| 事件 | 4625 登录失败（Security 日志） |
|---|---|
| 关键字段 | TargetUserName / IpAddress / LogonType / SubStatus |
| SubStatus | 0xC000006A 密码错、0xC0000064 用户不存在 |
| 配套事件 | 4740 账号锁定 |
按用户聚合失败并展示来源
按用户聚合失败并展示来源
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} -MaxEvents 200 | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SrcIP';e={$_.Properties[19].Value}}, @{n='Type';e={$_.Properties[10].Value}} | Format-Table -AutoSizeLogonType 3（网络）与 10（远程桌面）的密集失败最典型；同源 IP 随后出现 4624 成功，按已突破处理。