| 新建 | 4720 创建用户 |
|---|---|
| 启用/改密 | 4722 启用、4723/4724 改密 |
| 加组 | 4732 加入本地组、4756 加入全局组 |
| 特权 | 4672 分配特殊权限（每次特权登录都记） |
串查账号相关事件
串查账号相关事件
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4722,4726,4732; StartTime=(Get-Date).AddDays(-14)} -MaxEvents 100 | Select-Object TimeCreated, Id, @{n='Msg';e={($_.Message -split "`n")[0]}} | Sort-Object TimeCreated | Format-Table -AutoSize服务器上突然出现的本地管理账号是最常见的后门形态；先定位创建者（SubjectUserName）与时间点，再谈清理。