有没有办法查看谁修改了注册表？

Question

我试图调试本地Web服务器上的一些设置，并注意到一些注册表在过去几天发生了变化。我试图追捕哪个用户修改了注册表。有没有办法看到谁修改了注册表？

注意：这是在Windows Server 2003平台上，每个有远程桌面访问权的用户都将拥有自己的唯一用户名。

Answer 1

此信息通常不是由Windows存储的，因此除非您正在审核注册表更改，否则不可能。您可以打开审计（内置于Windows）来捕获注册表更改（以及其他注册表活动）。审计结果存储在Windows事件日志中。

见MS article on auditing registry changes.

审核通过相当多的会减慢速度，因为注册表获取大量活动。只需审计就可以实现您的目标。