本文讨论了域服务器中频繁出现审核失败的日志记录问题，提供了诊断步骤和解决方案，包括确认用户身份、排查病毒攻击可能性、调整安全策略和日志审核设置等方法。
启用欢迎屏幕时记录了失败事件
症状
记录的这些事件可能与以下事件类似：
Event Source:Security
Event Category:Logon/Logoff
Event ID: 529
Date: date
Time:time
User:NT AUTHORITY\SYSTEM
Computer:%computer name%
Description:
Logon Failure:
Reason:Unknown user name or bad password
User Name:%user name%
Domain:%computer name%
Logon Type: 2
Logon Process:Advapi
Authentication Package:Negotiate
Workstation Name:%computer name%
For more information, see Help and Support Center at http://support.microsoft.com.
Event Type:Failure Audit
Event Source:Security
Event Category:Account Logon
Event ID: 680
Date:date
Time:time
User:NT AUTHORITY\SYSTEM
Computer:%computer name%
Description:
Logon attempt by:MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Logon account:%user name%
Source Workstation:%computer name%
Error Code:0xC000006A
For more information, see Help and Support Center at http://support.microsoft.com.
Event Type: Success Audit
Event Source: Security
Event Category: Account Logon
Event ID: 680
Date: date
Time: time
User: NT AUTHORITY\SYSTEM
Computer: %computer name%
Description:
Logon attempt by:MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Logon account:%user name%
Source Workstation:%computer name%
Error Code:0x0
For more information, see Help and Support Center at http://support.microsoft.com.
原因
解决方案
有关如何启用或禁用欢迎屏幕及快速用户切换的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
- 单击开始，单击运行，键入 gpedit.msc，然后单击确定。
- 在左窗格中，展开下列项目：
- 本地计算机策略
- 计算机配置
- Windows 设置
- 安全设置
- 本地策略
- 单击审核策略。
- 双击审核登录事件。
- 单击以清除成功和失败复选框。
- 单击确定。
- 关闭“组策略”窗口。
状态
更多信息
文章 ID：305822 - 上次审阅时间：09/22/2006 03:29:00 - 修订版本： 2.0
- Microsoft Windows XP Professional Edition
关键字： kberrmsg kbbug kbfix kbshell kbenv kbui kbwinxpsp1fix KB305822
域服务器安全日志全部是审核失败的错误日志，请求帮助！ 
问题
-
0
各位，大家好！
我公司域服务器中安全日志中，全部是审核失败的错误日志。一分钟内100多条审核失败的错误日志。我前天发现的。
具体情况如下：
事件类型: 审核失败 事件来源: Security 事件 ID: 680 事件 ID: 529 事件 ID: 560
事件类型: 审核失败
事件来源: Security
事件种类: 帐户登录
事件 ID: 680
日期: 2010-10-11
事件: 3:00:00
用户: NT AUTHORITY\SYSTEM
计算机: CHINA
描述:
尝试登录的用户: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
登录帐户: cnc1
源工作站: CHINA
错误代码: 0xC000006A还有 675，672，539等的审计，全都失败。
这些都是关于用户账户，登录/注销的审计。
请问，怎么解决？
谢谢！
答案
-
0
您好！
关于529和680的错误信息，与用户登录失败有关。请您确认cnc1是域用户还是本地用户，如果是本地帐号的话，这是由于审核日志被开启的原因所导致的。0xC000006A错误表示登录时键入了错误的密码，该错误可以安全的忽略。
另外，请您帮忙确认，是在哪台计算机上记录了529和680的错误信息的，如果是在Windows XP的计算机上发现这些错误日志的话，请您参考以下信息。
启用欢迎屏幕时记录了失败事件
http://support.microsoft.com/?id=305822
更多关于审核日志的信息请您参考以下文章：
Audit account logon events
希望我的回答对您有所帮助，如果有什么不清楚的地方，请您告诉我。
Tom Zhang 张一平
Tom Zhang – MSFT- 已标记为答案 Tom Zhang – MSFTMicrosoft contingent staff, Moderator 2010年10月19日 9:04
-
0
一般是客户端中了病毒，然后通过暴力破解的方式猜测用户密码。如果只有这个用户 cnc1的日志的话，那么最有可能就是该用户的加域计算机有病毒，或者使用该帐号作为服务帐号/操作帐号的应用程序所在的计算机。
这个问题在企业中还算普遍，影响也小，但是需要值得关注。和你的信息安全管理员一起评估企业内的密码策略，至少需要保证复杂度/长度的要求和定期更改。保证特权帐号（域/企业管理员和其他服务帐号）的密码安全。
至于普通用户的帐号，可以从客户端着手解决。
asherf@it-first.com.cn- 已标记为答案 Tom Zhang – MSFTMicrosoft contingent staff, Moderator 2010年10月19日 9:04
全部回复
-
0
您好！
关于529和680的错误信息，与用户登录失败有关。请您确认cnc1是域用户还是本地用户，如果是本地帐号的话，这是由于审核日志被开启的原因所导致的。0xC000006A错误表示登录时键入了错误的密码，该错误可以安全的忽略。
另外，请您帮忙确认，是在哪台计算机上记录了529和680的错误信息的，如果是在Windows XP的计算机上发现这些错误日志的话，请您参考以下信息。
启用欢迎屏幕时记录了失败事件
http://support.microsoft.com/?id=305822
更多关于审核日志的信息请您参考以下文章：
Audit account logon events
希望我的回答对您有所帮助，如果有什么不清楚的地方，请您告诉我。
Tom Zhang 张一平
Tom Zhang – MSFT- 已标记为答案 Tom Zhang – MSFTMicrosoft contingent staff, Moderator 2010年10月19日 9:04
-
0
谢谢！
这是域用户的审核日志。我怀疑是域内的机器中了暴利破解木马。
请指教。
-
0这些是域服务器的审核日志中的一项。这样的错误条目，一分钟内上百条。所以怀疑是木马攻击。
-
0
一般是客户端中了病毒，然后通过暴力破解的方式猜测用户密码。如果只有这个用户 cnc1的日志的话，那么最有可能就是该用户的加域计算机有病毒，或者使用该帐号作为服务帐号/操作帐号的应用程序所在的计算机。
这个问题在企业中还算普遍，影响也小，但是需要值得关注。和你的信息安全管理员一起评估企业内的密码策略，至少需要保证复杂度/长度的要求和定期更改。保证特权帐号（域/企业管理员和其他服务帐号）的密码安全。
至于普通用户的帐号，可以从客户端着手解决。
asherf@it-first.com.cn- 已标记为答案 Tom Zhang – MSFTMicrosoft contingent staff, Moderator 2010年10月19日 9:04
-
0你好，张工，我们公司的最近有些计算机安全日志上出现529和680错 误，这些计算机都是加入域，用域帐号登陆使用的。现在由于这些安全日志错误太多，导致安全日志已满，在登陆的时候提示安全日志已满无法登陆。需要管理员清 除安全日志才可以正常使用。这几天清了好几台计算机的安全日志了！请问这种情况有什么办法解决呢？我们清除完日志后，也没有发现其它的异常。
扫一扫
908
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
