RayduceCOMMAND
CREATOR

COMMAND REFERENCE / SOURCE

1126|Windows was unable to determine whether new Group Policy settings defined by a network admin

sec4_evt_679資料輸入14 個參數

這個指令做什麼?

事件調查:Windows was unable to determine whether new Group Policy settings defined by a network admin。固定提供者 Microsoft-Windows-GroupPolicy;事件 ID 1126。讀取事件證據,不代表偵測到入侵;需結合上下文判讀。 Windows was unable to determine whether new Group Policy settings defined by a network administrator should be enforced for this user or computer because this computer's clock is not synchronized with the clock of one of the domain controllers for the domain. Because of this issue, this computer system may not be in compliance with the network administrator’s requirements, and users of this system may not be able to use some functionality on the network. Windows will periodically attempt to retry this operation, and it is possible that either this system or the domain controller will correct the time settings without intervention by an administrator, so the problem will be corrected. If this issue persists for more than an hour, checking the local system's clock settings to ensure they are accurate and are synchronized with the clocks on the network's domain controllers is one way to resolve this problem. A network administrator may be required to resolve the issue if correcting the local time settings does not address the problem.

PARAMETERS

參數怎麼填?

01

回溯時數

必填

以本次執行時間往前計算;離線 EVTX 也套用時間範圍。 範圍:1~8760。 預設/範例:24。 必填。

預設/範例24
02

最多回傳筆數

必填

限制輸出筆數;不會變更資料來源。 範圍:1~5000。 預設/範例:100。 必填。

預設/範例100
03

最多讀取候選事件

必填

先以提供者、事件 ID、時間查詢,再比對資料欄位;此上限可能截斷結果。 範圍:1~10000。 預設/範例:1000。 必填。

預設/範例1000
04

事件通道

必填

此事件原始通道;不同 Windows 版本可手動調整。通道未啟用時不會自動啟用。 預設/範例:System。 必填。

預設/範例System
05

離線 EVTX 檔案路徑(選填)

選填

填寫後讀取既有 EVTX,不讀取本機通道;空白表示本機。 可留空。

預設/範例留空;必填時請於執行前設定
06

資料欄位比對方式

必填

套用到下方事件專屬欄位;所有非空條件須同時成立。 可選:包含、等於、正規表示式。 必填。

包含等於正規表示式
預設/範例包含
07

事件讀取順序

必填

一般日誌可選順序;Analytic/Debug 日誌若要求由舊到新,會自動改採最舊優先。掃描上限會依此順序截斷。 可選:最新優先、最舊優先。 必填。

最新優先最舊優先
預設/範例最新優先
08

SupportInfo1(win:UInt32)

選填

僅篩選此事件的 SupportInfo1;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
09

SupportInfo2(win:UInt32)

選填

僅篩選此事件的 SupportInfo2;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
10

ProcessingMode(win:UInt32)

選填

僅篩選此事件的 ProcessingMode;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
11

ProcessingTimeInMilliseconds(win:UInt32)

選填

僅篩選此事件的 ProcessingTimeInMilliseconds;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
12

ErrorCode(win:UInt32)

選填

僅篩選此事件的 ErrorCode;空白不限制。原始型別 win:UInt32,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
13

ErrorDescription(win:UnicodeString)

選填

僅篩選此事件的 ErrorDescription;空白不限制。原始型別 win:UnicodeString,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
14

其他事件欄位條件 JSON(選填)

選填

例如 {"ProcessId":"1234"}。支援此事件的其餘欄位;此物件只用於比對,不執行程式碼。 可留空。

預設/範例留空;必填時請於執行前設定
← 返回同分類指令