4. Как журналы событий помогают в диагностике ошибок доступа?

Краткий ответ

Журнал событий — это упорядоченная запись того, что происходило в системе: когда, кто, к какому объекту обращался и чем всё закончилось. Ошибки доступа тоже попадают туда отдельными событиями с кодами. По ним видно учётную запись, время, компьютер и причину отказа, а по цепочке соседних записей — на каком этапе сломалось: проверка подлинности, проверка прав или сам доступ к объекту.

Как журнал помогает — по шагам

1. У всех записей одинаковый набор полей: журнал (Безопасность, Система, Приложение), дата и время, источник, код события, пользователь, компьютер, результат. Поэтому события можно фильтровать и сравнивать между собой.
2. Сначала находим событие об отказе в нужном промежутке времени (в «Просмотре событий» — фильтр по коду и пользователю).
3. Код события сразу подсказывает тип причины:
   • 4624 — успешный вход (эталон для сравнения);
   • 4625 — неудачный вход; в описании есть код причины: 0xC000006A — неверный пароль, 0xC0000234 — учётная запись заблокирована, 0xC0000072 — отключена, 0xC000006F — вход вне разрешённого времени;
   • 4656 и 4663 — отказ при обращении к файлу или объекту: не хватает прав NTFS;
   • 4670 — менялись разрешения на объект;
   • 4771 и 4776 — сбой проверки подлинности Kerberos или NTLM.
4. Смотрим записи до и после отказа. Если перед 4625 был 4771 — проблема в домене или билете; если сначала успешный 4624, а затем 4656 — пользователь вошёл, но у него нет прав на папку.
5. Сравниваем с успешным доступом другого пользователя: какие у него права, с какого компьютера он входит.
6. Делаем вывод и устраняем причину: сменить пароль, разблокировать учётную запись, выдать права, исправить политику.

Почему это надёжнее «на глаз»: журнал фиксирует факты с точным временем и не зависит от того, что помнит пользователь. По последовательности записей восстанавливается вся цепочка «кто → когда → куда → почему не пустило». В Linux принцип тот же: смотрите /var/log/auth.log или journalctl.

Для отчёта таблица ошибок может быть такой: время, журнал, код события, пользователь, объект или ресурс, результат, вероятная причина. Каждая строка — одно событие, вывод по нему — в последнем столбце.

Проверка: если в журнале есть 4625 с кодом 0xC000006A, значит, пароль неверный; если 4656 с текстом «Отказано в доступе», значит, пароль верный, но нет прав на объект. Код и текст события различают эти причины — в этом и состоит диагностика.

Вопрос 3 на фото обрезан справа, поэтому его условие видно не полностью. Пришлите кадр целиком — разберу и его.