560 странно...
 

вообщем Windows Server 2003.
вот скрин евент вьюера:

использую EventCombMT, поиск по ID 560 и по имени пользователю (два разных поиска).
По ID 560 всего 13 записей, а по пользователю ни одного!!!
Но ведь в евент вьюере какждую секунду по несколько записей. Что происходит?
вообще, что это за ID ? читал в технете, ничего не понял...
сейчас обнаружил евенты 567 и 562 - success Audit у этого же пользователя.
Эти евенты связанны, но я не понимаю их.
ещё такой момент: на ресурс, куда указывает лог - настроен аудит (Аудит файлов для всех пользователей).
Описание: