Описание события Event ID 4912

Событие безопасности Event ID 4912 фиксируется подсистемой аудита Windows, когда администратор или автоматизированный сценарий изменяет параметры индивидуальной политики аудита (Per-User Audit Policy) для определенной учетной записи с помощью утилиты auditpol.exe или прямых вызовов API.

Ключевые поля события

• Target Account: Имя пользователя, для которого были изменены правила логирования.
• Changed Subcategories: Список подкатегорий аудита, параметры которых были скорректированы (например, Logon/Logoff, Object Access).
• Subject: Администратор, внесший изменения в конфигурацию.

Анализ и управление изменениями индивидуального аудита

1. Проверка текущего состояния политик целевого пользователя:
   Запросите статус всех категорий для указанного аккаунта:

   auditpol /get /user:"CORP\TargetUser" /category:*

2. Восстановление стандартных политик при несанкционированном изменении:
   Сбросьте все индивидуальные переопределения для учетной записи:

   auditpol /remove /user:"CORP\TargetUser"

3. Проверка системного журнала на наличие сопутствующих действий:
   Выполните поиск событий вызова утилиты auditpol через Process Creation (Event ID 4688):

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object { $_.Message -match "auditpol" }