高频事件 ID
| 事件 ID | 含义 |
|---|---|
| 4624 / 4625 | 登录成功 / 登录失败（注意登录类型字段） |
| 4672 | 分配特殊权限（管理员登录特征） |
| 4688 | 进程创建（需开启审核与命令行记录） |
| 4720 / 4726 | 创建用户 / 删除用户 |
| 4728 / 4732 | 加入全局组 / 本地组 |
| 4697 | 服务安装 |
快速核查命令
快速核查命令
auditpol /get /category:* | Select-String -Pattern "登录/注销|账户管理"
wevtutil qe Security /q:"*[System[(EventID=4625)]]" /c:5 /rd:true /f:text