
|||
|
|
// %tDNS Name:%t%8%n
|
|||
|
|
// %tNetBIOS Name:%t%9%n
|
|||
|
|
// %tDomain SID:%t%10%n
|
|||
|
|
// %tRemoved by%t:%n
|
|||
|
|
// %tClient User Name:%t%11%n
|
|||
|
|
// %tClient Domain:%t%12%n
|
|||
|
|
// %tClient Logon ID:%t%13%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_REM ((ULONG)0x00000302L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_MOD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Event type: success
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when the forest trust information is updated and
|
|||
|
|
// one or more entries get modified. One such audit event is generated
|
|||
|
|
// per modified entry. If multiple entries get added, deleted or modified
|
|||
|
|
// in a single update of the forest trust information, all the generated
|
|||
|
|
// audit events will have a single unique identifier called OperationID.
|
|||
|
|
// This allows one to determine that the multiple generated audits are
|
|||
|
|
// the result of a single operation.
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// Not all fields are valid for each entry type.
|
|||
|
|
// For example, fields like DNS name, NetBIOS name and SID are not valid
|
|||
|
|
// for an entry of type 'TopLevelName'.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_MOD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Trusted Forest Information Entry Modified:%n
|
|||
|
|
// %tForest Root:%t%1%n
|
|||
|
|
// %tForest Root SID:%t%2%n
|
|||
|
|
// %tOperation ID:%t{%3,%4}%n
|
|||
|
|
// %tEntry Type:%t%5%n
|
|||
|
|
// %tFlags:%t%t%6%n
|
|||
|
|
// %tTop Level Name:%t%7%n
|
|||
|
|
// %tDNS Name:%t%8%n
|
|||
|
|
// %tNetBIOS Name:%t%9%n
|
|||
|
|
// %tDomain SID:%t%10%n
|
|||
|
|
// %tModified by%t:%n
|
|||
|
|
// %tClient User Name:%t%11%n
|
|||
|
|
// %tClient Domain:%t%12%n
|
|||
|
|
// %tClient Logon ID:%t%13%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TRUSTED_FOREST_INFO_ENTRY_MOD ((ULONG)0x00000303L)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_ACCOUNT_MANAGEMENT //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_USER_CREATED //
|
|||
|
|
// SE_AUDITID_USER_CHANGE //
|
|||
|
|
// SE_AUDITID_ACCOUNT_TYPE_CHANGE //
|
|||
|
|
// SE_AUDITID_USER_ENABLED //
|
|||
|
|
// SE_AUDITID_USER_PWD_CHANGED //
|
|||
|
|
// SE_AUDITID_USER_PWD_SET //
|
|||
|
|
// SE_AUDITID_USER_DISABLED //
|
|||
|
|
// SE_AUDITID_USER_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_COMPUTER_CREATED //
|
|||
|
|
// SE_AUDITID_COMPUTER_CHANGE //
|
|||
|
|
// SE_AUDITID_COMPUTER_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_CREATED //
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_ADD //
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_REM //
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_DELETED //
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_CREATED //
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_ADD //
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_REM //
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CREATED //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CHANGE //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_ADD //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_REM //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CREATED //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CHANGE //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_ADD //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_REM //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CREATED //
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CHANGE //
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_ADD //
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_REM //
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CREATED //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CHANGE //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_ADD //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_REM //
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_DELETED //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_GROUP_TYPE_CHANGE //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_ADD_SID_HISTORY //
|
|||
|
|
// //
|
|||
|
|
// SE_AUDITID_OTHER_ACCT_CHANGE //
|
|||
|
|
// SE_AUDITID_DOMAIN_POLICY_CHANGE //
|
|||
|
|
// SE_AUDITID_ACCOUNT_AUTO_LOCKED //
|
|||
|
|
// SE_AUDITID_ACCOUNT_UNLOCKED //
|
|||
|
|
// SE_AUDITID_SECURE_ADMIN_GROUP //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the user account
|
|||
|
|
//
|
|||
|
|
// 7 - Privileges used to create the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges%t%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_CREATED ((ULONG)0x00000270L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_TYPE_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// MessageId 0x271 unused
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_ENABLED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_ENABLED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Enabled:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_ENABLED ((ULONG)0x00000272L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_PWD_CHANGED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_PWD_CHANGED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Change Password Attempt:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_PWD_CHANGED ((ULONG)0x00000273L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_PWD_SET
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_PWD_SET
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account password set:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_PWD_SET ((ULONG)0x00000274L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_DISABLED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_DISABLED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Disabled:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_DISABLED ((ULONG)0x00000275L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_DELETED ((ULONG)0x00000276L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new group account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new group account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new group account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_GLOBAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Global Group Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_GLOBAL_GROUP_CREATED ((ULONG)0x00000277L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being added
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_GLOBAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Global Group Member Added:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_GLOBAL_GROUP_ADD ((ULONG)0x00000278L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being removed
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_GLOBAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Global Group Member Removed:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_GLOBAL_GROUP_REM ((ULONG)0x00000279L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_GLOBAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Global Group Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_GLOBAL_GROUP_DELETED ((ULONG)0x0000027AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new group account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new group account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new group account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOCAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Local Group Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOCAL_GROUP_CREATED ((ULONG)0x0000027BL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being added
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOCAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Local Group Member Added:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOCAL_GROUP_ADD ((ULONG)0x0000027CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being removed
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOCAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Local Group Member Removed:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOCAL_GROUP_REM ((ULONG)0x0000027DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOCAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Local Group Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOCAL_GROUP_DELETED ((ULONG)0x0000027EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_LOCAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_LOCAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Local Group Changed:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_LOCAL_GROUP_CHANGE ((ULONG)0x0000027FL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_OTHER_ACCOUNT_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Type of change (sigh, this isn't localizable)
|
|||
|
|
//
|
|||
|
|
// 2 - Type of changed object
|
|||
|
|
//
|
|||
|
|
// 3 - SID string (of changed object)
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_OTHER_ACCOUNT_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// General Account Database Change:%n
|
|||
|
|
// %tType of change:%t%1%n
|
|||
|
|
// %tObject Type:%t%2%n
|
|||
|
|
// %tObject Name:%t%3%n
|
|||
|
|
// %tObject ID:%t%4%n
|
|||
|
|
// %tCaller User Name:%t%5%n
|
|||
|
|
// %tCaller Domain:%t%6%n
|
|||
|
|
// %tCaller Logon ID:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_OTHER_ACCOUNT_CHANGE ((ULONG)0x00000280L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_GLOBAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_GLOBAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Global Group Changed:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_GLOBAL_GROUP_CHANGE ((ULONG)0x00000281L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_USER_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_USER_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Changed:%n
|
|||
|
|
// %t%1%n
|
|||
|
|
// %tTarget Account Name:%t%2%n
|
|||
|
|
// %tTarget Domain:%t%3%n
|
|||
|
|
// %tTarget Account ID:%t%4%n
|
|||
|
|
// %tCaller User Name:%t%5%n
|
|||
|
|
// %tCaller Domain:%t%6%n
|
|||
|
|
// %tCaller Logon ID:%t%7%n
|
|||
|
|
// %tPrivileges:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_USER_CHANGE ((ULONG)0x00000282L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_DOMAIN_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - (unused)
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_DOMAIN_POLICY_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Domain Policy Changed: %1 modified%n
|
|||
|
|
// %tDomain Name:%t%t%2%n
|
|||
|
|
// %tDomain ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_DOMAIN_POLICY_CHANGE ((ULONG)0x00000283L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_AUTO_LOCKED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Type: success / failure
|
|||
|
|
//
|
|||
|
|
// Description: This event is generated when an account is auto locked. This happens
|
|||
|
|
// when a user attempts to log in unsuccessfully multiple times. The exact
|
|||
|
|
// number of times is specified by the administrator.
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_AUTO_LOCKED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Locked Out:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller Machine Name:%t%2%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_AUTO_LOCKED ((ULONG)0x00000284L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_COMPUTER_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new computer account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new computer account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new computer account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the computer account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the computer account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the computer account
|
|||
|
|
//
|
|||
|
|
// 7 - Privileges used to create the computer account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_COMPUTER_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Computer Account Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges%t%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_COMPUTER_CREATED ((ULONG)0x00000285L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_COMPUTER_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target computer account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target computer account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target computer account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the computer account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the computer account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the computer account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_COMPUTER_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Computer Account Changed:%n
|
|||
|
|
// %t%1%n
|
|||
|
|
// %tTarget Account Name:%t%2%n
|
|||
|
|
// %tTarget Domain:%t%3%n
|
|||
|
|
// %tTarget Account ID:%t%4%n
|
|||
|
|
// %tCaller User Name:%t%5%n
|
|||
|
|
// %tCaller Domain:%t%6%n
|
|||
|
|
// %tCaller Logon ID:%t%7%n
|
|||
|
|
// %tPrivileges:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_COMPUTER_CHANGE ((ULONG)0x00000286L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_COMPUTER_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_COMPUTER_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Computer Account Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_COMPUTER_DELETED ((ULONG)0x00000287L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Local Group Created:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CREATED ((ULONG)0x00000288L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Local Group Changed:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_CHANGE ((ULONG)0x00000289L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being added
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Local Group Member Added:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_ADD ((ULONG)0x0000028AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being removed
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Local Group Member Removed:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_REM ((ULONG)0x0000028BL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Local Group Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_LOCAL_GROUP_DELETED ((ULONG)0x0000028CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new group account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new group account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new group account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Global Group Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CREATED ((ULONG)0x0000028DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Global Group Changed:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_CHANGE ((ULONG)0x0000028EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being added
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Global Group Member Added:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_ADD ((ULONG)0x0000028FL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being removed
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Global Group Member Removed:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_REM ((ULONG)0x00000290L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Global Group Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_GLOBAL_GROUP_DELETED ((ULONG)0x00000291L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new group account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new group account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new group account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Universal Group Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CREATED ((ULONG)0x00000292L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Universal Group Changed:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_CHANGE ((ULONG)0x00000293L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being added
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Universal Group Member Added:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_ADD ((ULONG)0x00000294L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being removed
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Universal Group Member Removed:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_REM ((ULONG)0x00000295L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Enabled Universal Group Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_ENABLED_UNIVERSAL_GROUP_DELETED ((ULONG)0x00000296L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of new group account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of new group account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of new group account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject creating the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject creating the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CREATED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Universal Group Created:%n
|
|||
|
|
// %tNew Account Name:%t%1%n
|
|||
|
|
// %tNew Domain:%t%2%n
|
|||
|
|
// %tNew Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CREATED ((ULONG)0x00000297L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Universal Group Changed:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_CHANGE ((ULONG)0x00000298L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being added
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_ADD
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Universal Group Member Added:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_ADD ((ULONG)0x00000299L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of member being removed
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_REM
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Universal Group Member Removed:%n
|
|||
|
|
// %tMember Name:%t%1%n
|
|||
|
|
// %tMember ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_REM ((ULONG)0x0000029AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_DELETED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Security Disabled Universal Group Deleted:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURITY_DISABLED_UNIVERSAL_GROUP_DELETED ((ULONG)0x0000029BL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_GROUP_TYPE_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - nature of group type change
|
|||
|
|
//
|
|||
|
|
// 2 - name of target account
|
|||
|
|
//
|
|||
|
|
// 3 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 4 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 5 - User name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 7 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_GROUP_TYPE_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Group Type Changed:%n
|
|||
|
|
// %t%1%n
|
|||
|
|
// %tTarget Account Name:%t%2%n
|
|||
|
|
// %tTarget Domain:%t%3%n
|
|||
|
|
// %tTarget Account ID:%t%4%n
|
|||
|
|
// %tCaller User Name:%t%5%n
|
|||
|
|
// %tCaller Domain:%t%6%n
|
|||
|
|
// %tCaller Logon ID:%t%7%n
|
|||
|
|
// %tPrivileges:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_GROUP_TYPE_CHANGE ((ULONG)0x0000029CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ADD_SID_HISTORY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - SID string of the source account
|
|||
|
|
//
|
|||
|
|
// 2 - Name of the source account (including domain name)
|
|||
|
|
//
|
|||
|
|
// 3 - Name of the target account
|
|||
|
|
//
|
|||
|
|
// 4 - Domain name of subject changing the SID history
|
|||
|
|
//
|
|||
|
|
// 5 - SID String of the target account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ADD_SID_HISTORY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Add SID History:%n
|
|||
|
|
// %tSource Account Name:%t%1%n
|
|||
|
|
// %tSource Account ID:%t%2%n
|
|||
|
|
// %tTarget Account Name:%t%3%n
|
|||
|
|
// %tTarget Domain:%t%4%n
|
|||
|
|
// %tTarget Account ID:%t%5%n
|
|||
|
|
// %tCaller User Name:%t%6%n
|
|||
|
|
// %tCaller Domain:%t%7%n
|
|||
|
|
// %tCaller Logon ID:%t%8%n
|
|||
|
|
// %tPrivileges:%t%9%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ADD_SID_HISTORY ((ULONG)0x0000029DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ADD_SID_HISTORY_FAILURE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// This event is obsolete. It is not generated by Whistler.
|
|||
|
|
// It is retained in this file so that anybody viewing w2k events
|
|||
|
|
// from a whistler machine can view them correctly.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ADD_SID_HISTORY_FAILURE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Add SID History:%n
|
|||
|
|
// %tSource Account Name:%t%1%n
|
|||
|
|
// %tTarget Account Name:%t%2%n
|
|||
|
|
// %tTarget Domain:%t%3%n
|
|||
|
|
// %tTarget Account ID:%t%4%n
|
|||
|
|
// %tCaller User Name:%t%5%n
|
|||
|
|
// %tCaller Domain:%t%6%n
|
|||
|
|
// %tCaller Logon ID:%t%7%n
|
|||
|
|
// %tPrivileges:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ADD_SID_HISTORY_FAILURE ((ULONG)0x0000029EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_UNLOCKED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target user account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_UNLOCKED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// User Account Unlocked:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_UNLOCKED ((ULONG)0x0000029FL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SECURE_ADMIN_GROUP
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - (unused)
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target user account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target user account
|
|||
|
|
//
|
|||
|
|
// 4 - User name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the user account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the user account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SECURE_ADMIN_GROUP
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Set ACLs of members in administrators groups:%n
|
|||
|
|
// %tTarget Account Name:%t%1%n
|
|||
|
|
// %tTarget Domain:%t%t%2%n
|
|||
|
|
// %tTarget Account ID:%t%3%n
|
|||
|
|
// %tCaller User Name:%t%4%n
|
|||
|
|
// %tCaller Domain:%t%5%n
|
|||
|
|
// %tCaller Logon ID:%t%6%n
|
|||
|
|
// %tPrivileges:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SECURE_ADMIN_GROUP ((ULONG)0x000002ACL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_NAME_CHANGE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - name of target account
|
|||
|
|
//
|
|||
|
|
// 2 - domain of target account
|
|||
|
|
//
|
|||
|
|
// 3 - SID string of target account
|
|||
|
|
//
|
|||
|
|
// 4 - Account name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 5 - Domain name of subject changing the account
|
|||
|
|
//
|
|||
|
|
// 6 - Logon ID string of subject changing the account
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_NAME_CHANGE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Account Name Changed:%n
|
|||
|
|
// %tOld Account Name:%t%1%n
|
|||
|
|
// %tNew Account Name:%t%2%n
|
|||
|
|
// %tTarget Domain:%t%t%3%n
|
|||
|
|
// %tTarget Account ID:%t%4%n
|
|||
|
|
// %tCaller User Name:%t%5%n
|
|||
|
|
// %tCaller Domain:%t%6%n
|
|||
|
|
// %tCaller Logon ID:%t%7%n
|
|||
|
|
// %tPrivileges:%t%8%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_NAME_CHANGE ((ULONG)0x000002ADL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PASSWORD_HASH_ACCESS
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_MANAGEMENT
|
|||
|
|
//
|
|||
|
|
// Event Type : success/failure
|
|||
|
|
//
|
|||
|
|
// Description:
|
|||
|
|
// This event is generated when user password hashes are retrieved
|
|||
|
|
// by the ADMT password filter DLL. This typically happens during
|
|||
|
|
// ADMT password migration.
|
|||
|
|
//
|
|||
|
|
// Notes:
|
|||
|
|
// To migrate passwords, a DLL (name?) gets loaded in lsass.exe as
|
|||
|
|
// a password filter. This filter registers an RPC interface used by ADMT
|
|||
|
|
// to request password migration. One SE_AUDITID_PASSWORD_HASH_ACCESS event
|
|||
|
|
// is generated per password fetched.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PASSWORD_HASH_ACCESS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Password of the following user accessed:%n
|
|||
|
|
// %tTarget User Name:%t%1%n
|
|||
|
|
// %tTarget User Domain:%t%t%2%n
|
|||
|
|
// By user:%n
|
|||
|
|
// %tCaller User Name:%t%3%n
|
|||
|
|
// %tCaller Domain:%t%t%4%n
|
|||
|
|
// %tCaller Logon ID:%t%t%5%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PASSWORD_HASH_ACCESS ((ULONG)0x000002AEL)
|
|||
|
|
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_ACCOUNT_LOGON //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_AS_TICKET //
|
|||
|
|
// SE_AUDITID_TGS_TICKET_REQUEST //
|
|||
|
|
// SE_AUDITID_TICKET_RENEW_SUCCESS //
|
|||
|
|
// SE_AUDITID_PREAUTH_FAILURE //
|
|||
|
|
// SE_AUDITID_TGS_TICKET_FAILURE //
|
|||
|
|
// SE_AUDITID_ACCOUNT_MAPPED //
|
|||
|
|
// SE_AUDITID_ACCOUNT_LOGON //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_AS_TICKET
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User name of client
|
|||
|
|
//
|
|||
|
|
// 2 - Supplied realm name
|
|||
|
|
//
|
|||
|
|
// 3 - SID of client user
|
|||
|
|
//
|
|||
|
|
// 4 - User name of service
|
|||
|
|
//
|
|||
|
|
// 5 - SID of service
|
|||
|
|
//
|
|||
|
|
// 6 - Ticket Options
|
|||
|
|
//
|
|||
|
|
// 7 - Failure code
|
|||
|
|
//
|
|||
|
|
// 8 - Ticket Encryption Type
|
|||
|
|
//
|
|||
|
|
// 9 - Preauthentication type (i.e. PK_INIT)
|
|||
|
|
//
|
|||
|
|
// 10 - Client IP address
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_AS_TICKET
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Authentication Ticket Request:%n
|
|||
|
|
// %tUser Name:%t%t%1%n
|
|||
|
|
// %tSupplied Realm Name:%t%2%n
|
|||
|
|
// %tUser ID:%t%3%n
|
|||
|
|
// %tService Name:%t%t%4%n
|
|||
|
|
// %tService ID:%t%t%5%n
|
|||
|
|
// %tTicket Options:%t%t%6%n
|
|||
|
|
// %tResult Code:%t%t%7%n
|
|||
|
|
// %tTicket Encryption Type:%t%8%n
|
|||
|
|
// %tPre-Authentication Type:%t%9%n
|
|||
|
|
// %tClient Address:%t%t%10%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_AS_TICKET ((ULONG)0x000002A0L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_AS_TICKET_FAILURE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// This event is obsolete. It is not generated by Whistler.
|
|||
|
|
// It is retained in this file so that anybody viewing w2k events
|
|||
|
|
// from a whistler machine can view them correctly.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_AS_TICKET_FAILURE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Authentication Ticket Request Failed:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tSupplied Realm Name:%t%2%n
|
|||
|
|
// %tService Name:%t%3%n
|
|||
|
|
// %tTicket Options:%t%4%n
|
|||
|
|
// %tFailure Code:%t%5%n
|
|||
|
|
// %tClient Address:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_AS_TICKET_FAILURE ((ULONG)0x000002A4L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TGS_TICKET_REQUEST
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User name of client
|
|||
|
|
//
|
|||
|
|
// 2 - Domain name of client
|
|||
|
|
//
|
|||
|
|
// 3 - User name of service
|
|||
|
|
//
|
|||
|
|
// 4 - SID of service
|
|||
|
|
//
|
|||
|
|
// 5 - Ticket Options
|
|||
|
|
//
|
|||
|
|
// 6 - Ticket Encryption Type
|
|||
|
|
//
|
|||
|
|
// 7 - Client IP address
|
|||
|
|
//
|
|||
|
|
// 8 - Failure code (0 for success)
|
|||
|
|
//
|
|||
|
|
// 9 - logon GUID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TGS_TICKET_REQUEST
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Service Ticket Request:%n
|
|||
|
|
// %tUser Name:%t%t%1%n
|
|||
|
|
// %tUser Domain:%t%t%2%n
|
|||
|
|
// %tService Name:%t%t%3%n
|
|||
|
|
// %tService ID:%t%t%4%n
|
|||
|
|
// %tTicket Options:%t%t%5%n
|
|||
|
|
// %tTicket Encryption Type:%t%6%n
|
|||
|
|
// %tClient Address:%t%t%7%n
|
|||
|
|
// %tFailure Code:%t%t%8%n
|
|||
|
|
// %tLogon GUID:%t%9
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TGS_TICKET_REQUEST ((ULONG)0x000002A1L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TICKET_RENEW_SUCCESS
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User name of client
|
|||
|
|
//
|
|||
|
|
// 2 - Domain name of client
|
|||
|
|
//
|
|||
|
|
// 3 - User name of service
|
|||
|
|
//
|
|||
|
|
// 4 - SID of service
|
|||
|
|
//
|
|||
|
|
// 5 - Ticket Options
|
|||
|
|
//
|
|||
|
|
// 6 - Ticket Encryption Type
|
|||
|
|
//
|
|||
|
|
// 7 - Client IP address
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TICKET_RENEW_SUCCESS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Ticket Granted Renewed:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tUser Domain:%t%2%n
|
|||
|
|
// %tService Name:%t%3%n
|
|||
|
|
// %tService ID:%t%4%n
|
|||
|
|
// %tTicket Options:%t%5%n
|
|||
|
|
// %tTicket Encryption Type:%t%6%n
|
|||
|
|
// %tClient Address:%t%7%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TICKET_RENEW_SUCCESS ((ULONG)0x000002A2L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_PREAUTH_FAILURE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User name of client
|
|||
|
|
//
|
|||
|
|
// 2 - SID of client user
|
|||
|
|
//
|
|||
|
|
// 3 - User name of service
|
|||
|
|
//
|
|||
|
|
// 4 - Preauth Type
|
|||
|
|
//
|
|||
|
|
// 5 - Failure code
|
|||
|
|
//
|
|||
|
|
// 6 - Client IP address
|
|||
|
|
//
|
|||
|
|
// Event type: failure
|
|||
|
|
// Description: This event is generated on a KDC when
|
|||
|
|
// preauthentication fails (user types in wrong password).
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_PREAUTH_FAILURE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Pre-authentication failed:%n
|
|||
|
|
// %tUser Name:%t%t%1%n
|
|||
|
|
// %tUser ID:%t%t%2%n
|
|||
|
|
// %tService Name:%t%t%3%n
|
|||
|
|
// %tPre-Authentication Type:%t%4%n
|
|||
|
|
// %tFailure Code:%t%t%5%n
|
|||
|
|
// %tClient Address:%t%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_PREAUTH_FAILURE ((ULONG)0x000002A3L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_TGS_TICKET_FAILURE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// This event is obsolete. It is not generated by Whistler.
|
|||
|
|
// It is retained in this file so that anybody viewing w2k events
|
|||
|
|
// from a whistler machine can view them correctly.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_TGS_TICKET_FAILURE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Service Ticket Request Failed:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tUser Domain:%t%2%n
|
|||
|
|
// %tService Name:%t%3%n
|
|||
|
|
// %tTicket Options:%t%4%n
|
|||
|
|
// %tFailure Code:%t%5%n
|
|||
|
|
// %tClient Address:%t%6%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_TGS_TICKET_FAILURE ((ULONG)0x000002A5L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_MAPPED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Type: success / failure
|
|||
|
|
//
|
|||
|
|
// Description: An account mapping is a map of a user authenticated in an MIT realm to a
|
|||
|
|
// domain account. A mapping acts much like a logon. Hence, it is important to audit this.
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Source
|
|||
|
|
//
|
|||
|
|
// 2 - Client Name
|
|||
|
|
//
|
|||
|
|
// 3 - Mapped Name
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_MAPPED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Account Mapped for Logon.%n
|
|||
|
|
// Mapping Attempted By:%n
|
|||
|
|
// %t%1%n
|
|||
|
|
// Client Name:%n
|
|||
|
|
// %t%2%n
|
|||
|
|
// %tMapped Name:%n
|
|||
|
|
// %t%3%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_MAPPED ((ULONG)0x000002A6L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_NOT_MAPPED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// This event is obsolete. It is not generated by Whistler.
|
|||
|
|
// It is retained in this file so that anybody viewing w2k events
|
|||
|
|
// from a whistler machine can view them correctly.
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_NOT_MAPPED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The name:%n
|
|||
|
|
// %t%2%n
|
|||
|
|
// could not be mapped for logon by:
|
|||
|
|
// %t%1%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_NOT_MAPPED ((ULONG)0x000002A7L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Type: Success / Failure
|
|||
|
|
//
|
|||
|
|
// Description: This audits a logon attempt. The audit appears on the DC.
|
|||
|
|
// This is generated by calling LogonUser.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Logon attempt by: %1%n
|
|||
|
|
// Logon account: %2%n
|
|||
|
|
// Source Workstation: %3%n
|
|||
|
|
// Error Code: %4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_LOGON ((ULONG)0x000002A8L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_ACCOUNT_LOGON_FAILURE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_ACCOUNT_LOGON
|
|||
|
|
//
|
|||
|
|
// Note:
|
|||
|
|
// This event is obsolete. It is not generated by Whistler.
|
|||
|
|
// It is retained in this file so that anybody viewing w2k events
|
|||
|
|
// from a whistler machine can view them correctly.
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_ACCOUNT_LOGON_FAILURE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The logon to account: %2%n
|
|||
|
|
// by: %1%n
|
|||
|
|
// from workstation: %3%n
|
|||
|
|
// failed. The error code was: %4%n
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_ACCOUNT_LOGON_FAILURE ((ULONG)0x000002A9L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SESSION_RECONNECTED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Session Name
|
|||
|
|
//
|
|||
|
|
// 5 - Client Name
|
|||
|
|
//
|
|||
|
|
// 6 - Client Address
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SESSION_RECONNECTED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Session reconnected to winstation:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
// %tSession Name:%t%4%n
|
|||
|
|
// %tClient Name:%t%5%n
|
|||
|
|
// %tClient Address:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SESSION_RECONNECTED ((ULONG)0x000002AAL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_SESSION_DISCONNECTED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_LOGON
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - User account name
|
|||
|
|
//
|
|||
|
|
// 2 - Authenticating domain name
|
|||
|
|
//
|
|||
|
|
// 3 - Logon ID string
|
|||
|
|
//
|
|||
|
|
// 4 - Session Name
|
|||
|
|
//
|
|||
|
|
// 5 - Client Name
|
|||
|
|
//
|
|||
|
|
// 6 - Client Address
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_SESSION_DISCONNECTED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Session disconnected from winstation:%n
|
|||
|
|
// %tUser Name:%t%1%n
|
|||
|
|
// %tDomain:%t%t%2%n
|
|||
|
|
// %tLogon ID:%t%t%3%n
|
|||
|
|
// %tSession Name:%t%4%n
|
|||
|
|
// %tClient Name:%t%5%n
|
|||
|
|
// %tClient Address:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_SESSION_DISCONNECTED ((ULONG)0x000002ABL)
|
|||
|
|
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
// Messages for Category: SE_CATEGID_OBJECT_ACCESS - CertSrv //
|
|||
|
|
// //
|
|||
|
|
// Event IDs: //
|
|||
|
|
// SE_AUDITID_CERTSRV_DENYREQUEST //
|
|||
|
|
// SE_AUDITID_CERTSRV_RESUBMITREQUEST //
|
|||
|
|
// SE_AUDITID_CERTSRV_REVOKECERT //
|
|||
|
|
// SE_AUDITID_CERTSRV_PUBLISHCRL //
|
|||
|
|
// SE_AUDITID_CERTSRV_AUTOPUBLISHCRL //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETEXTENSION //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETATTRIBUTES //
|
|||
|
|
// SE_AUDITID_CERTSRV_SHUTDOWN //
|
|||
|
|
// SE_AUDITID_CERTSRV_BACKUPSTART //
|
|||
|
|
// SE_AUDITID_CERTSRV_BACKUPEND //
|
|||
|
|
// SE_AUDITID_CERTSRV_RESTORESTART //
|
|||
|
|
// SE_AUDITID_CERTSRV_RESTOREEND //
|
|||
|
|
// SE_AUDITID_CERTSRV_SERVICESTART //
|
|||
|
|
// SE_AUDITID_CERTSRV_SERVICESTOP //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETSECURITY //
|
|||
|
|
// SE_AUDITID_CERTSRV_GETARCHIVEDKEY //
|
|||
|
|
// SE_AUDITID_CERTSRV_IMPORTCERT //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETAUDITFILTER //
|
|||
|
|
// SE_AUDITID_CERTSRV_NEWREQUEST //
|
|||
|
|
// SE_AUDITID_CERTSRV_REQUESTAPPROVED //
|
|||
|
|
// SE_AUDITID_CERTSRV_REQUESTDENIED //
|
|||
|
|
// SE_AUDITID_CERTSRV_REQUESTPENDING //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETOFFICERRIGHTS //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETCONFIGENTRY //
|
|||
|
|
// SE_AUDITID_CERTSRV_SETCAPROPERTY //
|
|||
|
|
// SE_AUDITID_CERTSRV_KEYARCHIVED //
|
|||
|
|
// SE_AUDITID_CERTSRV_IMPORTKEY //
|
|||
|
|
// SE_AUDITID_CERTSRV_PUBLISHCERT //
|
|||
|
|
// //
|
|||
|
|
// //
|
|||
|
|
/////////////////////////////////////////////////////////////////////////////
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_DENYREQUEST
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_DENYREQUEST
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The certificate manager denied a pending certificate request.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_DENYREQUEST ((ULONG)0x00000304L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_RESUBMITREQUEST
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_RESUBMITREQUEST
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services received a resubmitted certificate request.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_RESUBMITREQUEST ((ULONG)0x00000305L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_REVOKECERT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Serial No.
|
|||
|
|
//
|
|||
|
|
// 2 - Reason
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_REVOKECERT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services revoked a certificate.%n
|
|||
|
|
// %n
|
|||
|
|
// Serial No:%t%1%n
|
|||
|
|
// Reason:%t%2
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_REVOKECERT ((ULONG)0x00000306L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_PUBLISHCRL
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Next Update
|
|||
|
|
//
|
|||
|
|
// 2 - Publish Base
|
|||
|
|
//
|
|||
|
|
// 3 - Publish Delta
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_PUBLISHCRL
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services received a request to publish the certificate revocation list (CRL).%n
|
|||
|
|
// %n
|
|||
|
|
// Next Update:%t%1%n
|
|||
|
|
// Publish Base:%t%2%n
|
|||
|
|
// Publish Delta:%t%3
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_PUBLISHCRL ((ULONG)0x00000307L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_AUTOPUBLISHCRL
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Base CRL
|
|||
|
|
//
|
|||
|
|
// 2 - CRL No.
|
|||
|
|
//
|
|||
|
|
// 3 - Key Container
|
|||
|
|
//
|
|||
|
|
// 4 - Next Publish
|
|||
|
|
//
|
|||
|
|
// 5 - Publish URLs
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_AUTOPUBLISHCRL
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services published the certificate revocation list (CRL).%n
|
|||
|
|
// %n
|
|||
|
|
// Base CRL:%t%1%n
|
|||
|
|
// CRL No:%t%t%2%n
|
|||
|
|
// Key Container%t%3%n
|
|||
|
|
// Next Publish%t%4%n
|
|||
|
|
// Publish URLs:%t%5
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_AUTOPUBLISHCRL ((ULONG)0x00000308L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETEXTENSION
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Extension Name
|
|||
|
|
//
|
|||
|
|
// 3 - Extension Type
|
|||
|
|
//
|
|||
|
|
// 4 - Flags
|
|||
|
|
//
|
|||
|
|
// 5 - Extension Data
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETEXTENSION
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A certificate request extension changed.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Name:%t%2%n
|
|||
|
|
// Type:%t%3%n
|
|||
|
|
// Flags:%t%4%n
|
|||
|
|
// Data:%t%5
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETEXTENSION ((ULONG)0x00000309L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETATTRIBUTES
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Attributes
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETATTRIBUTES
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// One or more certificate request attributes changed.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Attributes:%t%2
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETATTRIBUTES ((ULONG)0x0000030AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SHUTDOWN
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SHUTDOWN
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services received a request to shut down.
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SHUTDOWN ((ULONG)0x0000030BL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_BACKUPSTART
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Backup Type
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_BACKUPSTART
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services backup started.%n
|
|||
|
|
// Backup Type:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_BACKUPSTART ((ULONG)0x0000030CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_BACKUPEND
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_BACKUPEND
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services backup completed.
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_BACKUPEND ((ULONG)0x0000030DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_RESTORESTART
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_RESTORESTART
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services restore started.
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_RESTORESTART ((ULONG)0x0000030EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_RESTOREEND
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_RESTOREEND
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services restore completed.
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_RESTOREEND ((ULONG)0x0000030FL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SERVICESTART
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Database Hash
|
|||
|
|
//
|
|||
|
|
// 2 - Key Usage Count
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SERVICESTART
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services started.%n
|
|||
|
|
// %n
|
|||
|
|
// Database Hash:%t%1%n
|
|||
|
|
// Key Usage Count:%t%2
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SERVICESTART ((ULONG)0x00000310L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SERVICESTOP
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Database Hash
|
|||
|
|
//
|
|||
|
|
// 2 - Key Usage Count
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SERVICESTOP
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services stopped.%n
|
|||
|
|
// %n
|
|||
|
|
// Database Hash:%t%1%n
|
|||
|
|
// Key Usage Count:%t%2
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SERVICESTOP ((ULONG)0x00000311L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETSECURITY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - New permissions
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETSECURITY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The security permissions for Certificate Services changed.%n
|
|||
|
|
// %n
|
|||
|
|
// %1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETSECURITY ((ULONG)0x00000312L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_GETARCHIVEDKEY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_GETARCHIVEDKEY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services retrieved an archived key.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_GETARCHIVEDKEY ((ULONG)0x00000313L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_IMPORTCERT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Certificate
|
|||
|
|
//
|
|||
|
|
// 2 - Request ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_IMPORTCERT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services imported a certificate into its database.%n
|
|||
|
|
// %n
|
|||
|
|
// Certificate:%t%1%n
|
|||
|
|
// Request ID:%t%2
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_IMPORTCERT ((ULONG)0x00000314L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETAUDITFILTER
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Filter
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETAUDITFILTER
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The audit filter for Certificate Services changed.%n
|
|||
|
|
// %n
|
|||
|
|
// Filter:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETAUDITFILTER ((ULONG)0x00000315L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_NEWREQUEST
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Requester
|
|||
|
|
//
|
|||
|
|
// 3 - Attributes
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_NEWREQUEST
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services received a certificate request.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Requester:%t%2%n
|
|||
|
|
// Attributes:%t%3
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_NEWREQUEST ((ULONG)0x00000316L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_REQUESTAPPROVED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Requester
|
|||
|
|
//
|
|||
|
|
// 3 - Attributes
|
|||
|
|
//
|
|||
|
|
// 4 - Disposition
|
|||
|
|
//
|
|||
|
|
// 5 - SKI
|
|||
|
|
//
|
|||
|
|
// 6 - Subject
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_REQUESTAPPROVED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services approved a certificate request and issued a certificate.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Requester:%t%2%n
|
|||
|
|
// Attributes:%t%3%n
|
|||
|
|
// Disposition:%t%4%n
|
|||
|
|
// SKI:%t%t%5%n
|
|||
|
|
// Subject:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_REQUESTAPPROVED ((ULONG)0x00000317L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_REQUESTDENIED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Requester
|
|||
|
|
//
|
|||
|
|
// 3 - Attributes
|
|||
|
|
//
|
|||
|
|
// 4 - Disposition
|
|||
|
|
//
|
|||
|
|
// 5 - SKI
|
|||
|
|
//
|
|||
|
|
// 6 - Subject
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_REQUESTDENIED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services denied a certificate request.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Requester:%t%2%n
|
|||
|
|
// Attributes:%t%3%n
|
|||
|
|
// Disposition:%t%4%n
|
|||
|
|
// SKI:%t%t%5%n
|
|||
|
|
// Subject:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_REQUESTDENIED ((ULONG)0x00000318L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_REQUESTPENDING
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Requester
|
|||
|
|
//
|
|||
|
|
// 3 - Attributes
|
|||
|
|
//
|
|||
|
|
// 4 - Disposition
|
|||
|
|
//
|
|||
|
|
// 5 - SKI
|
|||
|
|
//
|
|||
|
|
// 6 - Subject
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_REQUESTPENDING
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services set the status of a certificate request to pending.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Requester:%t%2%n
|
|||
|
|
// Attributes:%t%3%n
|
|||
|
|
// Disposition:%t%4%n
|
|||
|
|
// SKI:%t%t%5%n
|
|||
|
|
// Subject:%t%6
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_REQUESTPENDING ((ULONG)0x00000319L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETOFFICERRIGHTS
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Enable restrictions
|
|||
|
|
//
|
|||
|
|
// 2 - Restrictions
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETOFFICERRIGHTS
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// The certificate manager settings for Certificate Services changed.%n
|
|||
|
|
// %n
|
|||
|
|
// Enable:%t%1%n
|
|||
|
|
// %n
|
|||
|
|
// %2
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETOFFICERRIGHTS ((ULONG)0x0000031AL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETCONFIGENTRY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Node
|
|||
|
|
//
|
|||
|
|
// 2 - Entry
|
|||
|
|
//
|
|||
|
|
// 3 - Value
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETCONFIGENTRY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A configuration entry changed in Certificate Services.%n
|
|||
|
|
// %n
|
|||
|
|
// Node:%t%1%n
|
|||
|
|
// Entry:%t%2%n
|
|||
|
|
// Value:%t%3
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETCONFIGENTRY ((ULONG)0x0000031BL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_SETCAPROPERTY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Property
|
|||
|
|
//
|
|||
|
|
// 2 - Index
|
|||
|
|
//
|
|||
|
|
// 3 - Type
|
|||
|
|
//
|
|||
|
|
// 4 - Value
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_SETCAPROPERTY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// A property of Certificate Services changed.%n
|
|||
|
|
// %n
|
|||
|
|
// Property:%t%1%n
|
|||
|
|
// Index:%t%2%n
|
|||
|
|
// Type:%t%3%n
|
|||
|
|
// Value:%t%4
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_SETCAPROPERTY ((ULONG)0x0000031CL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_KEYARCHIVED
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
// 2 - Requester
|
|||
|
|
//
|
|||
|
|
// 3 - KRA Hashes
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_KEYARCHIVED
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services archived a key.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1%n
|
|||
|
|
// Requester:%t%2%n
|
|||
|
|
// KRA Hashes:%t%3
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_KEYARCHIVED ((ULONG)0x0000031DL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_IMPORTKEY
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Request ID
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_IMPORTKEY
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services imported and archived a key.%n
|
|||
|
|
// %n
|
|||
|
|
// Request ID:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_IMPORTKEY ((ULONG)0x0000031EL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_PUBLISHCACERT
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Certificate Hash
|
|||
|
|
//
|
|||
|
|
// 2 - Valid From
|
|||
|
|
//
|
|||
|
|
// 3 - Valid To
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_PUBLISHCACERT
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Certificate Services published the CA certificate to Active Directory.%n
|
|||
|
|
// %n
|
|||
|
|
// Certificate Hash:%t%1%n
|
|||
|
|
// Valid From:%t%2%n
|
|||
|
|
// Valid To:%t%3
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_PUBLISHCACERT ((ULONG)0x0000031FL)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_DELETEROW
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Table ID
|
|||
|
|
//
|
|||
|
|
// 2 - Filter
|
|||
|
|
//
|
|||
|
|
// 3 - Rows Deleted
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_DELETEROW
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// One or more rows have been deleted from the certificate database.%n
|
|||
|
|
// %n
|
|||
|
|
// Table ID:%t%1%n
|
|||
|
|
// Filter:%t%2%n
|
|||
|
|
// Rows Deleted:%t%3
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_DELETEROW ((ULONG)0x00000320L)
|
|||
|
|
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// SE_AUDITID_CERTSRV_ROLESEPARATIONSTATE
|
|||
|
|
//
|
|||
|
|
// Category: SE_CATEGID_OBJECT_ACCESS
|
|||
|
|
//
|
|||
|
|
// Parameter Strings -
|
|||
|
|
//
|
|||
|
|
// 1 - Role separation state
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
//
|
|||
|
|
// MessageId: SE_AUDITID_CERTSRV_ROLESEPARATIONSTATE
|
|||
|
|
//
|
|||
|
|
// MessageText:
|
|||
|
|
//
|
|||
|
|
// Role separation enabled:%t%1
|
|||
|
|
//
|
|||
|
|
#define SE_AUDITID_CERTSRV_ROLESEPARATIONSTATE ((ULONG)0x00000321L)
|
|||
|
|
|
|||
|
|
/*lint +e767 */ // Resume checking for different macro definitions // winnt
|
|||
|
|
|
|||
|
|
|
|||
|
|
#endif // _MSAUDITE_
|