Windows 의 다중 사용자 기능을 통해 학교, 대학, 사무실 등과 같은 공공 장소에서 편리하게 사용할 수 있습니다. 이러한 장소에는 일반적으로 관리자가 있으며 그곳에서 작업하는 사용자의 활동을 감시합니다. 때때로 사용자는 한계를 넘어 작업 그룹^(Workgroup) 모드에서 구성된 계정을 수정합니다. 이는 보안에 영향을 줄 수 있으므로 사용자 활동을 추적 하도록 Windows 를 구성해야 합니다.^(Windows)

사용자 활동을 모니터링하도록 Windows^(Windows) 를 구성함으로써 관리의 보안을 강화할 수 있으며 위반 시 기록을 관찰하여 피해자 사용자를 처벌할 수도 있습니다. 이 문서에서는 감사 정책을 사용하여 Windows 11/10/8.1/8/7 에서 사용자 활동을 추적하는 방법을 설명합니다 . 방법은 다음과 같습니다.

^{(Track User Activity)}작업 그룹 모드^{(WorkGroup Mode)} 에서 감사 정책을 사용하여 사용자 활동 추적

1. Windows Key + R 조합을 누르고 실행^(Run)  대화 상자 에 put secpol.msc 를 입력한 다음 Enter 키를 눌러 ^(Enter)로컬 보안 정책^{(Local Security Policy)} 을 엽니다 .

2. 로컬 보안 정책^{(Local Security Policy)} 창에서 보안 설정^{(Security Settings)} > 로컬 정책^{(Local Policies)} > 감사 정책^{(Audit Policy)} 을 확장합니다 . 이제 다음과 유사한 창을 얻을 수 있습니다.

3. 오른쪽 창에서 9개의 ⁽⁹⁾ 감사…[]^(Audit…[]) 정책 에 사전 정의된^{(pre-defined)} 보안 설정 으로 감사 없음 이 있는 것을 볼 수 있습니다. ^{(No auditing)}모든 정책을 하나씩 클릭 하고 ^{(Click one)}성공^(Success) 및 실패^(Failure) 를 선택하고 각 정책에 대해 적용^{( Apply)} 을 클릭 한 다음 확인 을 클릭합니다.^(OK)

이러한 방식으로 사용자 활동을 추적 하도록 Windows 를 구성할 것입니다.^(Windows)

추적된 레코드를 가져오려면 다음 단계를 따르세요.

이벤트 뷰어를 사용하여 사용자 활동 추적^{(Trace User Activity Using Event Viewer)}

1. Windows Key + R 조합을 누르고 실행^(Run)  대화 상자 에 put  eventvwr 을 입력하고 Enter 키를 눌러 ^(Enter)이벤트 뷰어^{(Event Viewer)} 를 엽니다 .

2. 이제 이벤트 뷰어^{(Event Viewe)} 창의 왼쪽 창에서 Windows 로그^{(Windows Logs)} > 보안^(Security) 을 선택 합니다. 여기에서 Windows는 보안과 관련된 모든 이벤트를 기록합니다.

3. 중앙 창에서 이벤트를 클릭하여 정보를 가져옵니다.

이제 다음은 작업 그룹 모드에서 계정에 대한 사용자 활동을 포함하는 이벤트 ID 목록입니다.^(IDs)

1. 사용자 생성:^{(Create User:)} 다음은 사용자가 생성될 때 기록되는 이벤트 ID 입니다.^{(Event IDs)}

• 이벤트 ID:^{(Event ID: )} 4728 | 유형:^{(Type: )} 감사 성공 | 범주:^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 글로벌 그룹에 구성원이 추가되었습니다.

• 이벤트 ID:^{(Event ID: )} 4720 | 유형:^{(Type: )} 감사 성공 | 범주:^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 생성되었습니다.

• 이벤트 ID:^{(Event ID: )} 4722 | 유형:^{(Type: )} 감사 성공 | 범주:^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 활성화되었습니다.

• 이벤트 ID:^{(Event ID: )} 4738 | 유형:^{(Type: )} 성공 감사 | 범주:^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 변경되었습니다.

• 이벤트 ID:^{(Event ID: )} 4732 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹에 구성원이 추가되었습니다.

2. 사용자 삭제:^{(Delete User: )} 다음은 사용자가 삭제될 때 기록되는 이벤트 ID 입니다.^{(Event IDs)}

• 이벤트 ID:^{(Event ID: )} 4733 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹에서 구성원이 제거되었습니다.

• 이벤트 ID:^{(Event ID: )} 4729 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 글로벌 그룹에 구성원이 추가되었습니다.

• 이벤트 ID:^{(Event ID: )} 4726 | 유형:^{( Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 삭제되었습니다.

3. 사용자 계정 비활성화됨:^{(User Account Disabled: )} 다음은 사용자가 비활성화되었을 때 기록되는 이벤트 ID 입니다.^{(Event IDs)}

• 이벤트 ID:^{(Event ID: )} 4725 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 비활성화되었습니다.

• 이벤트 ID:^{(Event ID: )} 4738 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 변경되었습니다.

4. 사용자 계정 활성화됨:^{(User Account Enabled: )} 다음은 사용자가 활성화되었을 때 기록되는 이벤트 ID 입니다.^{(Event IDs)}

• 이벤트 ID:^{(Event ID: )} 4722 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 활성화되었습니다.

• 이벤트 ID:^{(Event ID: )} 4738 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 변경되었습니다.

5. 사용자 계정 비밀번호 재설정:^{(User Account Password Reset: )} 다음은 사용자 계정 비밀번호^{(User Account Password)} 가 재설정 될 때 기록되는 이벤트 ID^{(Event IDs)} 입니다 .

• 이벤트 ID:^{(Event ID: )} 4738 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 변경되었습니다.

• 이벤트 ID:^{(Event ID: )} 4724 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 계정의 암호를 재설정하려고 했습니다.

6. 사용자 계정 프로필 경로 설정: ^{(User Account Profile Path Set: )}다음^(Below) 은 사용자 계정에 프로필 경로^{(Profile Path)} 가 설정 될 때 기록되는 이벤트 ID^{(Event ID)} 입니다 .

• 이벤트 ID:^{(Event ID: )} 4738 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 변경되었습니다.

7. 사용자 계정 이름 변경:^{(User Account Rename: )} 다음은 사용자 계정 이름을 변경할 때 기록되는 이벤트^{(User Account)} ID 입니다^{(Event IDs)} .

•  이벤트 ID:^{(Event ID: )} 4781 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 계정 이름이 변경되었습니다.

• 이벤트 ID:^{(Event ID: )} 4738 | Type: 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 사용자 계정이 변경되었습니다.

8. 로컬 그룹 생성:^{(Create Local Group: )} 다음은 로컬 그룹^{(Local Group)} 이 생성 될 때 기록되는 이벤트 ID 입니다.^{(Event IDs)}

• 이벤트 ID:^{(Event ID: )} 4731 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹이 생성되었습니다 .

• 이벤트 ID:^{(Event ID: )} 4735 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹이 변경되었습니다 .

9. 로컬 그룹에 사용자 추가: ^{(Add User to Local Group: )}다음^(Below) 은 사용자가 로컬^(Local) 그룹 에 추가될 때 기록되는 이벤트 ID^{(Event ID)} 입니다 .

• 이벤트 ID:^{(Event ID: )} 4732 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹에 구성원이 추가되었습니다.

10. 로컬 그룹에서 사용자 제거: ^{(Remove User from Local Group: )}다음^(Below) 은  사용자가 로컬^(Local) 그룹 에서 제거될 때 기록되는 이벤트 ID^{(Event ID)} 입니다 .

• 이벤트 ID:^{(Event ID: )} 4733 | 유형:^(Type:) 성공 감사 | 범주:^(Category:)  보안 그룹 관리 | 설명:^{(Description:)} 보안이 활성화된 로컬 그룹에서 구성원이 제거되었습니다.

11. 로컬 그룹 삭제: ^{(Delete Local Group: )}다음^(Below) 은 로컬 그룹^{(Local Group)} 이 삭제 될 때 기록되는 이벤트 ID 입니다.^{(Event ID)}

• 이벤트 ID:^{(Event ID: )} 4734 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹이 삭제되었습니다 .

12. 로컬 그룹 이름 변경:^{(Rename Local Group: )} 다음은 로컬 그룹의 이름을 변경할 때 기록되는 이벤트^{(Local Group)} ID 입니다^{(Event IDs)} .

• 이벤트 ID:^{(Event ID: )} 4781 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 사용자 계정 관리 | 설명:^{(Description: )} 계정 이름이 변경되었습니다.

• 이벤트 ID:^{(Event ID: )} 4735 | 유형:^{(Type: )} 성공 감사 | 범주: ^{(Category: )} 보안 그룹 관리 | 설명:^{(Description: )} 보안이 활성화된 로컬 그룹이 변경되었습니다 .

이러한 방식으로 사용자의 활동을 추적할 수 있습니다. 이 문서는 작업 그룹 모드 의 ^{(Workgroup Mode)}Windows 11/10/8.1 에 적용됩니다 . Active Directory 도메인^{(Directory Domain)} 의 경우 절차가 다릅니다.

How to track User Activity in WorkGroup Mode on Windows 11/10

Mυlti-user functiоnality іn Windows has enabled us to use it conveniently in public places like schools, colleges, offices, etc. At these places, there is generally an administrator, who manages to keep an eye on the activities of users working therein. Sometimes, users go beyond their limits and modify accounts configured in Workgroup mode. This can have security repercussions, and thus we should configure Windows to track down user activities.

By configuring Windows for monitoring user activities, we can increase the security of the administration and can also punish the victim users by observing their records in case of an offense. In this article, we’ll tell you the way to track user activities in Windows 11/10/8.1/8/7 using Audit Policy. Here is how:

Track User Activity using Audit Policy in WorkGroup Mode

1. Press Windows Key + R combination, type put secpol.msc in Run dialog box and hit Enter to open the Local Security Policy.

2. In the Local Security Policy window, expand Security Settings > Local Policies > Audit Policy. Now you should get your window resembled with this one:

3. In the right pane, you can see 9 Audit…[] policies have No auditing as pre-defined security setting. Click one by one all the policies and make the selection to Success and Failure, click Apply followed by OK for each policy.

In this way, we will have configured Windows to track down user activity.

Follow these steps to get the traced records:

Trace User Activity Using Event Viewer

1. Press Windows Key + R combination, type put eventvwr in Run dialog box and hit Enter to open the Event Viewer.

2. Now, in the Event Viewer window, from the left pane, select Windows Logs > Security. Here Windows keeps a record of every event concerning security.

3. From the center pane, click any event to get its info:

Now, here is the list of the event IDs which covers the user activities for the accounts in the workgroup mode:

1. Create User: Below are the Event IDs that get logged when the user is created.

• Event ID: 4728 | Type: Audit Success | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4720 | Type: Audit Success | Category: User Account Management | Description: A User account was created.

• Event ID: 4722 | Type: Audit Success | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group.

2. Delete User: Below are the Event IDs that get logged when the user is deleted.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group.

• Event ID: 4729 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled global group.

• Event ID: 4726 | Type: Success Audit | Category: User Account Management | Description: A User account was deleted.

3. User Account Disabled: Below are the Event IDs that get logged when the user is disabled.

• Event ID: 4725 | Type: Success Audit | Category: User Account Management | Description: A User account was disabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

4. User Account Enabled: Below are the Event IDs that get logged when the user is enabled.

• Event ID: 4722 | Type: Success Audit | Category: User Account Management | Description: A User account was enabled.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

5. User Account Password Reset: Below are the Event IDs that get logged when the User Account Password gets reset.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

• Event ID: 4724 | Type: Success Audit | Category: User Account Management | Description: An attempt was made to reset an account’s password.

6. User Account Profile Path Set: Below is the Event ID that gets logged when Profile Path gets set for a user account.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User account was changed.

7. User Account Rename: Below are the Event IDs that get logged when the User Account is renamed.

•  Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: The name of an account was changed.

• Event ID: 4738 | Type: Success Audit | Category: User Account Management | Description: A User Account was changed.

8. Create Local Group: Below are the Event IDs that get logged when the Local Group is created.

• Event ID: 4731 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was created

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

9. Add User to Local Group: Below is the Event ID that gets logged when the user gets added to the Local group.

• Event ID: 4732 | Type: Success Audit | Category: Security Group Management | Description: A member was added to a Security-enabled local group

10. Remove User from Local Group: Below is the Event ID that gets logged when the user is removed from the Local group.

• Event ID: 4733 | Type: Success Audit | Category: Security Group Management | Description: A member was removed from a Security-enabled local group

11. Delete Local Group: Below is the Event ID that gets logged when the Local Group is deleted.

• Event ID: 4734 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was deleted

12. Rename Local Group: Below are the Event IDs that get logged when the Local Group is renamed.

• Event ID: 4781 | Type: Success Audit | Category: User Account Management | Description: A name of an account was changed

• Event ID: 4735 | Type: Success Audit | Category: Security Group Management | Description: A Security-enabled local group was changed

In this way, you can trace users with their activities. This article is applicable for Windows 11/10/8.1 in Workgroup Mode. For Active Directory Domain, the procedure will be different.

Related posts

• Delete 이전 사용자 프로필 및 파일 Windows 10에 자동으로

• Windows 10 Home Edition에 Group Policy Editor를 추가하는 방법

• Windows 10에서 Win32 Long Paths을 활성화 또는 비활성화하는 방법

• Windows 10에서 Picture Password Sign-In option을 비활성화하는 방법

• Windows 10에서 Minimum and Maximum PIN length을 지정하는 방법

• Windows 10에서 NVIDIA Low Latency Mode을 활성화하는 방법

• Group Policy or Registry Windows에서 Customize Ctrl+Alt+Del Screen

• Windows 10에서 Group Policy을 사용하여 IE에서 Microsoft Edge에서 Microsoft Edge에서 사이트 리디렉션

• Group Policy or Registry Editor을 통해 Delivery Optimization를 비활성화하십시오

• Windows 10 Group Policy Settings Reference Guide

• 사용자가 Windows 10에서 Diagnostic Data을 삭제하지 못하게하는 방법

• Windows 10에서 모든 Taskbar 설정을 잠그는 방법

• Windows 10에서 해제 또는 Airplane Mode에를 설정하는 방법

• Windows 10에서 내장 Administrator Account을 삭제하는 방법

• 가져 오기, Export, Repair, Restore Default Firewall Policy Windows 10

• Turn Windows 11/10에서 File Explorer의 최근 검색 엔트리의 디스플레이 오프

• Group Policy을 사용하여 Network Drive를 Windows 10에 매핑하는 방법

• Windows 10에서 PowerShell을 사용하여 Local User Account를 만드는 방법

• Windows 10 Safe Mode에 Windows Updates를 설치할 수 있습니까?

• Windows 컴퓨터 및 사용자 활동을 추적하는 방법