Os eventos de auditoria avançada do Microsoft Windows não aparecem no Visualizador de Eventos

Olá Andre Jesus

Parece que o primeiro passo é confirmar se as definições de auditoria que configurou são realmente as que estão a ser aplicadas ao sistema. Eu normalmente começo por executar auditpol /get /category:* para validar as subcategorias ativas e confirmar que os eventos esperados estão definidos como Success, Failure ou ambos. Também recomendo verificar o resultado de gpresult /h para identificar possíveis conflitos de GPO que possam estar a substituir as configurações pretendidas.

Outro ponto que vale a pena analisar é o tamanho e a política de retenção do registo de Segurança no Visualizador de Eventos. Se o log estiver cheio ou configurado para substituir eventos rapidamente, alguns registos podem desaparecer antes de serem analisados. Além disso, confirme se a política "Audit: Force audit policy subcategory settings" está ativada, uma vez que ela garante que as configurações avançadas de auditoria tenham prioridade sobre as definições legadas.

Se tudo parecer correto mas os eventos continuarem sem aparecer, consulte os logs de Microsoft-Windows-GroupPolicy/Operational e Security para procurar erros relacionados com a aplicação das políticas. Na maioria dos casos, o problema acaba por estar relacionado com uma subcategoria desativada, um conflito de GPO ou uma configuração de retenção do log.

Se esta resposta foi útil, por favor clique em "Accept Answer" para ajudar outras pessoas que possam encontrar o mesmo problema.

Se tudo estiver funcionando corretamente, não se esqueça de compartilhar a sua experiência com este problema selecionando "Aceitar resposta". Se precisar de mais informações, fique à vontade para deixar uma mensagem. Teremos o maior prazer em ajudar!