Fehlerhafte Veränderungen an der Systemzeit können sich für Anwendungen chaotisch auswirken. Zur Änderung der Systemzeit müssen die Benutzer über die Berechtigung „Change System Time“ (Ändern der Systemzeit) verfügen, was sich über das Aktivieren von „Audit Privilege Use“ (Rechteverwendung überwachen) zurückverfolgen lässt. Dann wird jede Ereignis-ID 577 (Privileged Service Called; Ein Benutzer hat versucht, einen privilegierten Systemdienstvorgang auszuführen) untersucht, ob sie die Beschreibung „SeSystemTimePrivilege“ enthält.

Kontenverwaltung
Die Kategorie Audit Account Management (Kontenverwaltung überwachen) ermöglicht die Überwachung, wie Administratoren ihre Berechtigungen einsetzen und wie sie neue Zugriffsberechtigungen erteilen. Bei DCs ist auf die Ereignis-ID 642 (User Account Changed; Benutzerkonto wurde geändert) zu achten, womit sich Änderungen am Status eines Benutzerkontos oder Kennwortänderungen erkennen lassen. Da diese Ereignis-ID für fast alle Arten von Benutzerkontoänderungen gilt, muss die Beschreibung der ID gelesen werden, um zu erkennen, welche Änderungen am Benutzerkonto durchgeführt wurden. Die Beschreibung der Ereignis-ID 642 (Bild 3) zeigt eindeutig die Art der Änderung, wie „Passwort zurückgesetzt“ (Password Reset) oder „Konto aktiviert“ (Account Enabled).