Višekorisnička funkcionalnost u sustavu Windows^(Windows) nam je omogućila da ga praktično koristimo na javnim mjestima kao što su škole, fakulteti, uredi itd. Na tim mjestima uglavnom postoji administrator, koji uspijeva pratiti aktivnosti korisnika koji tamo rade. Ponekad korisnici prelaze svoja ograničenja i mijenjaju račune konfigurirane u načinu rada radne grupe^(Workgroup) . To može imati sigurnosne posljedice i stoga bismo trebali konfigurirati Windows da prati aktivnosti korisnika.

Konfiguracijom sustava Windows^(Windows) za praćenje aktivnosti korisnika možemo povećati sigurnost administracije, a možemo i kazniti korisnike žrtve praćenjem njihove evidencije u slučaju prekršaja. U ovom članku ćemo vam reći način praćenja aktivnosti korisnika u Windows 11/10/8.1/8/7 pomoću pravila revizije. Evo kako:

Pratite korisničku aktivnost^{(Track User Activity)} pomoću pravila revizije u načinu rada radne grupe^{(WorkGroup Mode)}

1. Pritisnite kombinaciju Windows Key + R , upišite put secpol.msc u  dijaloški okvir Pokreni i pritisnite ^(Run)Enter za otvaranje Lokalne sigurnosne politike^{(Local Security Policy)} .

2. U prozoru Lokalna sigurnosna politika^{(Local Security Policy)} proširite Sigurnosne postavke^{(Security Settings)} > Lokalna pravila^{(Local Policies)} > Politika revizije^{(Audit Policy)} . Sada bi vaš prozor trebao izgledati kao ovaj:

3. U desnom oknu možete vidjeti 9 Revizija…[]^(Audit…[]) pravila nemaju reviziju^{(No auditing)} kao unaprijed definiranu^{(pre-defined)} sigurnosnu postavku. Kliknite jedno^{(Click one)} po jedno sva pravila i odaberite Uspjeh^(Success) i neuspjeh^(Failure) , kliknite Primijeni^{( Apply)} , a zatim U redu^(OK) za svako pravilo.

Na taj ćemo način konfigurirati Windows za praćenje aktivnosti korisnika.

Slijedite ove korake da biste dobili praćene zapise:

Praćenje aktivnosti korisnika pomoću preglednika događaja^{(Trace User Activity Using Event Viewer)}

1. Pritisnite kombinaciju Windows Key + R , upišite put  eventvwr u  dijaloški okvir Pokreni i pritisnite ^(Run)Enter da otvorite preglednik događaja^{(Event Viewer)} .

2. Sada, u prozoru Event Viewe r, s lijevog okna odaberite Windows zapisi^{(Windows Logs)} > Sigurnost^(Security) . Ovdje Windows vodi evidenciju o svakom događaju koji se tiče sigurnosti.

3. U središnjem oknu kliknite bilo koji događaj da biste dobili informacije o njemu:

Sada, ovdje je popis ID^(IDs) -ova događaja koji pokriva aktivnosti korisnika za račune u načinu rada radne grupe:

1. Kreiraj korisnika:^{(Create User:)} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada se korisnik kreira.

• ID događaja:^{(Event ID: )} 4728 | Vrsta:^{(Type: )} Uspješna revizija | Kategorija:^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} član je dodan globalnoj grupi s omogućenom sigurnošću.

• ID događaja:^{(Event ID: )} 4720 | Vrsta:^{(Type: )} Uspješna revizija | Kategorija:^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} Stvoren je korisnički račun.

• ID događaja:^{(Event ID: )} 4722 | Vrsta:^{(Type: )} Uspješna revizija | Kategorija:^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} Omogućen je korisnički račun.

• ID događaja:^{(Event ID: )} 4738 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija:^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je promijenjen.

• ID događaja:^{(Event ID: )} 4732 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} Član je dodan lokalnoj grupi s omogućenom sigurnošću.

2. Izbriši korisnika:^{(Delete User: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada se korisnik izbriše.

• ID događaja:^{(Event ID: )} 4733 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} član je uklonjen iz lokalne grupe s omogućenom sigurnošću.

• ID događaja:^{(Event ID: )} 4729 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} član je dodan globalnoj grupi s omogućenom sigurnošću.

• ID događaja:^{(Event ID: )} 4726 | Vrsta:^{( Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je obrisan.

3. Korisnički račun onemogućen:^{(User Account Disabled: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada je korisnik onemogućen.

• ID događaja:^{(Event ID: )} 4725 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je onemogućen.

• ID događaja:^{(Event ID: )} 4738 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je promijenjen.

4. Omogućen korisnički račun:^{(User Account Enabled: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada je korisnik omogućen.

• ID događaja:^{(Event ID: )} 4722 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} Omogućen je korisnički račun.

• ID događaja:^{(Event ID: )} 4738 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je promijenjen.

5. Poništavanje lozinke korisničkog računa:^{(User Account Password Reset: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada se lozinka korisničkog računa^{(User Account Password)} poništi.

• ID događaja:^{(Event ID: )} 4738 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je promijenjen.

• ID događaja:^{(Event ID: )} 4724 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} Pokušano je poništiti lozinku računa.

6. Postavljen put profila korisničkog računa: ^{(User Account Profile Path Set: )}Ispod^(Below) je ID događaja^{(Event ID)} koji se bilježi kada se put profila^{(Profile Path)} postavi za korisnički račun.

• ID događaja:^{(Event ID: )} 4738 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je promijenjen.

7. Preimenovanje korisničkog računa:^{(User Account Rename: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada se korisnički račun^{(User Account)} preimenuje.

•  ID događaja:^{(Event ID: )} 4781 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} Ime računa je promijenjeno.

• ID događaja:^{(Event ID: )} 4738 | Type: Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} korisnički račun je promijenjen.

8. Kreirajte lokalnu grupu:^{(Create Local Group: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada se kreira lokalna grupa .^{(Local Group)}

• ID događaja:^{(Event ID: )} 4731 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} Stvorena je lokalna grupa sa omogućenom sigurnošću

• ID događaja:^{(Event ID: )} 4735 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} promijenjena je lokalna grupa s omogućenom sigurnošću

9. Dodaj korisnika lokalnoj grupi: ^{(Add User to Local Group: )}Ispod^(Below) je ID događaja^{(Event ID)} koji se bilježi kada se korisnik doda u lokalnu^(Local) grupu.

• ID događaja:^{(Event ID: )} 4732 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} Član je dodan lokalnoj grupi s omogućenom sigurnošću

10. Ukloni korisnika iz lokalne grupe: ^{(Remove User from Local Group: )}Ispod^(Below) je  ID događaja^{(Event ID)} koji se bilježi kada se korisnik ukloni iz lokalne^(Local) grupe.

• ID događaja:^{(Event ID: )} 4733 | Vrsta:^(Type:) Revizija uspjeha | Kategorija:^(Category:)  Upravljanje sigurnosnim grupama | Opis:^{(Description:)} član je uklonjen iz lokalne grupe s omogućenom sigurnošću

11. Izbriši lokalnu grupu: ^{(Delete Local Group: )}Ispod^(Below) je ID događaja^{(Event ID)} koji se bilježi kada se obriše lokalna grupa .^{(Local Group)}

• ID događaja:^{(Event ID: )} 4734 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} Izbrisana je lokalna grupa sa omogućenom sigurnošću

12. Preimenujte lokalnu grupu:^{(Rename Local Group: )} Ispod su ID-ovi događaja^{(Event IDs)} koji se bilježe kada se lokalna grupa^{(Local Group)} preimenuje.

• ID događaja:^{(Event ID: )} 4781 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje korisničkim računom | Opis:^{(Description: )} Ime računa je promijenjeno

• ID događaja:^{(Event ID: )} 4735 | Vrsta:^{(Type: )} Revizija uspjeha | Kategorija: ^{(Category: )} Upravljanje sigurnosnim grupama | Opis:^{(Description: )} promijenjena je lokalna grupa s omogućenom sigurnošću

Na taj način možete pratiti korisnike s njihovim aktivnostima. Ovaj je članak primjenjiv za Windows 11/10/8.1 u načinu rada radne grupe^{(Workgroup Mode)} . Za domenu Active Directory^{(Directory Domain)} , postupak će biti drugačiji.

How to track User Activity in WorkGroup Mode on Windows 11/10

Multi-user functionality in Windows has enabled us to use it conveniently in public places like schools, colleges, offices, etc. At these places, there is generally an administrator, who manages to keep an eye on the activities of users working therein. Sometimes, users go beyond their limits and modify accounts configured in Workgroup mode. This can have security repercussions, and thus we should configure Windows to track down user activities.

By configuring Windows for monitoring user activities, we can increase the security of the administration and can also punish the victim users by observing their records in case of an offense. In this article, we’ll tell you the way to track user activities in Windows 11/10/8.1/8/7 using Audit Policy. Here is how:

Track User Activity using Audit Policy in WorkGroup Mode

1. Press Windows Key + R combination, type put secpol.msc in Run dialog box and hit Enter to open the Local Security Policy.

2. In the Local Security Policy window, expand Security Settings > Local Policies > Audit Policy. Now you should get your window resembled with this one:

3. In the right pane, you can see 9 Audit…[] policies have No auditing as pre-defined security setting. Click one by one all the policies and make the selection to Success and Failure, click Apply followed by OK for each policy.

In this way, we will have configured Windows to track down user activity.

Follow these steps to get the traced records:

Trace User Activity Using Event Viewer

1. Press Windows Key + R combination, type put eventvwr in Run dialog box and hit Enter to open the Event Viewer.

2. Now, in the Event Viewer window, from the left pane, select Windows Logs > Security. Here Windows keeps a record of every event concerning security.

3. From the center pane, click any event to get its info:

Now, here is the list of the event IDs which covers the user activities for the accounts in the workgroup mode:

1. Create User: Below are the Event IDs that get logged when the user is created.

• Event ID: 4728 | Type: Audit Success | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4720 | Type: Audit Success | Category: User Account Management | Description: A User account was created.

• Event ID: 4722 | Type: Audit Success | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group.

2. Delete User: Below are the Event IDs that get logged when the user is deleted.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group.

• Event ID: 4729 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4726 | Type: Success Audit | Category: User Account Management | Description: A User account was deleted.

3. User Account Disabled: Below are the Event IDs that get logged when the user is disabled.

• Event ID: 4725 | Type: Success Audit | Category: User Account Management | Description: A User account was disabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

4. User Account Enabled: Below are the Event IDs that get logged when the user is enabled.

• Event ID: 4722 | Type: Success Audit | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

5. User Account Password Reset: Below are the Event IDs that get logged when the User Account Password gets reset.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4724 | Type: Success Audit | Category: User Account Management | Description: An attempt was made to reset an account’s password.

6. User Account Profile Path Set: Below is the Event ID that gets logged when Profile Path gets set for a user account.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

7. User Account Rename: Below are the Event IDs that get logged when the User Account is renamed.

•  Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: The name of an account was changed.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User Account was changed.

8. Create Local Group: Below are the Event IDs that get logged when the Local Group is created.

• Event ID: 4731 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was created

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

9. Add User to Local Group: Below is the Event ID that gets logged when the user gets added to the Local group.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group

10. Remove User from Local Group: Below is the Event ID that gets logged when the user is removed from the Local group.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group

11. Delete Local Group: Below is the Event ID that gets logged when the Local Group is deleted.

• Event ID: 4734 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was deleted

12. Rename Local Group: Below are the Event IDs that get logged when the Local Group is renamed.

• Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: A name of an account was changed

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

In this way, you can trace users with their activities. This article is applicable for Windows 11/10/8.1 in Workgroup Mode. For Active Directory Domain, the procedure will be different.

Related posts

• Automatski izbrišite stare korisničke profile i datoteke u sustavu Windows 11/10

• Kako dodati uređivač grupnih pravila u Windows 11/10 Home Edition

• Kako omogućiti ili onemogućiti Win32 duge staze u sustavu Windows 11/10

• Kako onemogućiti opciju prijave zaporkom slike u sustavu Windows 11/10

• Kako odrediti minimalnu i maksimalnu duljinu PIN-a u sustavu Windows 11/10

• Kako omogućiti prijavu programa Windows Installer u sustavu Windows 10

• Kako provjeriti grupna pravila primijenjena na računalu sa sustavom Windows 10

• Grupna pravila u pozadini radne površine ne primjenjuju se u sustavu Windows 11/10

• Windows PC ne spava; Način mirovanja ne radi u sustavu Windows 11/10

• Kako isključiti ili uključiti način rada u zrakoplovu u sustavu Windows 11/10

• Preusmjerite web-mjesta iz IE-a na Microsoft Edge pomoću pravila grupe u sustavu Windows 10

• Kako vratiti izbrisani profil korisničkog računa u sustavu Windows 11/10

• Kako primijeniti slojevita pravila grupe u sustavu Windows 11/10

• Promjena maksimalne starosti predmemorije za optimizaciju isporuke Windows Update

• Kako instalirati uređivač grupnih pravila (gpedit.msc)

• Isključite prikaz nedavnih unosa pretraživanja u File Exploreru u sustavu Windows 11/10

• Postavite zadanu sliku za prijavu korisnika za sve korisnike u sustavu Windows 11/10

• Pristupite lokalnom upravljanju korisnicima i grupama u sustavu Windows 11/10 Home

• Kako spriječiti korisnike da brišu dijagnostičke podatke u sustavu Windows 11/10

• Spriječite korisnike da mijenjaju datum i vrijeme u sustavu Windows 11/10