структура SYSTEM_AUDIT_ACE (ntifs.h)

Статья
02/07/2025

Структура SYSTEM_AUDIT_ACE определяет запись управления доступом (ACE) для списка управления доступом (ACL), указывающего, какие типы доступа вызывают уведомления на уровне системы. ACE системного аудита приводит к регистрации сообщения аудита при попытке указанного пользователя или группы получить доступ к объекту. Пользователь или группа определяется идентификатором безопасности (SID).

Синтаксис

typedef struct _SYSTEM_AUDIT_ACE {
  ACE_HEADER  Header;
  ACCESS_MASK Mask;
  ULONG       SidStart;
} SYSTEM_AUDIT_ACE;

Члены

Header

Указывает структуру ACE_HEADER.

Mask

Указывает структуру ACCESS_MASK, которая предоставляет права доступа, вызывающие создание сообщений аудита. Флаги SUCCESSFUL_ACCESS_ACE_FLAG и FAILED_ACCESS_ACE_FLAG в AceFlags член структуры ACE_HEADER указывают, создаются ли сообщения для успешных попыток доступа, неудачных попыток доступа или обоих.

SidStart

Указывает идентификатор безопасности. Попытка доступа типа, указанного членом Mask любым пользователем или группой, идентификатор безопасности которого соответствует элементу SidStart, приводит к созданию сообщения аудита системой. Если приложение не указывает идентификатор безопасности для этого члена, сообщения аудита создаются для указанных прав доступа для всех пользователей и групп.

Замечания

Сообщения аудита хранятся в журнале событий, который можно управлять с помощью функций ведения журнала событий Microsoft Win32 или с помощью средства просмотра событий (EVENTVWR.EXE).

Эта структура должна быть выровнена по 32-разрядной границе.