Como impedir actividades auditáveis ao registo de segurança está cheio

Uma vez que o registo de segurança é limitado em tamanho e uma vez que um grande número de registos de auditoria rotina pode tornar difícil localizar registos que sugerem um problema de segurança, deve cuidadosamente como auditar o acesso de objecto. Gerar demasiados registos de auditoria requerem a rever e limpar o registo de segurança com mais frequência é prático.

Aviso: A utilização incorrecta do Editor de registo pode causar problemas sérios, todo o sistema que poderão forçar a reinstalação do Windows NT. Microsoft não garante que os problemas resultantes da utilização do Editor de registo podem ser resolvidos. Utilize esta ferramenta por sua conta e risco.

Se tiver definido o registo de segurança para "Substituir eventos antigos de n dias" ou "não substituir eventos (limpar registo manualmente)", poderá pretender impedir actividades auditáveis enquanto o registo estiver cheio, de modo não novos registos de auditoria podem ser escritos. Para efectuar este procedimento:

1. Execute o Editor de registo (Regedt32.exe).
2. A partir da subárvore HKEY_LOCAL_MACHINE\SYSTEM, vá para a seguinte chave:
   
   \CurrentControlSet\Control\Lsa\
3. Adicione a entrada:
   
   Chave: CrashOnAuditFail
   Tipo: REG_DWORD
   Valor: 1
4. Guarde as alterações. A alteração terá efeito da próxima vez que o computador for iniciado. Actualize o disco de reparação de emergência para reflectir estas alterações.

Se o Windows NT parar como consequência do registo de segurança ficar cheio, o sistema tem de ser reiniciado e reconfigurado para restaurar segurança de nível alto. Quando reiniciar o Windows NT, o registo de segurança está cheio e por isso, não Acções auditáveis são registadas até o registo de segurança está desmarcado.

Para recuperar quando o windows nt pára porque não é possível gerar um registo de eventos de auditoria:

1. Reinicie o computador e inicie sessão utilizando uma conta no grupo Administradores grupo.
2. Utilize o Visualizador de eventos para eliminar todos os eventos do registo de segurança, arquivar os eventos registados actualmente. Para obter detalhes, consulte o capítulo "Visualizador de eventos" no Windows NT Workstation ou Windows NT Server System Guide.
3. Utilize o Editor de registo para eliminar e substituir a entrada de valor CrashOnAuditFail, com dados escreva REG_DWORD e valor de 1 em HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa (tal como descrito acima).
4. Saia e reinicie o computador.

NOTA: Se o registo de segurança atingir é limitação de tamanho e faz com que uma paragem do sistema, em seguida, o valor de registo CrashOnAuditFail é automaticamente alterado de "0 x 1" para "0 x 2" para permitir o início de sessão administrativo para o efeito ao sistema. O valor CrashOnAuditFail tem, em seguida, ser manualmente reposto para 0 x 1 depois do registo de eventos de segurança está desmarcado.