Windowsin^(Windows) monen käyttäjän toiminnallisuuden ansiosta olemme pystyneet käyttämään sitä kätevästi julkisissa paikoissa, kuten kouluissa, korkeakouluissa, toimistoissa jne. Näissä paikoissa on yleensä järjestelmänvalvoja, joka pystyy seuraamaan siellä työskentelevien käyttäjien toimintaa. Joskus käyttäjät ylittävät rajoituksensa ja muokkaavat työryhmätilassa^(Workgroup) määritettyjä tilejä . Tällä voi olla turvallisuusvaikutuksia, ja siksi meidän tulisi määrittää Windows jäljittämään käyttäjien toimintaa.

Määrittämällä Windowsin^(Windows) valvomaan käyttäjien toimintaa, voimme lisätä hallinnon turvallisuutta ja myös rangaista uhreja käyttäjiä tarkkailemalla heidän rekisteriään rikoksen sattuessa. Tässä artikkelissa kerromme, kuinka voit seurata käyttäjien toimintoja Windows 11/10/8.1/8/7 tarkastuskäytännön avulla. Näin:

Seuraa käyttäjien toimintaa^{(Track User Activity)} tarkastuskäytännön avulla työryhmätilassa^{(WorkGroup Mode)}

1. Paina Windows Key + R -yhdistelmää, kirjoita put secpol.msc Suorita^(Run) -  valintaikkunaan ja paina Enter avataksesi paikallisen suojauskäytännön^{(Local Security Policy)} .

2. Laajenna ^(2.)Paikallinen suojauskäytäntö^{(Local Security Policy)} -ikkunassa Suojausasetukset^{(Security Settings)} > Paikalliset ^{(Local Policies)}käytännöt^{(Audit Policy)} > Valvontakäytäntö . Nyt sinun pitäisi saada ikkunasi tämän kaltaiseksi:

3. Oikeassa ruudussa näet 9 Tarkastus…[]-^(Audit…[]) käytäntöä, joiden Ei valvontaa^{(No auditing)} on ennalta määritetty^{(pre-defined)} suojausasetus. Napsauta yksitellen^{(Click one)} kaikkia käytäntöjä ja valitse Onnistuminen^(Success) ja epäonnistuminen^(Failure) , napsauta Käytä^{( Apply)} ja sitten OK kunkin käytännön kohdalla.

Tällä tavalla olemme määrittäneet Windowsin^(Windows) jäljittämään käyttäjien toimintaa.

Noudata näitä ohjeita saadaksesi jäljitetyt tietueet:

Seuraa käyttäjän toimintaa tapahtumienvalvontasovelluksella^{(Trace User Activity Using Event Viewer)}

1. Paina Windows Key + R - yhdistelmää, kirjoita put  eventvwr Suorita^(Run) -  valintaikkunaan ja paina Enter avataksesi Tapahtuman katseluohjelman^{(Event Viewer)} .

2. Valitse nyt Event Viewe r -ikkunan vasemmasta ruudusta Windowsin lokit^{(Windows Logs)} > Suojaus^(Security) . Täällä Windows pitää kirjaa kaikista tietoturvaan liittyvistä tapahtumista.

3. Napsauta mitä tahansa tapahtumaa keskiruudusta saadaksesi sen tiedot:

Tässä on nyt luettelo tapahtumatunnuksista, joka^(IDs) kattaa käyttäjien toiminnot työryhmätilassa:

1. Luo käyttäjä:^{(Create User:)} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan lokiin, kun käyttäjä luodaan.

• Tapahtuman tunnus:^{(Event ID: )} 4728 | Tyyppi:^{(Type: )} Tarkastuksen menestys | Luokka:^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Jäsen lisättiin suojausta tukevaan maailmanlaajuiseen ryhmään.

• Tapahtuman tunnus:^{(Event ID: )} 4720 | Tyyppi:^{(Type: )} Tarkastuksen menestys | Luokka:^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili luotiin.

• Tapahtuman tunnus:^{(Event ID: )} 4722 | Tyyppi:^{(Type: )} Tarkastuksen menestys | Luokka:^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili otettiin käyttöön.

• Tapahtuman tunnus:^{(Event ID: )} 4738 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka:^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili muutettiin.

• Tapahtuman tunnus:^{(Event ID: )} 4732 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Jäsen lisättiin paikalliseen ryhmään, jossa suojaus on käytössä.

2. Poista käyttäjä:^{(Delete User: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan, kun käyttäjä poistetaan.

• Tapahtuman tunnus:^{(Event ID: )} 4733 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Jäsen poistettiin paikallisesta ryhmästä, jossa suojaus on käytössä.

• Tapahtuman tunnus:^{(Event ID: )} 4729 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Jäsen lisättiin suojausta tukevaan maailmanlaajuiseen ryhmään.

• Tapahtuman tunnus:^{(Event ID: )} 4726 | Tyyppi:^{( Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili poistettiin.

3. Käyttäjätili pois käytöstä:^{(User Account Disabled: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan, kun käyttäjä poistetaan käytöstä.

• Tapahtuman tunnus:^{(Event ID: )} 4725 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili poistettiin käytöstä.

• Tapahtuman tunnus:^{(Event ID: )} 4738 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili muutettiin.

4. Käyttäjätili käytössä:^{(User Account Enabled: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan, kun käyttäjä on käytössä.

• Tapahtuman tunnus:^{(Event ID: )} 4722 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili otettiin käyttöön.

• Tapahtuman tunnus:^{(Event ID: )} 4738 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili muutettiin.

5. Käyttäjätilin salasanan palautus:^{(User Account Password Reset: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan, kun käyttäjätilin salasana^{(User Account Password)} nollataan.

• Tapahtuman tunnus:^{(Event ID: )} 4738 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili muutettiin.

• Tapahtuman tunnus:^{(Event ID: )} 4724 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Tilin salasana yritettiin nollata.

6. Käyttäjätilin profiilipolku: ^{(User Account Profile Path Set: )}Alla^(Below) on tapahtumatunnus^{(Event ID)} , joka kirjataan, kun profiilipolku^{(Profile Path)} asetetaan käyttäjätilille.

• Tapahtuman tunnus:^{(Event ID: )} 4738 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili muutettiin.

7. Käyttäjätilin nimeäminen uudelleen:^{(User Account Rename: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan, kun käyttäjätili^{(User Account)} nimetään uudelleen.

•  Tapahtuman tunnus:^{(Event ID: )} 4781 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Tilin nimi muutettiin.

• Tapahtuman tunnus:^{(Event ID: )} 4738 | Type: Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Käyttäjätili muutettiin.

8. Luo paikallinen ryhmä:^{(Create Local Group: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan lokiin, kun paikallinen ryhmä^{(Local Group)} luodaan.

• Tapahtuman tunnus:^{(Event ID: )} 4731 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Suojattu paikallinen ryhmä luotiin

• Tapahtuman tunnus:^{(Event ID: )} 4735 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Suojattu paikallinen ryhmä muutettiin

9. Lisää käyttäjä paikalliseen ryhmään: ^{(Add User to Local Group: )}Alla^(Below) on tapahtumatunnus^{(Event ID)} , joka kirjataan lokiin, kun käyttäjä lisätään paikalliseen^(Local) ryhmään.

• Tapahtuman tunnus:^{(Event ID: )} 4732 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Jäsen lisättiin paikalliseen ryhmään, jossa suojaus on käytössä

10. Poista käyttäjä paikallisesta ryhmästä: ^{(Remove User from Local Group: )}Alla^(Below) on  tapahtumatunnus^{(Event ID)} , joka kirjataan lokiin, kun käyttäjä poistetaan paikallisesta^(Local) ryhmästä.

• Tapahtuman tunnus:^{(Event ID: )} 4733 | Tyyppi:^(Type:) Menestyksen tarkastus | Luokka:^(Category:)  Turvallisuusryhmän hallinta | Kuvaus:^{(Description:)} Jäsen poistettiin paikallisesta ryhmästä, jossa suojaus on käytössä

11. Poista paikallinen ryhmä: ^{(Delete Local Group: )}Alla^(Below) on tapahtumatunnus^{(Event ID)} , joka kirjataan lokiin, kun paikallinen ryhmä^{(Local Group)} poistetaan.

• Tapahtuman tunnus:^{(Event ID: )} 4734 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Suojattu paikallinen ryhmä poistettiin

12. Nimeä paikallinen ryhmä uudelleen:^{(Rename Local Group: )} Alla on tapahtumatunnukset^{(Event IDs)} , jotka kirjataan lokiin, kun paikallinen ryhmä^{(Local Group)} nimetään uudelleen.

• Tapahtuman tunnus:^{(Event ID: )} 4781 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Käyttäjätilien hallinta | Kuvaus:^{(Description: )} Tilin nimi muutettiin

• Tapahtuman tunnus:^{(Event ID: )} 4735 | Tyyppi:^{(Type: )} Menestyksen tarkastus | Luokka: ^{(Category: )} Turvallisuusryhmän hallinta | Kuvaus:^{(Description: )} Suojattu paikallinen ryhmä muutettiin

Tällä tavalla voit jäljittää käyttäjiä heidän toimissaan. Tämä artikkeli koskee Windows 11/10/8.1 -käyttöjärjestelmää työryhmätilassa^{(Workgroup Mode)} . Active Directory Domainin^{(Directory Domain)} tapauksessa menettely on erilainen.

How to track User Activity in WorkGroup Mode on Windows 11/10

Mυlti-user functionality in Windows has enabled us to use it conveniently in public places like schools, colleges, offices, etc. At these places, there is generally an administrator, who manages to keep an eye on the activities of users working therein. Sometimes, users go beyond their limits and modify accounts configured in Workgroup mode. This can have security repercussions, and thus we should configure Windows to track down user activities.

By configuring Windows for monitoring user activities, we can increase the security of the administration and can also punish the victim users by observing their records in case of an offense. In this article, we’ll tell you the way to track user activities in Windows 11/10/8.1/8/7 using Audit Policy. Here is how:

Track User Activity using Audit Policy in WorkGroup Mode

1. Press Windows Key + R combination, type put secpol.msc in Run dialog box and hit Enter to open the Local Security Policy.

2. In the Local Security Policy window, expand Security Settings > Local Policies > Audit Policy. Now you should get your window resembled with this one:

3. In the right pane, you can see 9 Audit…[] policies have No auditing as pre-defined security setting. Click one by one all the policies and make the selection to Success and Failure, click Apply followed by OK for each policy.

In this way, we will have configured Windows to track down user activity.

Follow these steps to get the traced records:

Trace User Activity Using Event Viewer

1. Press Windows Key + R combination, type put eventvwr in Run dialog box and hit Enter to open the Event Viewer.

2. Now, in the Event Viewer window, from the left pane, select Windows Logs > Security. Here Windows keeps a record of every event concerning security.

3. From the center pane, click any event to get its info:

Now, here is the list of the event IDs which covers the user activities for the accounts in the workgroup mode:

1. Create User: Below are the Event IDs that get logged when the user is created.

• Event ID: 4728 | Type: Audit Success | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4720 | Type: Audit Success | Category: User Account Management | Description: A User account was created.

• Event ID: 4722 | Type: Audit Success | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group.

2. Delete User: Below are the Event IDs that get logged when the user is deleted.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group.

• Event ID: 4729 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4726 | Type: Success Audit | Category: User Account Management | Description: A User account was deleted.

3. User Account Disabled: Below are the Event IDs that get logged when the user is disabled.

• Event ID: 4725 | Type: Success Audit | Category: User Account Management | Description: A User account was disabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

4. User Account Enabled: Below are the Event IDs that get logged when the user is enabled.

• Event ID: 4722 | Type: Success Audit | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

5. User Account Password Reset: Below are the Event IDs that get logged when the User Account Password gets reset.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4724 | Type: Success Audit | Category: User Account Management | Description: An attempt was made to reset an account’s password.

6. User Account Profile Path Set: Below is the Event ID that gets logged when Profile Path gets set for a user account.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

7. User Account Rename: Below are the Event IDs that get logged when the User Account is renamed.

•  Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: The name of an account was changed.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User Account was changed.

8. Create Local Group: Below are the Event IDs that get logged when the Local Group is created.

• Event ID: 4731 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was created

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

9. Add User to Local Group: Below is the Event ID that gets logged when the user gets added to the Local group.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group

10. Remove User from Local Group: Below is the Event ID that gets logged when the user is removed from the Local group.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group

11. Delete Local Group: Below is the Event ID that gets logged when the Local Group is deleted.

• Event ID: 4734 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was deleted

12. Rename Local Group: Below are the Event IDs that get logged when the Local Group is renamed.

• Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: A name of an account was changed

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

In this way, you can trace users with their activities. This article is applicable for Windows 11/10/8.1 in Workgroup Mode. For Active Directory Domain, the procedure will be different.

Related posts

• Poista vanhat käyttäjäprofiilit ja tiedostot automaattisesti Windows 11/10:ssä

• Ryhmäkäytäntöeditorin lisääminen Windows 11/10 Home Editioniin

• Kuinka ottaa Win32 pitkät polut käyttöön tai poistaa ne käytöstä Windows 11/10:ssä

• Kuvan salasanan kirjautumisvaihtoehdon poistaminen käytöstä Windows 11/10:ssä

• Kuinka määrittää PIN-koodin vähimmäis- ja enimmäispituus Windows 11/10:ssä

• Luo työpöydän pikakuvake vaihtaa käyttäjätilejä Windows 11/10:ssä

• Kuinka määrittää määräaika ennen automaattista uudelleenkäynnistystä päivityksen asennukselle

• Luo paikallisen järjestelmänvalvojan tili Windows 11/10:ssä CMD:n avulla

• Kuinka ottaa Windows Installer -kirjaus käyttöön Windows 10:ssä

• Ryhmäkäytäntöasetusten viiteopas Windows 10:lle

• Verkkoaseman yhdistäminen ryhmäkäytännöllä Windows 11/10:ssä

• Voitko asentaa Windows-päivitykset vikasietotilassa Windows 11/10:ssä?

• Poista viimeisimmät hakumerkinnät käytöstä Resurssienhallinnassa Windows 11/10:ssä

• Kuinka ottaa käyttöön tai poistaa käytöstä tai sovellusten eristäminen Windows 10:ssä

• Ota koko näytön aloitusvalikko käyttöön Windowsin ryhmäkäytännön tai rekisterin avulla

• Paikallisen käyttäjätilin luominen PowerShellin avulla Windows 11/10:ssä

• Virhe, kun avaat paikallisen ryhmäkäytäntöeditorin Windows 11/10:ssä

• Ryhmäkäytännön rekisterin sijainti Windows 11/10:ssä

• Kerrostetun ryhmäkäytännön soveltaminen Windows 11/10:ssä

• Varmuuskopioi/palauta tai tuo/vie ryhmäkäytäntöasetukset Windows 11/10:ssä