Поправка: Идентификатор на събитие 4663, Беше направен опит за достъп до обект

Премахнете регистрационните файлове на непознати събития от системата за бързо коригиране

Събитие 4663 може да означава, че даден потребител е влязъл в компютър с домейн, използвайки акаунт, който не е упълномощен да бъде използван за влизане в домейна. Това може да се случи, ако акаунтът е деактивиран или премахнат от групата на администраторите на домейни.

Ако виждате тази грешка редовно, тя може да е свързана с разрешения за споделени папки или дискове и/или неправилно конфигурирани потребителски акаунти с недостатъчни права за достъп. Все пак си струва да се провери, защото ако бъде оставен без надзор, потребителят може да получи достъп.

Какво е събитие ID 4663?

Събитие ID 4663 се регистрира, когато се извършва определена операция върху обект. Това събитие може да се види в регистрационния файл за сигурност и има цел в регистрационния файл за сигурност. Идентификаторът на събитие 4663 ще бъде записан в регистрационния файл за защита, когато потребител се опита да извърши операция, която изисква администраторски разрешения.

Основните категории типове обекти са както следва:

• Обекти на файловата система (например файлове, папки или принтери)
• Обекти на ядрото (например процеси и нишки)
• Обекти в регистъра (например ключове и стойности)
• Системни обекти (например драйвери)
• Обекти на сменяема памет или устройства

Направен е опит за достъп до обект може да означава:

• Обектът вече не присъства на сървъра – Ако имате проблеми с достъпа до файл или папка, това означава, че този файл или папка е изтрит от сървъра.
• Обектът присъства на сървъра, но името му не е валидно – Възможно е обектът да е бил изтрит или преименуван след последния достъп до него.
• Обектът присъства на сървъра, но на друго място – Тази грешка може да възникне, ако се опитате да получите достъп до файл или папка, които са преместени или преименувани.
• Обектът присъства на сървъра, но вашият акаунт няма права за достъп – Тази грешка възниква, когато вашият потребителски акаунт няма достатъчно привилегии за четене/запис, за да го направите.

Как мога да коригирам Event ID 4663?

Първо, уверете се, че сте проверили следното:

• Включете вашата защитна стена, за да сте сигурни, че неупълномощеният достъп е ограничен. Освен това вижте какво да правите, ако сте не може да включи защитната стена на Windows.
• Проверете дали има неправилна конфигурация на SACL (Списък за контрол на достъпа до системата), която не позволява на потребителите да имат достъп до обекти, до които трябва да имат право.

1. Проверете и премахнете регистрационните файлове на събитията

1. Кликнете върху Windows Търсене икона в лентата на задачите, въведете Преглед на събития и щракнете Отворете.
2. Придвижете се до левия панел, разгънете Меню Регистри на Windows и изберете Сигурност.
3. Превъртете през различните регистрационни файлове и намерете един с ИД на събитие 4663.
4. След като намерите регистрационен файл с идентификатор на събитие 4663, отбележете Име на акаунта който се опита да влезе
5. Изведете Търсене икона отново, въведете Контролен панел и щракнете Отворете.
6. Изберете Потребителски акаунти.
7. Кликнете върху Управлявайте идентификационните си данни от лявата страна.
8. Изберете Идентификационни данни за Windows в новия прозорец.
9. Разгънете непознатия потребителски акаунт и щракнете в падащото меню Премахване за да се отървете от този потребител.

Опитът за събитие ID 4663 може да се дължи на вътрешна или външна пробив в сигурността и потребителски акаунт се използва от злонамерен софтуер за достъп до системата. Този акаунт може да е създаден от злонамерен софтуер или от нападател, използващ уязвимост в мрежовите услуги.

2. Деактивирайте отдалечения достъп

1. Удари Windows ключ и щракнете върху Настройки.
2. Кликнете върху Система и превъртете надолу до Отдалечен работен плот.
3. Превключете превключвателя до Отдалечен работен плот за да деактивирате функцията.
4. След това натиснете Windows + Р ключове за отваряне на Бягай команда.
5. Тип regedit в диалоговия прозорец и натиснете Въведете за да отворите Редактор на регистъра. Изберете да ако Управление на потрбителския профил пита дали искате да направите някакви промени.
6. Навигирайте до следното местоположение: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server
7. Щракнете два пъти върху fDenyTSConnections в десния панел, за да го отворите.
8. Нагласи Данни за стойността да се 1, след което щракнете Добре да довърша.

Windows сървърът може да бъде достъпен отдалечено, ако изпълнява услуга. Например, ако искате да получите достъп до вашия сървър чрез отдалечен работен плот, трябва да активирате тази функция.

Деактивирането на отдалечен достъп трябва да бъде временна мярка за сигурност, докато не определите дали Event ID 4663 е атака с груба сила.

Прочетете повече по тази тема

• Hyper-V грешка 0x8009030e: Как да я поправите
• Windows срещу Windows Server: Как се различават?
• Навлизаме във фаза 3 от втвърдяването на Windows Server DC

Това е всичко, което имахме за този конкретен идентификатор на събитие, но вижте какво имаме в магазина. Например, на ИД на събитие 4648, където е направен опит за влизане с идентификационни данни.

Споделете всякакви допълнителни мисли по тази тема в раздела за коментари по-долу.