Visualiser les différentes listes

Vous obtenez les listes en double-cliquant sur une feuille de l'arbre du premier panneau ou avec le choix Afficher/Rafraîchir liste du menu contextuel:

• La liste des événements si vous double-cliquez sur un journal, une source ou une catégorie.
• La liste des sessions utilisateur si vous double-cliquez sur la feuille Sessions utilisateur.
• La liste des sessions en échec si vous double-cliquez sur la feuille Echec d'accès.
• La liste des impressions si vous double-cliquez sur la feuille Impressions.
• La liste des sessions RAS si vous double-cliquez sur la feuille Ras.

Vous pouvez arrêter la génération de la liste en cliquant dans le panneau contenant la liste.

Vous pouvez trier les colonnes en cliquant sur l'en-tête de la colonne. Vous pouvez trier en sens inverse en recliquant sur l'en-tête.

Vous pouvez obtenir des informations sur un élément de la liste en double-cliquant sur chaque ligne.

Vous pouvez imprimer la liste en cliquant sur le bouton ou visualiser un aperçu avec le bouton . La largeur des colonnes imprimées est proportionnelle à la largeur des colonnes visualisées.

Liste des événements

Pour chaque événement, vous pouvez visualiser les propriétés en double-cliquant sur la ligne

Vous obtenez une fenêtre avec trois onglets:

• Un pour les informations générales.
  
• Un pour les données en trois formats: octets, mots et ascii.
  
• Un pour les paramètres de la description.
  

Quelques champs particuliers

• Num : c'est le numéro d'ordre de l'événement dans le journal.
• Description : Si vous listez les événements d'un ordinateur distant, la description de l'événement est décodée sur cet ordinateur distant. Si le décodage échoue, la description est alors obtenue à partir de l'ordinateur local et l'indicateur local est ajouté au message. Vous n'aurez alors une description que si ce logiciel ou service est installé sur votre ordinateur.
• Paramètres : Ce sont des données spécifiques à cet événement (par exemple un code d'erreur) et qui complètent la description.
  J'ai remarqué que pour certains événements tous les paramètres ne sont pas exploités (par exemple le service de réglage de l'heure du service pack)

Liste des sessions utilisateur

Cette liste est générée à partir des événements 528, 540 et 538 du journal Sécurité, source sécurité, catégorie ouverture/fermeture de sessions.

Pour chaque session, vous pouvez visualiser les détails en double-cliquant sur la ligne

Quelques champs particuliers

• Utilisateur : Nom de l'utilisateur de la session.
  Ce nom est entre parenthèse si le champ utilisateur de l'événement est vide et donc c'est l'utilisateur qui a généré l'événement qui est listé.
• Processus d'ouverture de la session : en voici quelques exemples (je préfère laisser les libellés en anglais plutôt que les traduire incorrectement) :
  

  KSecDD	ksecdd.sys, the security device driver
  User32 ou WinLogon\MSGina	winlogon.exe & msgina.dll, the authentication user interface
  SCMgr	The Service Control Manager
  LAN Manager Workstation Service
  advapi	API call to LogonUser
  IIS	Internet Information Server
  NtLmSsp	NT LAN Manager Security Support Provider

• Lot d'authentification : Processus d'authentification. C'est en général MICROSOFT_AUTHENTICATION_PACKAGE_V1_0.
• Type de session :
  

  2	session interactive
  3	session réseau (net use, net view ou accès par un file manager)
  4	session Batch
  5	Service
  6	Proxy
  7	Unlock Workstation

• Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.

Liste des sessions en échec

Cette liste est générée à partir des événements de type audit des échecs du journal Sécurité, source sécurité, catégorie ouverture/fermeture de sessions.

Pour chaque session, vous pouvez visualiser les détails en double-cliquant sur la ligne.

Quelques champs particuliers

• Utilisateur : Nom de l'utilisateur de la session.
  Ce nom est entre parenthèse si le champ utilisateur de l'événement est vide et donc c'est l'utilisateur qui a généré l'événement qui est listé.
• Processus d'ouverture de la session : en voici quelques exemples (je préfère laisser les libellés en anglais plutôt que les traduire incorrectement) :
  

  KSecDD	ksecdd.sys, the security device driver
  User32 ou WinLogon\MSGina	winlogon.exe & msgina.dll, the authentication user interface
  SCMgr	The Service Control Manager
  LAN Manager Workstation Service
  advapi	API call to LogonUser
  IIS	Internet Information Server
  NtLmSsp	NT LAN Manager Security Support Provider

• Lot d'authentification : Processus d'authentification. C'est en général MICROSOFT_AUTHENTICATION_PACKAGE_V1_0.
• Type de session :
  

  2	session interactive
  3	session réseau (net use, net view ou acces par un file manager)
  4	session Batch
  5	Service
  6	Proxy
  7	Unlock Workstation

• Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.
• Raison : Raison de l'échec de la session.
  C'est en fait la description de l'événement, la raison étant au début de cette description.

Liste des sessions RAS

Cette liste est générée à partir des événements 20050 du journal Système, source RemoteAccess.

Pour chaque session, vous pouvez visualiser les détails en double-cliquant sur la ligne.

Quelques champs particuliers

• Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.

Liste des impressions

Cette liste est générée à partir des événements 10 du journal Système, source Print.

Pour chaque impression, vous pouvez visualiser les détails en double-cliquant sur la ligne.

Quelques champs particuliers

• Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.