ฟังก์ชันสำหรับผู้ใช้หลายคนในWindowsช่วยให้เราใช้งานได้สะดวกในสถานที่สาธารณะ เช่น โรงเรียน วิทยาลัย สำนักงาน ฯลฯ ในสถานที่เหล่านี้ โดยทั่วไปจะมีผู้ดูแลระบบที่คอยดูแลกิจกรรมของผู้ใช้ที่ทำงานอยู่ในนั้น บางครั้ง ผู้ใช้ทำเกินขีดจำกัดและแก้ไขบัญชีที่กำหนดค่าในโหมดเวิ ร์กกรุ๊ป ^(Workgroup)ซึ่งอาจส่งผลต่อความปลอดภัย ดังนั้นเราจึงควรกำหนดค่าWindowsเพื่อติดตามกิจกรรมของผู้ใช้

ด้วยการกำหนดค่าWindowsสำหรับการเฝ้าติดตามกิจกรรมของผู้ใช้ เราสามารถเพิ่มความปลอดภัยในการดูแลระบบ และยังสามารถลงโทษผู้ใช้ที่ตกเป็นเหยื่อด้วยการสังเกตบันทึกของพวกเขาในกรณีที่มีการกระทำผิดกฎหมาย ในบทความนี้ เราจะบอกวิธีการติดตามกิจกรรมของผู้ใช้ในWindows 11/10/8.1/8/7โดยใช้นโยบายการตรวจสอบ นี่คือวิธี:

ติดตามกิจกรรมของผู้^{(Track User Activity)}ใช้โดยใช้นโยบายการตรวจสอบในโหมดเวิร์ กกรุ๊ป^{(WorkGroup Mode)}

1.กดWindows Key + Rรวมกัน พิมพ์ ใส่secpol.mscใน กล่องโต้ตอบ Run และกดEnter เพื่อ^(Run)เปิด^(Enter) Local Security Policy^{(Local Security Policy)}

2.ใน หน้าต่าง Local Security Policyให้ขยายSecurity Settings > Local Policies > Audit Policy ตอนนี้คุณควรทำให้หน้าต่างของคุณคล้ายกับหน้าต่างนี้:

3.ในบานหน้าต่างด้านขวา คุณจะเห็น9 การ ⁽⁹⁾ ตรวจสอบ... []^(Audit…[])นโยบายไม่มีการตรวจสอบ^{(No auditing)}เป็นการตั้งค่าความปลอดภัยที่กำหนดไว้ล่วงหน้า ^{(pre-defined)}คลิก^{(Click one)}นโยบายทั้งหมดทีละรายการและเลือกไปที่Success and FailureคลิกApplyตามด้วยOKสำหรับแต่ละนโยบาย

ด้วยวิธีนี้ เราจะกำหนดค่าWindowsเพื่อติดตามกิจกรรมของผู้ใช้

ทำตามขั้นตอนเหล่านี้เพื่อรับบันทึกที่ติดตาม:

ติดตามกิจกรรมของผู้ใช้โดยใช้ตัวแสดงเหตุการณ์^{(Trace User Activity Using Event Viewer)}

1.กดWindows Key + Rรวมกัน พิมพ์ ใส่  eventvwrใน กล่องโต้ตอบ Run และกดEnter เพื่อ^(Run)เปิด^(Enter) Event Viewer^{(Event Viewer)}

2.ตอนนี้ ใน หน้าต่าง Event Viewe r จากบานหน้าต่างด้านซ้าย ให้เลือกWindows Logs^{(Windows Logs)} > Security Windows จะเก็บบันทึกทุกเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัย

3.จากบานหน้าต่างตรงกลาง ให้คลิกเหตุการณ์ใดก็ได้เพื่อรับข้อมูล:

ต่อไปนี้คือรายการID^(IDs) เหตุการณ์ ซึ่งครอบคลุมกิจกรรมของผู้ใช้สำหรับบัญชีในโหมดเวิร์กกรุ๊ป:

1. สร้างผู้ใช้:^{(Create User:)}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่บันทึกเมื่อสร้างผู้ใช้

• รหัสเหตุการณ์:^{(Event ID: )} 4728 | ประเภท:^{(Type: )} Audit Success | หมวดหมู่:^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}สมาชิกถูกเพิ่มในกลุ่มส่วนกลางที่เปิดใช้งานการรักษาความปลอดภัย

• รหัสเหตุการณ์:^{(Event ID: )} 4720 | ประเภท:^{(Type: )} Audit Success | หมวดหมู่:^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้ถูกสร้างขึ้น

• รหัสเหตุการณ์:^{(Event ID: )} 4722 | ประเภท:^{(Type: )} Audit Success | หมวดหมู่:^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}เปิดใช้งานบัญชีผู้ใช้แล้ว

• รหัสเหตุการณ์:^{(Event ID: )} 4738 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่:^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้มีการเปลี่ยนแปลง

• รหัสเหตุการณ์:^{(Event ID: )} 4732 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}สมาชิกถูกเพิ่มในกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัย

2. ลบผู้ใช้:^{(Delete User: )}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่บันทึกเมื่อผู้ใช้ถูกลบ

• รหัสเหตุการณ์:^{(Event ID: )} 4733 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}สมาชิกถูกลบออกจากกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัย

• รหัสเหตุการณ์:^{(Event ID: )} 4729 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}สมาชิกถูกเพิ่มในกลุ่มส่วนกลางที่เปิดใช้งานการรักษาความปลอดภัย

• รหัสเหตุการณ์:^{(Event ID: )} 4726 | ประเภท:^{( Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้ถูกลบ

3. บัญชีผู้ใช้ถูกปิดใช้งาน:^{(User Account Disabled: )}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่ได้รับการบันทึกเมื่อผู้ใช้ถูกปิดใช้งาน

• รหัสเหตุการณ์:^{(Event ID: )} 4725 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้ถูกปิดใช้งาน

• รหัสเหตุการณ์:^{(Event ID: )} 4738 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้มีการเปลี่ยนแปลง

4. เปิดใช้งานบัญชีผู้ใช้แล้ว:^{(User Account Enabled: )}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่ได้รับการบันทึกเมื่อเปิดใช้งานผู้ใช้

• รหัสเหตุการณ์:^{(Event ID: )} 4722 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}เปิดใช้งานบัญชีผู้ใช้แล้ว

• รหัสเหตุการณ์:^{(Event ID: )} 4738 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้มีการเปลี่ยนแปลง

5. รีเซ็ตรหัสผ่านบัญชีผู้ใช้:^{(User Account Password Reset: )}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่เข้าสู่ระบบเมื่อรหัสผ่านบัญชีผู้ใช้^{(User Account Password)}ถูกรีเซ็ต

• รหัสเหตุการณ์:^{(Event ID: )} 4738 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้มีการเปลี่ยนแปลง

• รหัสเหตุการณ์:^{(Event ID: )} 4724 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}มีการพยายามรีเซ็ตรหัสผ่านของบัญชี

6. ชุดเส้นทางโปรไฟล์ของบัญชีผู้ใช้: ^{(User Account Profile Path Set: )}ด้านล่างนี้^(Below)คือID เหตุการณ์^{(Event ID)}ที่ได้รับการบันทึกเมื่อมี การ กำหนดเส้นทางโปรไฟล์^{(Profile Path)}สำหรับบัญชีผู้ใช้

• รหัสเหตุการณ์:^{(Event ID: )} 4738 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้มีการเปลี่ยนแปลง

7. การเปลี่ยนชื่อบัญชีผู้ใช้:^{(User Account Rename: )}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่ได้รับการบันทึกเมื่อมีการเปลี่ยนชื่อบัญชีผู้ใช้^{(User Account)}

•  รหัสเหตุการณ์:^{(Event ID: )} 4781 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}ชื่อของบัญชีถูกเปลี่ยนชื่อ

• รหัสเหตุการณ์:^{(Event ID: )} 4738 | Type: Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}บัญชีผู้ใช้มีการเปลี่ยนแปลง

8. สร้างกลุ่มท้องถิ่น:^{(Create Local Group: )}ด้านล่างนี้คือรหัสเหตุการณ์^{(Event IDs)}ที่ได้รับการบันทึกเมื่อสร้างกลุ่ม ภายใน^{(Local Group)}

• รหัสเหตุการณ์:^{(Event ID: )} 4731 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}สร้างกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัยแล้ว

• รหัสเหตุการณ์:^{(Event ID: )} 4735 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}เปลี่ยนกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัยแล้ว

9. เพิ่มผู้ใช้ในกลุ่มท้องถิ่น: ^{(Add User to Local Group: )}ด้าน^(Local)ล่างนี้^(Below)คือรหัสเหตุการณ์^{(Event ID)}ที่ได้รับการบันทึกเมื่อผู้ใช้ถูกเพิ่มไปยังกลุ่มภายในเครื่อง

• รหัสเหตุการณ์:^{(Event ID: )} 4732 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}สมาชิกถูกเพิ่มในกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัย

10. ลบผู้ใช้ออกจาก Local Group: ^{(Remove User from Local Group: )}ด้านล่างนี้^(Below)คือ  Event IDที่ได้รับการบันทึกเมื่อผู้ใช้ถูกลบออกจากกลุ่มLocal

• รหัสเหตุการณ์:^{(Event ID: )} 4733 | ประเภท:^(Type:) Success Audit | หมวดหมู่:^(Category:)  Security Group Management | คำอธิบาย:^{(Description:)}สมาชิกถูกลบออกจากกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัย

11. ลบ Local Group: ^{(Delete Local Group: )}ด้านล่างนี้^(Below)คือEvent IDที่ได้รับการบันทึกเมื่อLocal Groupถูกลบ

• รหัสเหตุการณ์:^{(Event ID: )} 4734 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}กลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัยถูกลบแล้ว

12. เปลี่ยนชื่อ Local Group:^{(Rename Local Group: )}ด้านล่างนี้คือEvent ID^{(Event IDs)}ที่ได้รับการบันทึกเมื่อมีการเปลี่ยนชื่อLocal Group

• รหัสเหตุการณ์:^{(Event ID: )} 4781 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )}การจัดการบัญชีผู้ใช้ | คำอธิบาย:^{(Description: )}มีการเปลี่ยนแปลงชื่อของบัญชี

• รหัสเหตุการณ์:^{(Event ID: )} 4735 | ประเภท:^{(Type: )} Success Audit | หมวดหมู่: ^{(Category: )} Security Group Management | คำอธิบาย:^{(Description: )}เปลี่ยนกลุ่มภายในที่เปิดใช้งานการรักษาความปลอดภัยแล้ว

ด้วยวิธีนี้ คุณสามารถติดตามผู้ใช้ด้วยกิจกรรมของพวกเขา บทความนี้ใช้ได้กับWindows Windows 11/10/8.1ในโหมด Workgroup ^{(Workgroup Mode)}สำหรับ Active Directory Domainขั้นตอนจะแตกต่างออกไป

How to track User Activity in WorkGroup Mode on Windows 11/10

Multi-user functionality in Windows has enabled us to use it conveniently in public places like schools, colleges, offices, etc. At these places, there is generally an administrator, who manages to keep an eye on the activities of users working therein. Sometimes, users go beyond their limits and modify accounts configured in Workgroup mode. This can have security repercussions, and thus we should configure Windows to track down user activities.

By configuring Windows for monitoring user activities, we can increase the security of the administration and can also punish the victim users by observing their records in case of an offense. In this article, we’ll tell you the way to track user activities in Windows 11/10/8.1/8/7 using Audit Policy. Here is how:

Track User Activity using Audit Policy in WorkGroup Mode

1. Press Windows Key + R combination, type put secpol.msc in Run dialog box and hit Enter to open the Local Security Policy.

2. In the Local Security Policy window, expand Security Settings > Local Policies > Audit Policy. Now you should get your window resembled with this one:

3. In the right pane, you can see 9 Audit…[] policies have No auditing as pre-defined security setting. Click one by one all the policies and make the selection to Success and Failure, click Apply followed by OK for each policy.

In this way, we will have configured Windows to track down user activity.

Follow these steps to get the traced records:

Trace User Activity Using Event Viewer

1. Press Windows Key + R combination, type put eventvwr in Run dialog box and hit Enter to open the Event Viewer.

2. Now, in the Event Viewer window, from the left pane, select Windows Logs > Security. Here Windows keeps a record of every event concerning security.

3. From the center pane, click any event to get its info:

Now, here is the list of the event IDs which covers the user activities for the accounts in the workgroup mode:

1. Create User: Below are the Event IDs that get logged when the user is created.

• Event ID: 4728 | Type: Audit Success | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4720 | Type: Audit Success | Category: User Account Management | Description: A User account was created.

• Event ID: 4722 | Type: Audit Success | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group.

2. Delete User: Below are the Event IDs that get logged when the user is deleted.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group.

• Event ID: 4729 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4726 | Type: Success Audit | Category: User Account Management | Description: A User account was deleted.

3. User Account Disabled: Below are the Event IDs that get logged when the user is disabled.

• Event ID: 4725 | Type: Success Audit | Category: User Account Management | Description: A User account was disabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

4. User Account Enabled: Below are the Event IDs that get logged when the user is enabled.

• Event ID: 4722 | Type: Success Audit | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

5. User Account Password Reset: Below are the Event IDs that get logged when the User Account Password gets reset.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4724 | Type: Success Audit | Category: User Account Management | Description: An attempt was made to reset an account’s password.

6. User Account Profile Path Set: Below is the Event ID that gets logged when Profile Path gets set for a user account.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

7. User Account Rename: Below are the Event IDs that get logged when the User Account is renamed.

•  Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: The name of an account was changed.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User Account was changed.

8. Create Local Group: Below are the Event IDs that get logged when the Local Group is created.

• Event ID: 4731 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was created

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

9. Add User to Local Group: Below is the Event ID that gets logged when the user gets added to the Local group.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group

10. Remove User from Local Group: Below is the Event ID that gets logged when the user is removed from the Local group.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group

11. Delete Local Group: Below is the Event ID that gets logged when the Local Group is deleted.

• Event ID: 4734 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was deleted

12. Rename Local Group: Below are the Event IDs that get logged when the Local Group is renamed.

• Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: A name of an account was changed

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

In this way, you can trace users with their activities. This article is applicable for Windows 11/10/8.1 in Workgroup Mode. For Active Directory Domain, the procedure will be different.

Related posts

• Delete โปรไฟล์ผู้ใช้เก่าและไฟล์โดยอัตโนมัติใน Windows 10

• วิธีการเพิ่ม Group Policy Editor เพื่อ Windows 10 Home Edition

• วิธีการเปิดหรือปิดการใช้งานบน Win32 Long Paths Windows 10

• วิธีปิดใช้งาน Picture Password Sign-In option ใน Windows 10

• วิธีการระบุ Minimum and Maximum PIN length ใน Windows 10

• วิธีการบังคับ Group Policy Update ใน Windows 10

• dependency Service or Group ไม่สามารถเริ่มต้นใน Windows 10

• วิธีการระบุกำหนดเวลาก่อนรีสตาร์ทอัตโนมัติสำหรับ Update installation

• Limit Reservable Bandwidth Setting ใน Windows 10

• วิธีการสร้าง Local User Account โดยใช้ PowerShell ใน Windows 10

• เปิดใช้งานหน้าจอ Windows 10 Full Start Menu โดยใช้ Group Policy or Registry

• วิธีการลบในตัว Administrator Account ใน Windows 10

• วิธีการแมป Network Drive โดยใช้ Group Policy บน Windows 10

• การตั้งค่า Group Policy หายไปใน Windows 10

• วิธีล็อคการตั้งค่า Taskbar ทั้งหมดใน Windows 10

• ป้องกันผู้ใช้จากการเปลี่ยน Date and Time ใน Windows 10

• Group Policy Client service การเข้าสู่ระบบล้มเหลวใน Windows 11/10

• Group Policy Settings Reference Guide สำหรับ Windows 10

• Turn ปิดการแสดงรายการค้นหาล่าสุดใน File Explorer ใน Windows 11/10

• Customize Ctrl+Alt+Del Screen ใช้ Group Policy or Registry ใน Windows