Event id 5061 microsoft windows security auditing

Logging in to Windows 10 Build 10547 I see for a split second a message box pop up.

There’s no time to read it as the login succeeds.

In the event log I see:

Audit failure 5061 with a task category of System Integrity
The event directly previous is fetching a key from C:ProgramDataMicrosoftCryptoSystemKeys

It says the key type is a user key.

Inside the 5061 Audit failure is the following information:

Cryptographic operation.

Subject:
Security ID:        SYSTEM
Account Name:       WIN-SOA3U4S9MJA$
Account Domain:     WORKGROUP
Logon ID:       0x3E7

Cryptographic Parameters:
Provider Name:  Microsoft Software Key Storage Provider
Algorithm Name: RSA
Key Name:   454822bd-d329-d1b0-4211-07ccee6df7b8
Key Type:   User key.

Cryptographic Operation:
Operation:  Open Key.
Return Code:    0x80090016

The details tab contains

System 

  - Provider 

   [ Name]  Microsoft-Windows-Security-Auditing 
   [ Guid]  {54849625-5478-4994-A5BA-3E3B0328C30D} 

   EventID 5061 

   Version 0 

   Level 0 

   Task 12290 

   Opcode 0 

   Keywords 0x8010000000000000 

  - TimeCreated 

   [ SystemTime]  2015-09-27T21:28:17.888978900Z 

   EventRecordID 6545 

  - Correlation 

   [ ActivityID]  {2E32FFFF-F96B-0003-D003-332E6BF9D001} 

  - Execution 

   [ ProcessID]  936 
   [ ThreadID]  408 

   Channel Security 

   Computer WIN-SOA3U4S9MJA 

   Security 


- EventData 

  SubjectUserSid S-1-5-18 
  SubjectUserName WIN-SOA3U4S9MJA$ 
  SubjectDomainName WORKGROUP 
  SubjectLogonId 0x3e7 
  ProviderName Microsoft Software Key Storage Provider 
  AlgorithmName RSA 
  KeyName 454822bd-d329-d1b0-4211-07ccee6df7b8 
  KeyType %%2500 
  Operation %%2480 
  ReturnCode 0x80090016 

What is going on, and how do I fix it?

Audit failure 5061 with a task category of System Integrity
The event directly previous is fetching a key from C:ProgramDataMicrosoftCryptoSystemKeys

Cryptographic operation.

Subject:
Security ID:        SYSTEM
Account Name:       WIN-SOA3U4S9MJA$
Account Domain:     WORKGROUP
Logon ID:       0x3E7

Cryptographic Parameters:
Provider Name:  Microsoft Software Key Storage Provider
Algorithm Name: RSA
Key Name:   454822bd-d329-d1b0-4211-07ccee6df7b8
Key Type:   User key.

Cryptographic Operation:
Operation:  Open Key.
Return Code:    0x80090016

System 

  - Provider 

   [ Name]  Microsoft-Windows-Security-Auditing 
   [ Guid]  {54849625-5478-4994-A5BA-3E3B0328C30D} 

   EventID 5061 

   Version 0 

   Level 0 

   Task 12290 

   Opcode 0 

   Keywords 0x8010000000000000 

  - TimeCreated 

   [ SystemTime]  2015-09-27T21:28:17.888978900Z 

   EventRecordID 6545 

  - Correlation 

   [ ActivityID]  {2E32FFFF-F96B-0003-D003-332E6BF9D001} 

  - Execution 

   [ ProcessID]  936 
   [ ThreadID]  408 

   Channel Security 

   Computer WIN-SOA3U4S9MJA 

   Security 


- EventData 

  SubjectUserSid S-1-5-18 
  SubjectUserName WIN-SOA3U4S9MJA$ 
  SubjectDomainName WORKGROUP 
  SubjectLogonId 0x3e7 
  ProviderName Microsoft Software Key Storage Provider 
  AlgorithmName RSA 
  KeyName 454822bd-d329-d1b0-4211-07ccee6df7b8 
  KeyType %%2500 
  Operation %%2480 
  ReturnCode 0x80090016 

источник

Microsoft windows security auditing 5061

This forum has migrated to Microsoft Q&A. Visit Microsoft Q&A to post new questions.

Asked by:

Question

I am running both a laptop and a desktop with windows 7 pro SP1. I set both these systems up using no password and only the original user admin account as I was the only one who had or needed access to the systems. Now my situation has changed and I find the need to add a password to the my user account. Doing so causes a system integrity audit failure that I just can’t seem to figure out. The error occurs on both machines. Removing the password from the account on either machine fixes the audit failure. Without the password added to the admin account (my user account) there are no errors or in any of the windows log files listed in event viewer. Posted below will be the actual error from the log for the security audit failure. Any help on this issue would be greatly appreciated.

Date: 9/3/2011 6:37:37 PM

Task Category: System Integrity

Keywords: Audit Failure

Security ID: Antec900-2Dad

Account Domain: Antec900-2

Provider Name: Microsoft Software Key Storage Provider

Algorithm Name: RSA

Key Name: d166d50b-2983-40db-8f1e-2b60d429258d

Источник

5061(S, F): Cryptographic operation.

Event Description:

This event generates when a cryptographic operation (open key, create key, create key, and so on) was performed using a Key Storage Provider (KSP). This event generates only if one of the following KSPs were used:

Microsoft Software Key Storage Provider

Microsoft Smart Card Key Storage Provider

NoteВ В For recommendations, see Security Monitoring Recommendations for this event.

Event XML:

Required Server Roles: None.

Minimum OS Version: Windows Server 2008, Windows Vista.

Event Versions: 0.

Field Descriptions:

Subject:

NoteВ В A security identifier (SID) is a unique value of variable length used to identify a trustee (security principal). Each account has a unique SID that is issued by an authority, such as an Active Directory domain controller, and stored in a security database. Each time a user logs on, the system retrieves the SID for that user from the database and places it in the access token for that user. The system uses the SID in the access token to identify the user in all subsequent interactions with Windows security. When a SID has been used as the unique identifier for a user or group, it cannot ever be used again to identify another user or group. For more information about SIDs, see Security identifiers.

Account Name [Type = UnicodeString]: the name of the account that requested specific cryptographic operation.

Account Domain [Type = UnicodeString]: subject’s domain or computer name. Formats vary, and include the following:

Domain NETBIOS name example: CONTOSO

Lowercase full domain name: contoso.local

Uppercase full domain name: CONTOSO.LOCAL

For some well-known security principals, such as LOCAL SERVICE or ANONYMOUS LOGON, the value of this field is “NT AUTHORITY”.

For local user accounts, this field will contain the name of the computer or device that this account belongs to, for example: “Win81”.

Logon ID [Type = HexInt64]: hexadecimal value that can help you correlate this event with recent events that might contain the same Logon ID, for example, “4624: An account was successfully logged on.”

Cryptographic Parameters:

Provider Name [Type = UnicodeString]: the name of KSP through which the operation was performed. Can have one of the following values:

Microsoft Software Key Storage Provider

Microsoft Smart Card Key Storage Provider

Algorithm Name [Type = UnicodeString]: the name of cryptographic algorithm through which the key was used or accessed. For “Read persisted key from file” operation, this typically has “UNKNOWN” value. Can also have one of the following values:

RSA – algorithm created by Ron Rivest, Adi Shamir, and Leonard Adleman.

DSA – Digital Signature Algorithm.

DH – Diffie-Hellman.

ECDH_P521 – Elliptic Curve Diffie-Hellman algorithm with 512-bit key length.

ECDH_P384 – Elliptic Curve Diffie-Hellman algorithm with 384-bit key length.

ECDH_P256 – Elliptic Curve Diffie-Hellman algorithm with 256-bit key length.

ECDSA_P256 – Elliptic Curve Digital Signature Algorithm with 256-bit key length.

ECDSA_P384 – Elliptic Curve Digital Signature Algorithm with 384-bit key length.

ECDSA_P521 – Elliptic Curve Digital Signature Algorithm with 521-bit key length.

Key Type [Type = UnicodeString]: can have one of the following values:

“User key.” – user’s cryptographic key.

“Machine key.” – machine’s cryptographic key.

Cryptographic Operation:

Operation [Type = UnicodeString]: performed operation. Possible values:

Open Key. – open existing cryptographic key.

Create Key. – create new cryptographic key.

Delete Key. – delete existing cryptographic key.

Sign hash. – cryptographic signing operation.

Key Derivation. – key derivation operation.

Encrypt. – encryption operation.

Decrypt. – decryption operation.

Return Code [Type = HexInt32]: has “0x0” value for Success events. For failure events, provides a hexadecimal error code number.

Security Monitoring Recommendations

For 5061(S, F): Cryptographic operation.

Источник

Microsoft windows security auditing 5061

установленная ос windows 8.1 x64

Журнал безопасности виндовс фиксирует:

Предмет:
Идентификатор безопасности: ALIENWARExxxxxx
Имя учетной записи: xxxxxx
Домен учетной записи: ALIENWARE
Идентификатор входа в систему: 0x35426

Криптографические параметры:
Имя поставщика: Microsoft Software Key Storage Provider
Имя алгоритма: UNKNOWN
Имя ключа: CD1CC265-0DA0-4230-8419-CB6F808FE688
Тип ключа: Ключ пользователя.

Операция шифрования:
Операция: Открыть ключ.
Код возврата: 0x80090016

[ Name]

Microsoft-Windows-Security-Auditing

Keywords

0x8010000000000000

SubjectUserSid

S-1-5-21-1922952922-4088675602-1580546449-1001

SubjectDomainName

ALIENWARE

ProviderName

Microsoft Software Key Storage Provider

KeyName

CD1CC265-0DA0-4230-8419-CB6F808FE688

ReturnCode

Данный аудит фиксируется при закрытии браузера IE v.11.0.9600.16518 при условии «Удаления журнала браузера при выходе». как устранить появление данных ошибок. Ответы Stop and restart the application pool Application pools occasionally have to be restarted in order to return to normal operation. Because application pools depend on the Windows Process Activation Service (WAS), you may have to restart WAS. If you restart WAS, you may also have to restart the World Wide Web Publishing Service (W3SVC), which depends on WAS. To perform these procedures, you must have membership in Administrators, or you must have been delegated the appropriate authority. To stop and start the application pool: To stop or restart WAS: To start the W3SVC: Verify An application pool that is correctly configured will start without incident. To verify that the application pool has started, use the following procedure. To perform this procedure, you must have membership in Administrators, or you must have been delegated the appropriate authority. To verify that an application pool has started: Источник 5061 (S, F): криптографическая операция. Описание события: Это событие создается при выполнении криптографической операции (откройте ключ, создайте ключ, создайте ключ и так далее) с помощью поставщика ключей служба хранилища (KSP). Это событие создается только в том случае, если был использован один из следующих KSP: Поставщик ключа служба хранилища программного обеспечения Microsoft Smart Card Key служба хранилища поставщик Примечание. Рекомендации приведены в разделе Рекомендации по мониторингу безопасности для этого события. XML события: Необходимые роли сервера: нет. Минимальная версия ОС: Windows Server 2008, Windows Vista. Версии события: 0. Описания полей: Тема: Имя учетной записи [Type = UnicodeString]: имя учетной записи, запрашиваемой для конкретной криптографической операции. Account Domain [Type = UnicodeString]: домен субъекта или имя компьютера. Форматы различаются и включают в себя следующее: Пример имени домена NETBIOS: CONTOSO Полное имя домена в нижнем регистре: contoso.local Полное имя домена в верхнем регистре: CONTOSO.LOCAL Для некоторых известных субъектов безопасности, таких как LOCAL SERVICE или ANONYMOUS LOGON, значение этого поля равно «NT AUTHORITY». Для учетных записей локальных пользователей это поле будет содержать имя компьютера или устройства, к которым принадлежит эта учетная запись, например: «Win81». Logon ID [Type = HexInt64]: шестнадцатеричное значение, которое может помочь сопоставить это событие с недавними событиями содержащими тот же идентификатор входа, например: “4624: Учетная запись успешно вошла в систему.” Криптографические параметры: Имя поставщика [Type = UnicodeString]: имя KSP, с помощью которого была выполнена операция. Может иметь одно из указанных ниже значений. Поставщик ключа служба хранилища программного обеспечения Microsoft Smart Card Key служба хранилища поставщик Имя алгоритма [Type = UnicodeString]: имя криптографического алгоритма, с помощью которого использовался или был доступ к ключу. Для операции «Чтение сохраняемого ключа из файла» это обычно имеет значение «UNKNOWN». Может также иметь одно из следующих значений: RSA — алгоритм, созданный Роном Ривестом, Ади Шамиром и Леонардом Адлеманом. DSA — алгоритм цифровой подписи. ECDH_P521 — Diffie-Hellman с длиной ключа 512-битных клавиш. ECDH_P384 — Diffie-Hellman эллиптической кривой с длиной ключа 384 бита. ECDH_P256 — Diffie-Hellman эллиптического Diffie-Hellman с длиной ключа 256-битного ключа. ECDSA_P256 — алгоритм цифровой подписи эллиптической кривой с длиной ключа в 256 бит. ECDSA_P384 — алгоритм цифровой подписи эллиптической кривой с 384-битной длиной ключа. ECDSA_P521 — алгоритм цифровой подписи эллиптической кривой с 521-битной длиной ключа. Имя ключа [Type = UnicodeString]: имя ключа (контейнер ключа), с которым выполнена операция. Например, чтобы получить список **** имен ключей для сертификатов для входа в пользователя, можно использовать «certutil-store-user my» command and check Key Container parameter in the output. Вот пример вывода: Тип ключа [Type = UnicodeString]: может иметь одно из следующих значений: «Ключ пользователя». — криптографический ключ пользователя. «Ключ машины». — криптографический ключ машины. Криптографическая операция: Операция [Type = UnicodeString]: выполненная операция. Возможные значения: Откройте ключ. — откройте существующий криптографический ключ. Создание ключа. — создание нового криптографического ключа. Удаление ключа. — удалите существующий криптографический ключ. Подпишите хаш. — операция криптографической подписи. Вывод ключей. — операция по выводу ключей. Шифруй. — операция шифрования. Расшифровка. — операция расшифровки. Код return [Type = HexInt32]: имеетзначение 0x0для событий успеха. Для событий сбоя предоставляется код кода гексадецимальной ошибки. Рекомендации по контролю безопасности Для 5061 (S, F): криптографическая операция. Источник Аудит активности DPAPI Активность DPAPI аудита определяет, генерирует ли операционная система события аудита при вызове шифрования или расшифровки в интерфейс приложения защиты данных(DPAPI). Объем событий: низкий. Тип компьютера Общий успех Общий сбой Более сильный успех Более сильный сбой Комментарии Контроллер домена IF IF IF IF IF — События в этой подкатегории обычно имеют информационную цель, и с помощью этих событий трудно обнаружить какие-либо вредоносные действия. В основном используется для устранения неполадок DPAPI. Сервер участника IF IF IF IF IF — События в этой подкатегории обычно имеют информационную цель, и с помощью этих событий трудно обнаружить какие-либо вредоносные действия. В основном используется для устранения неполадок DPAPI. Workstation IF IF IF IF IF — События в этой подкатегории обычно имеют информационную цель, и с помощью этих событий трудно обнаружить какие-либо вредоносные действия. В основном используется для устранения неполадок DPAPI. Список событий: 4692(S, F): Была предпринята попытка резервного копирования ключа защиты данных. 4693(S, F): была предпринята попытка восстановления ключа защиты данных. 4694(S, F): была предпринята попытка защиты проверяемых защищенных данных. 4695(S, F): была предпринята попытка непротезации проверяемых защищенных данных. Источник Читайте также:  nexus vst mac os Adblock detector