Настройка windows auditing, для контроля аудита доступа к объектам, как сделать чтобы лишнего не было в security event?

Question

[Andrey San]

Добрый день,
1. На сервере включил audit object access
2. Во вкладке Аудит в свойствах указал all с опциями удаления, изменения и создания файлов в этой папке
3. Смотрю логи, там фиксируется и как бы все хорошо, но как сделать так чтобы evet с id 4656 не фиксировался? а так с таким темпом логи переполнятся за день.

Answer 1

[Slipeer]

Насколько вижу по скриншотам:
1) У Вас 2008 или новее
2) Вы включили категорию аудита "object access"

начиная с 2008 ввели подкатегории аудита (они у Вас в "Advanced Audit Policy Configuration")
Почитать можно здесь.
Настройте только необходимую Вам подкатегорию.

Answer 2

[Andrey San]

Спасибо, то что надо.
но возник еще вопрос, как отличать два лога? по каким параметрам?
1 это созданный файл лог
2 этот же документ изменен