Ошибка - Журнал безопасности переполнен

[Apock]

Стоит WinXP Pro SP2 на машине, входящей в домен. При загрузке в окне входа в систему над полями для ввода логина и пароля появилась надпись "Журнал безопасности для данной системы переполнен. Вход разрешён только администраторам". И вроде бы как всё работает(благо права админа имеются), но уж очень раздражает то, что есть какая-то проблема, а я не знаю что с ней делать.

Вот и интересно, какой журнал безопасности имеется ввиду? Локальный или на контроллере домена? И как эту проблему можно решить? Я уже отчистил все записи в Администрирование->Просмотр событий, но никакого эффекта это не дало.

[Blast]

Apock, но в журналах должны быть множественные ошибки или предупреждения, скорее всего одинаковые, они и переполняют журнал. Очистка журналов - это борьба со следствием, а нужно устранить причину.

[Blast]

Insomnia, вам не помешалобы дочитывать сообщения до конца
Цитата Apock:



Я уже отчистил все записи

Ошибка - Журнал безопасности переполнен

[Petya V4sechkin]

Apock, в просмотре событий на разделах Приложение, Безопасность, Система ткните правой кнопкой мыши и посмотрите Свойства (какой максимальный размер журнала, действие по достижении максимального размера).



Доменные политики тоже можете проверить, Конфигурация компьютера -> Конфигурация Windows -> Параметры безопасности -> Журнал событий.

[Apock]

Petya V4sechkin, залез я в эти свойства и там увидел следующее:

Максимальный размер журнала 512 Кб (оставил без изменений)

По достижении максимального размера затирать события старее 7 дней (изменил на "затирать по необходимости").

Так ничего и не понял, но проблема исчезла. Выходит что журнал забивается менее чем за неделю, раз не успевает его очищать.

Но в любом случае ошибки больше нет, поэтому считаю проблему решённой.

[Petya V4sechkin]

Apock, любопытно, что же его так забивает.

В принципе, некоторые события бывают довольно "объемные" (по размеру), например от источника DrWatson.

[Apock]

Тут вот какая ерунда в журнале безопасности:

Тип: Аудит успехов

Исчточник: Security

Категория: Доступ к объектам

И вот такое вот сообщение там появляется раз 10-15 в секунду, поочередно меняя только код события с 560 на 562 и обратно. Попробую разобраться.

[Petya V4sechkin]

Apock, Пуск -> Выполнить -> secpol.msc -> Локальные политики -> Политика аудита.

Нужен ли вам аудит?

[Apock]

По журналу безопасности видно, что он забивается в основном сообщениями Аудит успеха на доступ к объектам. В локальной политике есть две галочки на протоколирование успеха и отказа. Получается просто, что нужно отключить запись успехов. Но проблема такая. Компьютер входит в домен, у меня права администратора. Обе эти галочки недоступны и снять их не получается. Попросил администратора домена, чтоб он попробовал под своим логином - та же ерунда. Какие права нужны, чтоб сделать эти изменения? Или это в самой системе что-то закрыто?

[Petya V4sechkin]

Цитата Apock:



Попросил администратора домена, чтоб он попробовал под своим логином - та же ерунда.



Дык, доменные политики пусть смотрит.