Как провести аудит изменений реестра?

Используя regedt32.exe можно установить аудит изменений отдельных частей реестра. Ведение аудита - очень чувствительная мера, позволяющая выводить предупреждающие сообщения людям, нарушающим установленные Вами правила редактирования реестра.

1. Откройте редактор реестра (regedt32.exe)
2. Выберите ключ, на который хотите назначить аудит (например, HKEY_LOCAL_MACHINE\Software)
3. Из меню Security (Безопасность), выберите Auditing (Аудит).
4. Пометьте "Audit Permission on Existing Subkeys" (Разрешение аудита для существующих разделов), если Вы хотите проводить аудит и подразделов.
5. Нажмите Add (добавить) и выберите пользователей, которые будут подвержены аудиту, нажмите Add и OK
6. В разделе "Names" можно выбрать, аудит каких событий будет проводиться.
7. После заполнения всей информации, нажмите OK.

Убедитесь, что у Вас включен Auditing for File and Object (воспользуйтесь User Manager - Polices - Audit).

Для просмотра результатов аудита, воспользуйтесь Event Viewer (Просмотр событий), раздел Security.