從Windows審計日誌中提取任何機器特定的信息？

Question

這是一個跟進this question。

我遵循接受的答案，並認爲我對結果感到滿意，但遇到了障礙。

我從監控目錄服務器上運行我的C＃程序的安裝。每次修改文件時，FileSystemWatcher都會觸發一個事件，該事件會導致程序檢查安全審覈日誌（已打開，請參閱上一個問題的解決方案）。

的問題

我的問題是，當我檢查安全日誌，遠程用戶修改文件後，他們會被記錄爲匿名用戶。特別是「NT AUTHORITY \ SYSTEM」。有沒有辦法從這些安全日誌中提取獨特的信息，這將有助於我區分修改文件的用戶？

的DEETS

我使用EventLog閱讀這樣的安全日誌：

EventLog log = new EventLog("security"); 
EventLogEntryCollection col = log.Entries; 
//... 
string username = entry.UserName; 

Answer 1

這可能有助於 字符串username = System.Security.Principal.WindowsIdentity.GetCurrent（） 。名稱;