关机
安全问题还会在用户从一台工作站注销并有可能关机时发生。某些用户可能只会看到一
个注销对话框，而另外一些用户会看到对话框中有关闭工作或关闭电源的选项。注册表中包
含有控制这些特性的条目。

定位安全事件日志文件

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要查看这个日志文件的位置可以按照下面的步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值file的条目。file的值包含用来保存安全事件日志文件的路径和文件名。
提示windows2000事件查看程序可以用来更改security子项中值file的设置。

确定安全事件日志文件的最大尺寸

windows2000提供了把有关安全事件写入日志文件的能力。注册表包含有控制这个日志
文件怎样创建和维护的设置。要查看安全事件日志文件以千字节计的最大尺寸可以按照下面
的步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框并
单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值maxsize的条目。maxsize的值包含安全事件日志文件所能达到的以千字节计
的最大尺寸。
提示windows2000事件查看程序可以用来更改security子项中值maxsize的设置。
maxsize的缺省值为512。

检查安全事件日志中事件的生存期

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要查看安全事件日志文件中事件被覆盖前将保存多长时间可
以按照下面的步骤修改注册表：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值retention的条目。retention的值指定事件保存在日志文件中的秒数；日志文
件中任何比这个值“新”的事件都不会被覆盖，而比这个值“老”的则会被覆盖。如果某个
事件无法添加到已有的日志文件中，则发生一个日志满事件。
提示windows2000事件查看程序可以用来更改值retention的设置。retention的缺
省值是604800秒(7天)。

确定一个windows2000服务是否日志安全事件

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要确定一个windows2000服务是否将其事件记录到安全日志
文件中可以按照下面的步骤完成操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值sources的条目。sources的值包含目前将事件记录到安全事件日志中的所有服
务、应用程序、应用程序组的名称。
警告sources的值是动态的，由eventlog服务维护。

定位安全事件日志中的事件描述

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要解密某个服务或应用程序写到日志中的事件标识符，你可
以查看该应用程序提供的文本文件。要找到文本文件的位置，可以按照下面的步骤操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security\
[appname]子项，其中[appname]是用引号括起的应用程序或服务的名称。单击该子项选取它，
在右窗口中显示其值。
4)定位到值eventmessagefile的条目。eventmessagefile的值包含文档的路径和文件名，
而该文档包括对安全事件日志文件标识符的事件描述。

定位安全事件日志的类别描述

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要解密某个服务或应用程序写到日志中的类别标识符，你可
以查看该应用程序提供的文本文件(或者定位到一个与该应用程序相关的dll并由附带的应用
程序提供描述)。要找到文本文件的位置，可以按照下面的步骤修改注册表：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
第11章windows2000的安全用用161
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security\
[appname]子项，其中[appname]是用引号括起的应用程序或服务的名称。单击该子项选取它，
在右窗口中显示其值。
4)定位到值categorymessagefile的条目。categorymessagefile的值包含着文档的路径和
文件名，而该文档包括对安全事件日志文件标识符的类别描述。
提示类别和事件描述有可能被放在同一个文件中。

检测windows2000的某种服务所支持的所有安全事件类别

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要查看某个服务或应用程序可以向日志中写入多少种类别标
识符，可以按照下面的步骤完成：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security\
[appname]子项，其中[appname]是用引号括起的应用程序或服务的名称。单击该子项选取它，
在右窗口中显示其值。
4)定位到值categorycount的条目。categorycount的值包含该应用程序在安全事件日志文
件标识符中所使用的类别描述的总数。

确定windows2000的某种服务所支持的安全事件类型

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要查看某个服务或应用程序可以将哪种事件类型写入日志，
可以按照下面的步骤完成注册表的修改：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services\eventlog\security\
[appname]子项，其中[appname]是用引号括起的应用程序或服务的名称。单击该子项选取它，
在右窗口中显示其值。
4)定位到值typessupported的条目。typessupported的值包含该应用程序在安全事件日志
文件标识符中使用的事件类型值。

强迫windows2000系统在安全事件日志满时崩溃

windows2000提供了把有关安全的事件写入日志文件的能力。注册表包含有控制这个日
志文件怎样创建和维护的设置。要强迫系统在日志文件满时崩溃，可以按照下面的步骤修改
注册表：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\control\lsa子项。单击该子
项选取它，在右窗口中显示其值。
4)定位到值crashonauditfail的条目。使用dword编辑器把crashonauditfail的值设为
1，强迫系统在安全事件日志由于最大尺寸或事件条目生存期设置的问题而无法扩展时崩
溃。
提示如果值crashonauditfail不存在，则使用“编辑”“添加值”来创建它。
警告启用该值可能会导致无法恢复的系统崩溃。

设.netlogon服务变动日志的大小

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控制以字节计的
变动记录大小的注册表项，可以按照如下步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值changelogsize的条目。使用dword编辑器把changelogsize的值设为变动记
录文件所期望的大小，以字节计。
提示:保留changelogsize的设置为4mb也不会造成任何损害。实际上，较大的设置
可以提高效率。缺省(也是最小)的值为64k(大约200个条目)。
警告:所有备份域控制器(bdc)都应该有相同的changelogsize值。

管.netlogon服务信箱消息的内存使用

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控.netlogon服
务在开始丢失信箱消息(每个消息消耗非页面式内存池的1500个字节)之前已排队了多少个消息
的注册表项，可以按照如下步骤修改注册表：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\
parameters子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值maximummailslotmessages的条目。使用dword编辑器把maximummailslot
messages的值改为希望参加排队的消息数目。
提示maximummailslotmessages的范围是1到0xfffffff，缺省值为500。
警告把maximummailslotmessages的值设置得太低可能会导致丢失信箱信件。

微.netlogon服务信箱消息的处理性能

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控.netlogon服
务在开始丢失过期信箱信件(这可以防.netlogon在过载环境中处理无效的消息)之前某个信箱
消息等待处理的秒数的注册表项，可以按照如下步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值maximummailslottimeout的条目。使用dword编辑器把maximummailslot
timeout的值改为信箱消息等.netlogon处理的时间，以秒为单位。

提示:maximummailslottimeout的范围是5到0xfffffff秒，缺省值为10。
警告:把maximummailslottimeout的值设置得太低可能会导致丢失信箱信件。

防止经由网桥/路由器的信箱消息阻塞

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控.netlogon是
否对因网桥/路由器问题(通常是网桥/路由器无法在过期之前对报文的目的地进行解密)引起的
信箱消息阻塞敏感的注册表项，可以按照如下步骤修改注册表：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值mailslotduplicatetimeout的条目。使用dword编辑器把mailslotduplicate
timeout的值改为0，禁止忽.netlogon复制信箱消息(这样做会因网桥/路由器引起的消息阻塞
而导致问题)。
提示值mailslotduplicatetimeout的范围是从0到5秒。较高的设置可以避免处理复制
消息，但是会阻塞来自客户的重试企图。

设置bdc脉冲的频率

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控制在向bdc发
送脉冲指示进行更新之前pdc多少秒收集一次变化的注册表项，可以按照如下步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值pulse的条目。使用dword编辑器把pulse的值改为两次发送更新脉冲之间的延
迟时间(以秒为单位)。
提示值pulse的范围是从60(1分钟)到172800(2天)，缺省值是300(5分钟)。
第11章windows2000的安全用用165

管理bdc脉冲的并发

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。你可以使用注册表来控
制一次发出多少个bdc更新通知(脉冲)(期望pdc能够同时处理远程过程调用以便更新远程数
据库)。要做到这一点，可按照如下步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\
parameters子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值pulseconcurrency的条目。使用dword编辑器把pulseconcurrency的值改为
pdc能够处理的并发bdc数据库更新的个数。你需要在pdc服务器的负载和会导致失败的过
期bdc数据库之间找到一个平衡点。
提示值pulseconcurrency的范围是从1到500个并发脉冲，缺省值是20。

控制bdc脉冲的ping操作

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。你可以访问注册表项来
控制pdc给某个bdc发送更新脉冲(ping)的最大间隔秒数，而不管bdc的数据库是否需要更新。
要做到这一点，可以按照下面的步骤修改注册表：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\
parameters子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值pulsemaximum的条目。使用dword编辑器把pulsemaximum的值改为
pdc/bdc两次脉冲ping操作之间的等待时间(以秒为单位)。
提示值pulsemaximum的范围是从60(1分钟)到172800(2天)，缺省值是72000(2小时)。

防止bdc脉冲超时

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控制在被标记为
超时之前bdc必须在多少秒以内响应pdc脉冲的注册表项，可以按照下面的步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值pulsetimeout1的条目。使用dword编辑器把pulsetimeout1的值改为网络维护
有效的bdc脉冲响应所希望的时间(以秒为单位)。
提示值pulsetimeout1的范围是从1到120，缺省值是5。

防止bdc复制超时

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控制在被标记为
超时之前bdc必须在多少秒以内完成部分数据库复制的注册表项，可以按照下面的步骤进行
操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值pulsetimeout2的条目。使用dword编辑器把pulsetimeout2的值改为网络完成
部分bdc数据库的复制所希望的时间(以秒为单位)。注意，这个值只有在bdc数据库的传输
因为尺寸问题需要多个远程过程调用(remoteprocedurecall,rpc)时才会使用。
提示值pulsetimeout2的范围是从60(1分钟)到3600(1小时)，缺省值是300(5分钟)。

防止bdc脉冲响应通信阻塞

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。你可以使用注册表控制
bdc在用rpc调用初始化数据库复制来响应pdc脉冲之前随机等待的秒数(这样可以防止复制
通信被阻塞，因为所有的bdc脉冲都试图同时更新)。要做到这一点，可以按照如下步骤进行
操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值randomize的条目。使用dword编辑器把randomize的值改为基于经验和网络
流量需求的秒数。
提示值pulsetimeout2的范围是从0到120，缺省值是1。
警告randomize的值必须小于pulsetimeout1的设置。

根据网络条件配置bdc的复制

作为基于域的windows2000网络一部分的工作站可以使用远程数据库进行登录验证，这
种服务称.netlogon。有许多注册表条目都可以控.netlogon的操作。要访问控制分配给更新
bdc的系统资源的百分数，可以按照如下步骤进行操作：
1)打开“开始”菜单并选择“运行”。单击“浏览”按钮开始浏览直到找到windows
2000的根目录(通常是winnt)为止。进入system目录并找到regedt32.exe，将其选入对话框
并单击“确定”按钮。注册表编辑器启动，将所有的配置单元分别显示在不同的层叠子窗口
中。
2)选择“窗口”菜单项hkey_local_machine，其子窗口显示。最大化该窗口以便
于使用。
3)使用左窗口的树型控件定位到system\currentcontrolset\services.netlogon\parameters
子项。单击该子项选取它，在右窗口中显示其值。
4)定位到值replicationgovernor的条目。使用dword编辑器把replicationgovernor的值改
为0到100之间的设置，它表示每个复制调用所使用的传输缓冲内存以及bdc完成未完成的复
制请求所需时间量的百分数。在更改该设置必须小心，因为在通信负载很重的环境中bdc复
制可能无法完成。
警告设置replicationgovernor的值等于0将关闭bdc数据库复制。