На рабочем столе Windows 8.1 я вижу много таких сообщений от lsass.exe в журнале аудита программы просмотра событий:
An attempt was made to query the existence of a blank password for an account.
Subject:
Security ID: LOCAL SERVICE
Account Name: LOCAL SERVICE
Account Domain: NT AUTHORITY
Logon ID: 0x3E5
Additional Information:
Caller Workstation: PETTER
Target Account Name: Administrator
Target Account Domain: PETTER
Это происходит время от времени для нескольких разных имен целевых учетных записей, таких как « Administrator , « Guest , « HomeGroupUser$ и т.д. Это сообщение появляется через определенные промежутки времени, независимо от того, подключен ли я к Интернету или нет.
Чтобы убедиться в том, что за этим нет злонамеренных намерений, я провел проверку на вирусы с помощью Malwarebytes, Trend Micro и AVG, которые все были согласны с тем, что система на самом деле была чистой.
Затем я переустановил чистую систему; сообщения все еще появлялись через некоторое время.
Кажется, не имеет значения, подключена ли система к сети или нет; эти сообщения появляются даже при отключенном сетевом кабеле. (Возможно, это не так странно, учитывая, что он работает как S-1-5-19 "Местная служба".)
Как ни странно, в Интернете, кажется, есть много других, кто сталкивался с этой самой проблемой, но темы и вопросы там остаются без ответа.
Каково происхождение этих сообщений и почему постоянно проверяются пустые пароли?
Вот результат auditpol:
C:\WINDOWS\system32>auditpol /get /user:Administrator /category:*
No audit policy is defined for the user account.
C:\WINDOWS\system32>auditpol /get /category:*
System audit policy
Category/Subcategory Setting
System
Security System Extension No Auditing
System Integrity Success and Failure
IPsec Driver No Auditing
Other System Events Success and Failure
Security State Change Success
Logon/Logoff
Logon Success
Logoff Success
Account Lockout Success
IPsec Main Mode No Auditing
IPsec Quick Mode No Auditing
IPsec Extended Mode No Auditing
Special Logon Success
Other Logon/Logoff Events No Auditing
Network Policy Server Success and Failure
User / Device Claims No Auditing
Object Access
File System No Auditing
Registry No Auditing
Kernel Object No Auditing
SAM No Auditing
Certification Services No Auditing
Application Generated No Auditing
Handle Manipulation No Auditing
File Share No Auditing
Filtering Platform Packet Drop No Auditing
Filtering Platform Connection No Auditing
Other Object Access Events No Auditing
Detailed File Share No Auditing
Removable Storage No Auditing
Central Policy Staging No Auditing
Privilege Use
Non Sensitive Privilege Use No Auditing
Other Privilege Use Events No Auditing
Sensitive Privilege Use No Auditing
Detailed Tracking
Process Creation No Auditing
Process Termination No Auditing
DPAPI Activity No Auditing
RPC Events No Auditing
Policy Change
Authentication Policy Change Success
Authorization Policy Change No Auditing
MPSSVC Rule-Level Policy Change No Auditing
Filtering Platform Policy Change No Auditing
Other Policy Change Events No Auditing
Audit Policy Change Success
Account Management
User Account Management Success
Computer Account Management No Auditing
Security Group Management Success
Distribution Group Management No Auditing
Application Group Management No Auditing
Other Account Management Events No Auditing
DS Access
Directory Service Changes No Auditing
Directory Service Replication No Auditing
Detailed Directory Service Replication No Auditing
Directory Service Access No Auditing
Account Logon
Kerberos Service Ticket Operations No Auditing
Other Account Logon Events No Auditing
Kerberos Authentication Service No Auditing
Credential Validation No Auditing
