Eventlog (Sicherheit) läuft voll - was tun?

[freak123 10]

Hallo Leute,

 

auf einem XP-Client in unserer Domäne läuft das Security-Eventlog voll, so daß sich nur noch ein Admin anmleden kann.

 

Es läuft voll, weil der folgende Fehler teilweise sekündlich geloggt wird:

 

Ereigniskennung 560

Quelle: Security

Kategorie: Objektzugriff

 

Beschreibung:

 

Geöffnetes Objekt:

Objektserver: SC Manager

Objekttyp: SC_MANAGER OBJECT

Objektname: ServicesActive

Handlekennung: -

Vorgangskennung: {0,671047}

Prozesskennung: 700

Abbilddateiname: C:\WINDOWS\system32\services.exe

Primärer Benutzername: PC25$

Primäre Domäne: Domäne

Primäre Anmeldekennung: (0x0,0x3E7)

Clientbenutzername: Hoehenl

Clientdomäne: Domäne

Clientanmeldekennung: (0x0,0xEA49)

Zugriffe: LÖSCHEN

LESEN_KONTROLLE

SCHREIBEN_DAC

SCHREIBEN_BESITZER

Zum Dienstcontroller verbinden

Neuen Dienst erstellen

Dienste auflisten

Dienstdatenbank für exklusiven Zugriff sperren

Zustand für Dienstdatenbanksperre abfragen

Letzten als funktionierend bekannten Zustand der Dienstdatenbank setzen

 

Hat da jemand von Euch eine Idee?

Der PC funktioniert sonst gut.

Bei den Meldungen ändert sich immer nur die Vorgangskennung.

 

Habe das securitylog nun gelöscht, damit der User wieder arbeiten kann.

Komischerweise wird nun seit 1 Stunde diese Meldung nicht mehr geloggt.

[nschlueter 10]

Hi,

 

siehe: EventID.Net

 

 

Gruß,

Nils

[freak123 10]

Hallo Nils,

 

vielen Dank für Deine Antwort. leider werde ich aus dem Meldungen bei EventID nicht so ganz schlau. Eine Objektzugriffsprotokollierung ist auf dem Client nicht konfiguriert.

Mich erstaunt etwas, was da scheinbar probiert wurde: Dienst erstellen, Dienste abfragen, SCHREIBEN_DAC u.s.w..

 

Kann das ein Einbruchsversuch von einem Schädling sein?

 

Gruss

Martin

[nschlueter 10]

tach post,

 

Du hast vermutlich die Erfolgsüberwachung laufen und bekommst bei Zugriffen auf eine Freigabe die Einträge.

 

 

Gruß Nils

[freak123 10]

Hallo Nils,

 

eine Erfolgsüberwachung ist nicht konfiguriert (habe ich auch schon in der Registry kontrolliert).

Dies ist auch der einzige PC in unserer Domäne, der dieses Problem hat.

Konfiguriert sind diese über Gruppenrichtlinien.

 

Gruss

Martin

[freak123 10]

Habe jetzt festgestellt, daß der Fehler erst nach der Installation von Corel X4 auftritt.

Werde wohl mal mit dem Corelsupport sprechen müssen.....

 

Gruss

Martin