4624 要看类型和来源
4624 是成功登录事件，但单看数量没有意义，必须看登录类型与来源：类型 2 本地交互、3 网络、5 服务、7 解锁、10 远程桌面。类型 10 出现陌生公网来源、类型 3 出现管理账号，才是入侵判定的关键证据。
字段取值要注意什么
属性索引随事件版本变化，直接取固定下标容易读错字段。稳妥做法是先用一条完整事件打印全部属性核对位置，或用 FilterXPath 按字段名筛选，再批量查询。
基本信息
| 事件 | 4624 成功登录（Security 通道） |
|---|---|
| 常用类型 | 2 本地、3 网络、5 服务、7 解锁、10 远程桌面 |
| 关键字段 | TargetUserName、LogonType、IpAddress、WorkstationName |
| 高危组合 | 类型 10 的陌生公网来源、类型 3 的管理账号 |
| 关联事件 | 4672 特权分配、4634 注销、4776 凭据验证 |
| 权限要求 | 读取 Security 通道需管理员 |
典型使用场景
- 还原攻击者的登录时间与来源地址
- 区分正常服务登录与人为远程登录
- 判断是否存在未授权的远程桌面访问
- 与 4625 失败记录对照，定位爆破成功后的登录时刻
- 复盘时给出确切的交互式登录清单
筛选远程与网络登录
筛选远程与网络登录
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-3)} -MaxEvents 300 |
Where-Object { $_.Properties[8].Value -in 10,3 } |
Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='Type';e={$_.Properties[8].Value}}, @{n='IP';e={$_.Properties[18].Value}} | Format-Table -AutoSize
(Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 1).Properties | ForEach-Object { $_.Value } # 核对字段索引
Get-WinEvent -LogName Security -FilterXPath "*[System[(EventID=4624)]] and *[EventData[Data[@Name='LogonType']='10']]" -MaxEvents 20输出逐列读法
| 字段 | 含义 | 正常/异常 |
|---|---|---|
| LogonType | 登录类型编号 | 类型 10 与 3 的陌生来源需重点核对 |
| IpAddress | 来源地址 | 显示 ::1 或 127.0.0.1 时需结合其他通道判断真实来源 |
| TargetUserName | 登录账号 | 管理账号的远程登录应有工单依据 |
| WorkstationName | 来源主机名 | 网络登录时为空属常见情况 |
来源显示 ::1 或 127.0.0.1 多见于本地与代理场景：结合终端服务 1149 事件与防火墙会话记录确认真实来源，避免误判。
登录成功后紧接着的 4672 特权分配往往比 4624 更早暴露意图，两者要成对看，只看 4624 会错过特权提升的瞬间。
关联 4672 与远程桌面通道
关联 4672 与远程桌面通道
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} -MaxEvents 30 | Select-Object TimeCreated, @{n='User';e={$_.Properties[1].Value}}
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -MaxEvents 20 -ErrorAction SilentlyContinue | Where-Object Id -eq 1149 | Select-Object TimeCreated, @{n='User';e={$_.Properties[0].Value}}, @{n='Src';e={$_.Properties[2].Value}}导出与留档
- 按时间窗导出 4624 相关事件到证据目录并计算哈希
- 把来源 IP 与账号清单整理成表格，标注是否授权
- 记录查询时间点，说明事件仍在持续写入