⑴三、目录服务访问事件
⑵下面显示了由"审核目录服务访问"安全模板设置所生成的安全事件。
⑶：发生了一般对象操作。
⑷四、登录事件ID
⑸：用户成功登录到计算机。
⑹：登录失败。试图使用未知的用户名或已知用户名但错误密码进行登录。
⑺：登录失败。试图在允许的时间外登录。
⑻：登录失败。试图使用禁用的帐户登录。
⑼：登录失败。试图使用已过期的帐户登录。
⑽：登录失败。不允许登录到指定计算机的用户试图登录。
⑾：登录失败。用户试图使用不允许的密码类型登录。
⑿：登录失败。指定帐户的密码已过期。
⒀：登录失败。 Logon 服务没有启动。
⒁：登录失败。由于其他原因登录尝试失败。
⒂在某些情况下，登录失败的原因可能是未知的。
⒃：用户的注销过程已完成。
⒄：登录失败。试图登录时，该帐户已锁定。
⒅：用户成功登录到网络。
⒆：本地计算机与列出的对等客户端身份(已建立安全关联)之间的主要模式 Inter 密钥交换 (IKE) 身份验证已完成，或者快速模式已建立了数据频道。
⒇：数据频道已终止。
⒈：主要模式已终止。
⒉如果安全关联的时间限制(默认为 小时)过期、策略更改或对等终止，则会发生此情况。
⒊：由于对等客户端没有提供有效的证书或者签名无效，造成主要模式身份验证失败。
⒋：由于 Kerberos 失败或者密码无效，造成主要模式身份验证失败。
⒌：由于对等客户端发送的建议无效，造成 IKE 安全关联建立失败。接收到的程序包包含无效数据。
⒍：在 IKE 握手过程中，出现错误。
⒎：登录失败。来自信任域的安全标识符 (SID) 与客户端的帐户域 SID 不匹配。
⒏：登录失败。在林内进行身份验证时，所有与不受信任的名称空间相关的 SID 将被筛选出去。
⒐：可以用来指示可能的拒绝服务 (DoS) 攻击的通知消息。
⒑：用户已启动注销过程。
⒒：用户使用明确凭据成功登录到作为其他用户已登录到的计算机。
⒓：用户已重新连接至已断开的终端服务器会话。
⒔：用户还未注销就断开终端服务器会话。注意：当用户通过网络连接到终端服务器会话时，就会生成此事件。该事件出现在终端服务器上。
⒕五、对象访问事件
⒖下面显示了由"审核对象访问"安全模板设置所生成的安全事件。
⒗：访问权限已授予现有的对象。
⒘：指向对象的句柄已关闭。
⒙：试图打开一个对象并打算将其删除。
⒚当在 Createfile() 中指定了 FILE_DELETE_ON_CLOSE 标记时，此事件可以用于文件系统。
⒛：受保护对象已删除。
①：访问权限已授予现有的对象类型。
②：使用了与句柄关联的权限。
③创建句柄时，已授予其具体权限，如读取、写入等。使用句柄时，最多为每个使用的权限生成一个审核。
④：试图创建与正在审核的文件的硬链接。
⑤：授权管理器中的资源管理器试图创建客户端上下文。
⑥：客户端试图访问对象。
⑦在此对象上发生的每个尝试操作都将生成一个事件。
⑧：客户端上下文由授权管理器应用程序删除。
⑨：Administrator Manager(管理员管理器)初始化此应用程序。
⑩：证书管理器已拒绝挂起的证书申请。
Ⅰ：证书服务已收到重新提交的证书申请。
Ⅱ：证书服务已吊销证书。
Ⅲ：证书服务已收到发行证书吊销列表 (CRL) 的请求。
Ⅳ：证书服务已发行 CRL。
Ⅴ：已制定证书申请扩展。
Ⅵ：已更改多个证书申请属性。
Ⅶ：证书服务已收到关机请求。
Ⅷ：已开始证书服务备份。
Ⅸ：已完成证书服务备份。
Ⅹ：已开始证书服务还原。
㈠：已完成证书服务还原。
㈡：证书服务已开始。
㈢：证书服务已停止。
㈣：已更改证书服务的安全权限。
㈤：证书服务已检索存档密钥。
㈥：证书服务已将证书导入其数据库中。
㈦：证书服务审核筛选已更改。
㈧：证书服务已收到证书申请。
㈨：证书服务已批准证书申请并已颁发证书。
㈩：证书服务已拒绝证书申请。
：证书服务将证书申请状态设为挂起。
：证书服务的证书管理器设置已更改。
：证书服务中的配置项已更改。
：证书服务的属性已更改。
：证书服务已将密钥存档。
：证书服务导入密钥并将其存档。
：证书服务已将证书颁发机构 (CA) 证书发行到 Microsoft Active Directory? 目录服务。
：已从证书数据库删除一行或多行。
：角色分离已启用。