從Windows審核日志中提取任何特定於計算機的信息？

Question

這是此問題的后續措施。

我遵循了公認的答案，並認為我對結果感到滿意，但遇到了障礙。

設置

我正在從監視目錄的服務器上運行C＃程序。 每次修改文件時，FileSystemWatcher都會觸發一個事件，該事件使程序檢查安全審核日志（已打開，請參閱上一個問題的解決方案）。

問題

我的問題是，當遠程用戶修改文件后檢查安全日志時，它們將以匿名用戶身份記錄。 特別是“ NT AUTHORITY \\ SYSTEM”。 有什么方法可以從這些安全日志中提取唯一信息，這將有助於我區分修改文件的用戶嗎？

戴斯

我正在使用EventLog讀取安全日志，如下所示：

EventLog log = new EventLog("security");
EventLogEntryCollection col = log.Entries;
//...
string username = entry.UserName;

Answer 1

這可以幫助字符串userName = System.Security.Principal.WindowsIdentity.GetCurrent（）。Name;