事件ID对照表

关于windows service 2003 与 2008 事件ID对照表

下表列出了应在环境中监视的事件，具体取决于“监控Active Directory中的妥协迹象”中提供的建议。在下表中，“当前Windows事件ID”列列出了在当前主流支持的Windows和Windows Server版本中实现的事件ID，以下表格以“2008”代称。

“旧版Windows事件ID”列列出了旧版Windows中的相应事件ID，例如运行Windows XP或更早版本的客户端计算机以及运行Windows Server 2003或更早版本的服务器，以下表格以“2003”代称。“潜在关键性”列标识在检测攻击时是否应将该事件视为低，中或高关键性。以下表格以“级别”代称，“事件摘要”列提供事件的简要说明以下表格以“概述”代称。

高可能的临界值意味着应该调查一次事件。中等或低的潜在临界值意味着只有在出现意外情况或在测量的时间段内显着超过预期基线的数量时才应调查这些事件。在创建需要强制性调查响应的警报之前，所有组织都应在其环境中测试这些建议。每个环境都是不同的，并且由于其他无害事件，可能会发生一些潜在危险度高的事件。

2008	2003	级别	概述
4618	N / A	高	已发生受监视的安全事件模式。
4649	N / A	高	检测到重播攻击。由于错误配置错误，可能是无害的误报。
4719	612	高	系统审核策略已更改。
4765	N / A	高	SID历史记录已添加到帐户中。
4766	N / A	高	尝试将SID历史记录添加到帐户失败。
4794	N / A	高	尝试设置目录服务还原模式。
4897	801	高	启用角色分离：
4964	N / A	高	特殊组已分配给新登录。
5124	N / A	高	在OCSP Responder Service上更新了安全设置
N / A	550	中到高	可能的拒绝服务（DoS）攻击
1102	517	中到高	审核日志已清除
4621	N / A	介质	管理员从CrashOnAuditFail恢复了系统。现在，将允许非管理员的用户登录。可能未记录某些可审核活动。
4675	N / A	介质	SID被过滤掉了。
4692	N / A	介质	尝试备份数据保护主密钥。
4693	N / A	介质	尝试恢复数据保护主密钥。
4706	610	介质	为域创建了新的信任。
4713	617	介质	Kerberos策略已更改。
4714	618	介质	加密数据恢复策略已更改。
4715	N / A	介质	对象的审核策略（SACL）已更改。
4716	620	介质	可信域信息已被修改。
4724	628	介质	尝试重置帐户的密码。
4727	631	介质	已创建启用安全性的全局组。
4735	639	介质	已启用安全性的本地组已更改。
4737	641	介质	启用安全性的全局组已更改。
4739	643	介质	域策略已更改。
4754	658	介质	已创建启用安全性的通用组。
4755	659	介质	启用安全性的通用组已更改。
4764	667	介质	已删除安全性已禁用的组
4764	668	介质	组的类型已更改。
4780	684	介质	ACL是在作为管理员组成员的帐户上设置的。
4816	N / A	介质	RPC在解密传入消息时检测到完整性违规。
4865	N / A	介质	添加了受信任的林信息条目。
4866	N / A	介质	已删除受信任的林信息条目。
4867	N / A	介质	已修改受信任的林信息条目。
4868	772	介质	证书管理器拒绝了挂起的证书请求。
4870	774	介质	证书服务撤销了证书。
4882	786	介质	证书服务的安全权限已更改。
4885	789	介质	证书服务的审核筛选器已更改。
4890	794	介质	证书服务的证书管理器设置已更改。
4892	796	介质	证书服务的属性已更改。
4896	800	介质	已从证书数据库中删除一行或多行。
4906	N / A	介质	CrashOnAuditFail值已更改。
4907	N / A	介质	对象的审核设置已更改。
4908	N / A	介质	特殊组登录表已修改。
4912	807	介质	每用户审核策略已更改。
4960	N / A	介质	IPsec丢弃了未通过完整性检查的入站数据包。如果此问题仍然存在，则可能表示网络问题或正在修改数据包传输到此计算机。验证从远程计算机发送的数据包是否与此计算机接收的数据包相同。此错误还可能表示与其他IPsec实现的互操作性问题。
4961	N / A	介质	IPsec丢弃了重放检查失败的入站数据包。如果此问题仍然存在，则可能表示对此计算机进行了重播攻击。
4962	N / A	介质	IPsec丢弃了重放检查失败的入站数据包。入站数据包的序列号太低，以确保它不是重播。
4963	N / A	介质	IPsec丢弃了应该受到保护的入站明文数据包。这通常是由于远程计算机在不通知此计算机的情况下更改其IPsec策略。这也可能是欺骗性攻击企图。
4965	N / A	介质	IPsec从远程计算机收到一个包含不正确的安全参数索引（SPI）的数据包。这通常是由损坏数据包的硬件故障引起的。如果这些错误仍然存在，请验证从远程计算机发送的数据包是否与此计算机接收的数据包相同。此错误还可能表示与其他IPsec实现的互操作性问题。在这种情况下，如果不阻止连接，则可以忽略这些事件。
4976	N / A	介质	在主模式协商期间，IPsec收到无效的协商数据包。如果此问题仍然存在，则可能表示存在网络问题或尝试修改或重播此协商。
4977	N / A	介质	在快速模式协商期间，IPsec收到无效的协商数据包。如果此问题仍然存在，则可能表示存在网络问题或尝试修改或重播此协商。
4978	N / A	介质	在扩展模式协商期间，IPsec收到无效的协商数据包。如果此问题仍然存在，则可能表示存在网络问题或尝试修改或重播此协商。
4983	N / A	介质	IPsec扩展模式协商失败。相应的主模式安全关联已被删除。
4984	N / A	介质	IPsec扩展模式协商失败。相应的主模式安全关联已被删除。
5027	N / A	介质	Windows防火墙服务无法从本地存储中检索安全策略。该服务将继续执行当前政策。
5028	N / A	介质	Windows防火墙服务无法解析新的安全策略。该服务将继续使用当前强制执行的策略。
5029	N / A	介质	Windows防火墙服务无法初始化驱动程序。该服务将继续执行当前政策。
5030	N / A	介质	Windows防火墙服务无法启动。
5035	N / A	介质	Windows防火墙驱动程序无法启动。
5037	N / A	介质	Windows防火墙驱动程序检测到严重的运行时错 终止。
5038	N / A	介质	代码完整性确定文件的图像哈希无效。由于未经授权的修改，文件可能已损坏，或者无效的哈希可能表示潜在的磁盘设备错误。
5120	N / A	介质	OCSP响应程序服务已启动
5121	N / A	介质	OCSP响应程序服务已停止
5122	N / A	介质	OCSP Responder Service中的配置条目已更改
5123	N / A	介质	OCSP Responder Service中的配置条目已更改
5376	N / A	介质	已备份凭据管理器凭据。
5377	N / A	介质	Credential Manager凭据已从备份还原。
5453	N / A	介质	与远程计算机的IPsec协商失败，因为未启动IKE和AuthIP IPsec密钥模块（IKEEXT）服务。
5480	N / A	介质	IPsec服务无法获取计算机上的完整网络接口列表。这会带来潜在的安全风险，因为某些网络接口可能无法获得应用的IPsec过滤器提供的保护。使用IP安全监视器管理单元诊断问题。
5483	N / A	介质	IPsec服务无法初始化RPC服务器。无法启动IPsec服务。
5484	N / A	介质	IPsec服务遇到严重故障并已关闭。关闭IPsec服务可能会使计算机面临更大的网络攻击风险或使计算机面临潜在的安全风险。
5485	N / A	介质	IPsec服务无法在网络接口的即插即用事件上处理某些IPsec筛选器。这会带来潜在的安全风险，因为某些网络接口可能无法获得应用的IPsec过滤器提供的保护。使用IP安全监视器管理单元诊断问题。
6145	N / A	介质	处理组策略对象中的安全策略时发生一个或多个错误。
6273	N / A	介质	网络策略服务器拒绝访问用户。
6274	N / A	介质	网络策略服务器放弃了对用户的请求。
6275	N / A	介质	网络策略服务器放弃了用户的记帐请求。
6276	N / A	介质	网络策略服务器隔离了用户。
6277	N / A	介质	网络策略服务器授予用户访问权限，但由于主机未满足定义的健康策略而将其置于试用期。
6278	N / A	介质	网络策略服务器授予用户完全访问权限，因为主机符合定义的健康策略。
6279	N / A	介质	由于重复失败的身份验证尝试，网络策略服务器锁定了用户帐户
6280	N / A	介质	网络策略服务器解锁了用户帐户。
-	640	介质	一般帐户数据库已更改
-	619	介质	服务质量政策发生了变化
24586	N / A	介质	转换音量时遇到错误
24592	N / A	介质	尝试在卷％2上自动重新启动转换失败。
24593	N / A	介质	元数据写入：卷％2在尝试修改元数据时返回错误。如果故障仍然存在，请解密卷
24594	N / A	介质	元数据重建：尝试在卷％2上写入元数据副本失败，并且可能显示为磁盘损坏。如果故障仍然存在，请解密卷。
4608	512	低	Windows正在启动。
4609	513	低	Windows正在关闭。
4610	514	低	本地安全机构已加载身份验证包。
4611	515	低	已向本地安全机构注册了受信任的登录进程。
4612	516	低	为审计消息排队分配的内部资源已经用尽，导致一些审计丢失。
4614	518	低	安全帐户管理器已加载通知包。
4615	519	低	LPC端口使用无效。
4616	520	低	系统时间已更改。
4622	N / A	低	本地安全机构已加载安全包。
4624	528540	低	帐户已成功登录。
4625	529-537,539	低	帐户无法登录。
4634	538	低	帐户已注销。
4646	N / A	低	IKE DoS防护模式已启动。
4647	551	低	用户启动了注销。
4648	552	低	使用显式凭据尝试登录。
4650	N / A	低	建立了IPsec主模式安全关联。未启用扩展模式。未使用证书身份验证。
4651	N / A	低	建立了IPsec主模式安全关联。未启用扩展模式。证书用于身份验证。
4652	N / A	低	IPsec主模式协商失败。
4653	N / A	低	IPsec主模式协商失败。
4654	N / A	低	IPsec快速模式协商失败。
4655	N / A	低	IPsec主模式安全关联已结束。
4656	560	低	请求了对象的句柄。
4657	567	低	注册表值已修改。
4658	562	低	对象的句柄已关闭。
4659	N / A	低	请求删除对象的句柄。
4660	564	低	对象已删除。
4661	565	低	请求了对象的句柄。
4662	566	低	对对象执行了操作。
4663	567	低	尝试访问对象。
4664	N / A	低	试图创建一个硬链接。
4665	N / A	低	尝试创建应用程序客户端上下文。
4666	N / A	低	应用程序尝试了一个操作：
4667	N / A	低	应用程序客户端上下文已删除。
4668	N / A	低	应用程序已初始化。
4670	N / A	低	对象的权限已更改。
4671	N / A	低	应用程序试图通过TBS访问被阻止的序号。
4672	576	低	分配给新登录的特权。
4673	577	低	特权服务被召唤。
4674	578	低	尝试对特权对象执行操作。
4688	592	低	已经创建了一个新流程。
4689	593	低	一个过程已经退出。
4690	594	低	尝试复制对象的句柄。
4691	595	低	请求间接访问对象。
4694	N / A	低	试图保护可审计的受保护数据。
4695	N / A	低	尝试不受保护的可审计受保护数据。
4696	600	低	主要令牌已分配给进程。
4697	601	低	尝试安装服务
4698	602	低	已创建计划任务。
4699	602	低	计划任务已删除。
4700	602	低	已启用计划任务。
4701	602	低	计划任务已禁用。
4702	602	低	计划任务已更新。
4704	608	低	已分配用户权限。
4705	609	低	用户权限已被删除。
4707	611	低	已删除对域的信任。
4709	N / A	低	IPsec服务已启动。
4710	N / A	低	IPsec服务已禁用。
4711	N / A	低	可能包含以下任何一项：PAStore引擎在计算机上应用了Active Directory存储IPsec策略的本地缓存副本.PAStore Engine在计算机上应用了Active Directory存储IPsec策略.PAStore Engine在计算机上应用了本地注册表存储IPsec策略.PAStore Engine无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本.PAStore引擎无法在计算机上应用Active Directory存储IPsec策略.PAStore引擎无法在计算机上应用本地注册表存储IPsec策略.PAStore引擎无法应用某些计算机上活动IPsec策略的规则.PAStore引擎无法在计算机上加载目录存储IPsec策略.PAStore Engine在计算机上加载了目录存储IPsec策略。PAStore引擎无法在计算机上加载本地存储IPsec策略.PAStore Engine在计算机上加载了本地存储IPsec策略.PAStore引擎轮询活动IPsec策略的更改并检测不到任何更改。
4712	N / A	低	IPsec服务遇到了潜在的严重故障。
4717	621	低	系统安全访问权限已授予帐户。
4718	622	低	系统安全访问已从帐户中删除。
4720	624	低	已创建用户帐户。
4722	626	低	用户帐户已启用。
4723	627	低	尝试更改帐户的密码。
4725	629	低	用户帐户已被禁用。
4726	630	低	用户帐户已删除。
4728	632	低	已将成员添加到启用安全性的全局组中。
4729	633	低	成员已从启用安全性的全局组中删除。
4730	634	低	已删除启用安全性的全局组。
4731	635	低	已创建启用安全性的本地组。
4732	636	低	已将成员添加到启用安全性的本地组。
4733	637	低	成员已从启用安全性的本地组中删除。
4734	638	低	已删除已启用安全性的本地组。
4738	642	低	用户帐户已更改。
4740	644	低	用户帐户已被锁定。
4741	645	低	计算机帐户已更改。
4742	646	低	计算机帐户已更改。
4743	647	低	计算机帐户已删除。
4744	648	低	已创建禁用安全性的本地组。
4745	649	低	已禁用安全性的本地组已更改。
4746	650	低	已将成员添加到已禁用安全性的本地组。
4747	651	低	已从安全性已禁用的本地组中删除成员。
4748	652	低	已删除安全性已禁用的本地组。
4749	653	低	已创建一个禁用安全性的全局组。
4750	654	低	已禁用安全性的全局组已更改。
4751	655	低	已将成员添加到已禁用安全性的全局组中。
4752	656	低	成员已从禁用安全性的全局组中删除。
4753	657	低	已删除安全性已禁用的全局组。
4756	660	低	已将成员添加到启用安全性的通用组中。
4757	661	低	成员已从启用安全性的通用组中删除。
4758	662	低	已删除启用安全性的通用组。
4759	663	低	创建了一个安全禁用的通用组。
4760	664	低	安全性已禁用的通用组已更改。
4761	665	低	已将成员添加到已禁用安全性的通用组中。
4762	666	低	成员已从禁用安全性的通用组中删除。
4767	671	低	用户帐户已解锁。
4768	672676	低	请求了Kerberos身份验证票证（TGT）。
4769	673	低	请求了Kerberos服务票证。
4770	674	低	更新了Kerberos服务票证。
4771	675	低	Kerberos预身份验证失败。
4772	672	低	Kerberos身份验证票证请求失败。
4774	678	低	已映射帐户以进行登录。
4775	679	低	无法映射帐户以进行登录。
4776	680681	低	域控制器尝试验证帐户的凭据。
4777	N / A	低	域控制器无法验证帐户的凭据。
4778	682	低	会话重新连接到Window Station。
4779	683	低	会话已与Window Station断开连接。
4781	685	低	帐户名称已更改：
4782	N / A	低	密码哈希帐户被访问。
4783	667	低	创建了一个基本应用程序组。
4784	N / A	低	基本应用程序组已更改。
4785	689	低	成员已添加到基本应用程序组。
4786	690	低	成员已从基本应用程序组中删除。
4787	691	低	非成员已添加到基本应用程序组。
4788	692	低	从基本应用程序组中删除了非成员。
4789	693	低	基本应用程序组已删除。
4790	694	低	已创建LDAP查询组。
4793	N / A	低	密码策略检查API已被调用。
4800	N / A	低	工作站已锁定。
4801	N / A	低	工作站已解锁。
4802	N / A	低	屏幕保护程序被调用。
4803	N / A	低	屏幕保护程序被解雇了。
4864	N / A	低	检测到名称空间冲突。
4869	773	低	证书服务收到重新提交的证书请求。
4871	775	低	证书服务收到了发布证书吊销列表（CRL）的请求。
4872	776	低	证书服务发布了证书吊销列表（CRL）。
4873	777	低	证书申请延期已更改。
4874	778	低	一个或多个证书请求属性已更改。
4875	779	低	证书服务收到关闭请求。
4876	780	低	证书服务备份已启动。
4877	781	低	证书服务备份已完成。
4878	782	低	证书服务还原已开始。
4879	783	低	证书服务恢复已完成。
4880	784	低	证书服务已启动。
4881	785	低	证书服务已停止。
4883	787	低	证书服务检索到存档密钥。
4884	788	低	证书服务将证书导入其数据库。
4886	790	低	证书服务收到证书请求。
4887	791	低	证书服务批准了证书请求并颁发了证书。
4888	792	低	证书服务拒绝了证书请求。
4889	793	低	证书服务将证书请求的状态设置为挂起。
4891	795	低	证书服务中的配置条目已更改。
4893	797	低	证书服务存档密钥。
4894	798	低	证书服务导入并存档了一个密钥。
4895	799	低	证书服务将CA证书发布到Active Directory域服务。
4898	802	低	证书服务加载了一个模板。
4902	N / A	低	已创建每用户审核策略表。
4904	N / A	低	尝试注册安全事件源。
4905	N / A	低	尝试取消注册安全事件源。
4909	N / A	低	TBS的本地策略设置已更改。
4910	N / A	低	TBS的组策略设置已更改。
4928	N / A	低	建立了Active Directory副本源命名上下文。
4929	N / A	低	已删除Active Directory副本源命名上下文。
4930	N / A	低	已修改Active Directory副本源命名上下文。
4931	N / A	低	已修改Active Directory副本目标命名上下文。
4932	N / A	低	已开始同步Active Directory命名上下文的副本。
4933	N / A	低	Active Directory命名上下文的副本的同步已结束。
4934	N / A	低	已复制Active Directory对象的属性。
4935	N / A	低	复制失败开始。
4936	N / A	低	复制失败结束。
4937	N / A	低	从副本中删除了一个延迟对象。
4944	N / A	低	Windows防火墙启动时，以下策略处于活动状态。
4945	N / A	低	Windows防火墙启动时列出了规则。
4946	N / A	低	已对Windows防火墙例外列表进行了更改。增加了一条规则。
4947	N / A	低	已对Windows防火墙例外列表进行了更改。规则被修改了。
4948	N / A	低	已对Windows防火墙例外列表进行了更改。规则已删除。
4949	N / A	低	Windows防火墙设置已恢复为默认值。
4950	N / A	低	Windows防火墙设置已更改。
4951	N / A	低	规则已被忽略，因为Windows防火墙无法识别其主要版本号。
4952	N / A	低	已忽略规则的某些部分，因为Windows防火墙无法识别其次要版本号。该规则的其他部分将被强制执行。
4953	N / A	低	Windows防火墙已忽略规则，因为它无法解析规则。
4954	N / A	低	Windows防火墙组策略设置已更改。已应用新设置。
4956	N / A	低	Windows防火墙已更改活动配置文件。
4957	N / A	低	Windows防火墙未应用以下规则：
4958	N / A	低	Windows防火墙未应用以下规则，因为规则引用了此计算机上未配置的项目：
4979	N / A	低	建立了IPsec主模式和扩展模式安全关联。
4980	N / A	低	建立了IPsec主模式和扩展模式安全关联。
4981	N / A	低	建立了IPsec主模式和扩展模式安全关联。
4982	N / A	低	建立了IPsec主模式和扩展模式安全关联。
4985	N / A	低	交易状态已发生变化。
5024	N / A	低	Windows防火墙服务已成功启动。
5025	N / A	低	Windows防火墙服务已停止。
5031	N / A	低	Windows防火墙服务阻止应用程序接受网络上的传入连接。
5032	N / A	低	Windows防火墙无法通知用户它阻止应用程序接受网络上的传入连接。
5033	N / A	低	Windows防火墙驱动程序已成功启动。
5034	N / A	低	Windows防火墙驱动程序已停止。
5039	N / A	低	注册表项已虚拟化。
5040	N / A	低	已对IPsec设置进行了更改。添加了身份验证集。
5041	N / A	低	已对IPsec设置进行了更改。身份验证集已修改。
5042	N / A	低	已对IPsec设置进行了更改。身份验证集已删除。
5043	N / A	低	已对IPsec设置进行了更改。添加了连接安全规则。
5044	N / A	低	已对IPsec设置进行了更改。连接安全规则已修改。
5045	N / A	低	已对IPsec设置进行了更改。连接安全规则已删除。
5046	N / A	低	已对IPsec设置进行了更改。添加了加密集。
5047	N / A	低	已对IPsec设置进行了更改。加密集已被修改。
5048	N / A	低	已对IPsec设置进行了更改。加密集已删除。
5050	N / A	低	尝试使用对InetFwProfile.FirewallEnabled（False）的调用以编程方式禁用Windows防火墙
5051	N / A	低	文件已虚拟化。
5056	N / A	低	进行了密码自检。
5057	N / A	低	加密原语操作失败。
5058	N / A	低	密钥文件操作。
5059	N / A	低	密钥迁移操作。
5060	N / A	低	验证操作失败。
5061	N / A	低	加密操作。
5062	N / A	低	进行了内核模式加密自检。
5063	N / A	低	尝试了加密提供程序操作。
5064	N / A	低	尝试了加密上下文操作。
5065	N / A	低	尝试了加密上下文修改。
5066	N / A	低	尝试了加密功能操作。
5067	N / A	低	尝试了加密功能修改。
5068	N / A	低	尝试了加密函数提供程序操作。
5069	N / A	低	尝试了加密函数属性操作。
5070	N / A	低	尝试了加密函数属性修改。
5125	N / A	低	请求已提交给OCSP Responder Service
5126	N / A	低	签名证书由OCSP Responder Service自动更新
5127	N / A	低	OCSP吊销提供商成功更新了吊销信息
5136	566	低	目录服务对象已修改。
5137	566	低	已创建目录服务对象。
5138	N / A	低	目录服务对象已取消删除。
5139	N / A	低	已移动目录服务对象。
5140	N / A	低	访问了网络共享对象。
5141	N / A	低	目录服务对象已删除。
5152	N / A	低	Windows筛选平台阻止了数据包。
5153	N / A	低	限制性更强的Windows筛选平台筛选器阻止了数据包。
5154	N / A	低	Windows过滤平台允许应用程序或服务在端口上侦听传入连接。
5155	N / A	低	Windows筛选平台已阻止应用程序或服务侦听端口上的传入连接。
5156	N / A	低	Windows筛选平台允许连接。
5157	N / A	低	Windows筛选平台已阻止连接。
5158	N / A	低	Windows筛选平台允许绑定到本地端口。
5159	N / A	低	Windows筛选平台已阻止绑定到本地端口。
5378	N / A	低	策略不允许请求的凭据委派。
5440	N / A	低	Windows筛选平台基本筛选引擎启动时出现以下callout。
5441	N / A	低	Windows筛选平台基本筛选引擎启动时存在以下筛选器。
5442	N / A	低	Windows筛选平台基本筛选引擎启动时，存在以下提供程序。
5443	N / A	低	Windows筛选平台基本筛选引擎启动时，存在以下提供程序上下文。
5444	N / A	低	Windows筛选平台基本筛选引擎启动时，存在以下子层。
5446	N / A	低	Windows筛选平台标注已更改。
5447	N / A	低	Windows筛选平台筛选器已更改。
5448	N / A	低	Windows筛选平台提供程序已更改。
5449	N / A	低	Windows筛选平台提供程序上下文已更改。
5450	N / A	低	Windows筛选平台子层已更改。
5451	N / A	低	建立了IPsec快速模式安全关联。
5452	N / A	低	IPsec快速模式安全关联已结束。
5456	N / A	低	PAStore引擎在计算机上应用了Active Directory存储IPsec策略。
5457	N / A	低	PAStore引擎无法在计算机上应用Active Directory存储IPsec策略。
5458	N / A	低	PAStore引擎在计算机上应用了Active Directory存储IPsec策略的本地缓存副本。
5459	N / A	低	PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本。
5460	N / A	低	PAStore引擎在计算机上应用了本地注册表存储IPsec策略。
5461	N / A	低	PAStore引擎无法在计算机上应用本地注册表存储IPsec策略。
5462	N / A	低	PAStore引擎无法在计算机上应用某些活动IPsec策略规则。使用IP安全监视器管理单元诊断问题。
5463	N / A	低	PAStore引擎轮询活动IPsec策略的更改并检测不到任何更改。
5464	N / A	低	PAStore引擎轮询活动IPsec策略的更改，检测到更改并将其应用于IPsec服务。
5465	N / A	低	PAStore Engine收到强制重新加载IPsec策略的控件并成功处理控件。
5466	N / A	低	PAStore引擎轮询Active Directory IPsec策略的更改，确定无法访问Active Directory，并将使用Active Directory IPsec策略的缓存副本。自上次轮询以来对Active Directory IPsec策略所做的任何更改都无法应用。
5467	N / A	低	PAStore引擎轮询Active Directory IPsec策略的更改，确定可以访问Active Directory，并且未找到对策略的更改。不再使用Active Directory IPsec策略的缓存副本。
5468	N / A	低	PAStore引擎轮询Active Directory IPsec策略的更改，确定可以访问Active Directory，找到策略更改并应用这些更改。不再使用Active Directory IPsec策略的缓存副本。
5471	N / A	低	PAStore引擎在计算机上加载了本地存储IPsec策略。
5472	N / A	低	PAStore引擎无法在计算机上加载本地存储IPsec策略。
5473	N / A	低	PAStore引擎在计算机上加载了目录存储IPsec策略。
5474	N / A	低	PAStore引擎无法在计算机上加载目录存储IPsec策略。
5477	N / A	低	PAStore引擎无法添加快速模式过滤器。
5479	N / A	低	IPsec服务已成功关闭。关闭IPsec服务可能会使计算机面临更大的网络攻击风险或使计算机面临潜在的安全风险。
5632	N / A	低	已请求对无线网络进行身份验证。
5633	N / A	低	已请求对有线网络进行身份验证。
5712	N / A	低	尝试了远程过程调用（RPC）。
5888	N / A	低	COM +目录中的对象已被修改。
5889	N / A	低	从COM +目录中删除了一个对象。
5890	N / A	低	一个对象已添加到COM +目录中。
6008	N / A	低	以前的系统关闭是意外的
6144	N / A	低	组策略对象中的安全策略已成功应用。
6272	N / A	低	网络策略服务器授予用户访问权限。
N / A	561	低	请求了对象的句柄。
N / A	563	低	对象打开以进行删除
N / A	625	低	用户帐户类型已更改
N / A	613	低	IPsec策略代理已启动
N / A	614	低	已禁用IPsec策略代理
N / A	615	低	IPsec策略代理
N / A	616	低	IPsec策略代理遇到潜在的严重故障
24577	N / A	低	开始加密卷
24578	N / A	低	卷的加密已停止
24579	N / A	低	已完成卷的加密
24580	N / A	低	开始解密量
24581	N / A	低	卷的解密停止了
24582	N / A	低	卷的解密完成
24583	N / A	低	卷的转换工作线程已启动
24584	N / A	低	卷的转换工作线程暂时停止
24588	N / A	低	卷％2上的转换操作遇到错误的扇区错误。请验证此卷上的数据
24595	N / A	低	卷％2包含错误的群集。转换期间将跳过这些群集。
24621	N / A	低	初始状态检查：在％2上滚动卷转换事务。
5049	N / A	低	IPsec安全关联已删除。
5478	N / A	低	IPsec服务已成功启动。

来源：

事件ID对照表