ポリシーの監査ポリシーの設定に従い、出力を制御しています。XP/2003では監査ポリシーは大きく9つに分類されていましたが、Vistaからは細分化されて50以上に分類されています。デフォルトの設定値は、オンライン状態であればauditpolコマンドを実行することにより確認可能です。以下が全ポリシーの設定値を確認するコマンドです。/category:*オフラインではレジストリ(HKLM\Security\Policy\PolAdtEv)から読み取る必要があります。10の当該レジストリの画面です。4.0時代のPolAdtEvに関する情報は、以下のURLで公開されています。Registryhttp://support.microsoft.com/kb/246120この頃は7つのポリシーしか定義されていなかったようで、9つあるXP/2003と若干異なります。Analysisで紹介されています。Vista以上のPolAdtEvの構造Vista以上のWindowsの各種バージョンに対して、デフォルト設定をベースにPolAdtEvの構造を一通り確認してPDFにまとめてみました。Parserhttps://www.kazamiya.net/PolAdtEvParserWeb上でPolAdtEvキーをパースするページを作ってみました。auditpolhttps://github.com/keydet89/RegRipper2.8/blob/master/plugins/auditpol.plPolAdtEvキー構造をパースする際のソースとして参照されています。auditpolhttps://github.com/volatilityfoundation/volatility/blob/master/volatility/plugins/registry/auditpol.pyPolAdtEvキー構造をパースする際のソースとして参照されています。RochaさんのブログでPolAdtEvキーについて紹介されています。10(1607)/2016で新たな構造になっていたため、資料をrev4にアップデートしました。8.1/2012/10/Thresholdの内容を確認したため、タイトルを更新して資料をrev3にアップデートしました。2008(x32)/Vistaの2パターンにわけて更新しました。(1)では「オブジェクトアクセス」カテゴリの「詳細なファイル共有」の項目が含まれますが、(2)では含まれません。