Es gibt mehrere Möglichkeiten zu überprüfen, wer einen Windows-Server neu gestartet oder heruntergefahren hat. Hier sind einige Methoden:
1. Ereignisanzeige:
- Öffnen Sie die Ereignisanzeige, indem Sie Windows-Taste + R drücken , geben Sie „eventvwr.msc“ ein und drücken Sie die Eingabetaste .
- Erweitern Sie „Windows-Protokolle“ im linken Bereich und wählen Sie „System“.
– Suchen Sie nach Ereignissen mit der Ereignis-ID 1074 zum Herunterfahren des Systems und 1076 für einen Systemneustart.
- Doppelklicken Sie auf das Ereignis, um Details wie den Benutzer, der die Aktion initiiert hat, und den Zeitpunkt des Auftretens anzuzeigen.
2. Audit-Richtlinie:
- Öffnen Sie den Editor für lokale Gruppenrichtlinien, indem Sie Windows-Taste + R drücken , geben Sie „gpedit.msc“ ein und drücken Sie die Eingabetaste .
- Navigieren Sie zu Computerkonfiguration> Windows-Einstellungen> Sicherheitseinstellungen> Lokale Richtlinien> Überwachungsrichtlinie .
- Doppelklicken Sie auf „Audit-Prozessverfolgung“ und stellen Sie sicher, dass es auf „Erfolgreich“ eingestellt ist.
– Kehren Sie nach einem Neustart oder Herunterfahren zu dieser Einstellung zurück und überprüfen Sie die Ereignisprotokolle auf die Ereignis-IDs 4634 (Abmeldung eingeleitet) und 4647 (erfolgreiches Herunterfahren oder Neustarten).
3. Eingabeaufforderung:
- Öffnen Sie die Eingabeaufforderung als Administrator.
- Führen Sie den folgenden Befehl aus:
„
Nettokonten
„
- Dadurch wird eine Liste der Benutzerkonten angezeigt und Informationen zu den letzten Anmelde- und Abmeldezeiten bereitgestellt.
4. Sicherheitsprotokoll:
- Öffnen Sie die Ereignisanzeige (wie in Methode 1 erwähnt).
- Erweitern Sie „Windows-Protokolle“ und wählen Sie „Sicherheit“.
- Suchen Sie nach Ereignissen im Zusammenhang mit Benutzeran- und -abmeldungen. Ereignis-IDs 4624 , 4634 , 4647 , und 4672 sind besonders relevant für die Verfolgung von Systemneustarts und -abschaltungen.
Durch die Kombination dieser Methoden können Sie effektiv überwachen und identifizieren, wer Ihren Windows-Server neu gestartet oder heruntergefahren hat, zusammen mit dem entsprechenden Zeitpunkt und den Details der Aktion.
