| 用途 | 从登录事件区分访问渠道 |
|---|---|
| 对照 | 2 交互 / 3 网络 / 4 批处理 / 5 服务 / 7 解锁 / 8 明文 / 9 新凭据 / 10 RDP / 11 缓存 |
登录类型对照
| 类型 | 含义 | 常见场景 |
|---|---|---|
| 3 | 网络登录 | 共享访问、SMB、IIS |
| 10 | 远程桌面 | RDP 交互会话 |
| 9 | 新凭据 | runas / cmdkey |
类型 3 大量出现多为扫描或凭据尝试，需结合来源 IP 与账号判断。
Windows 登录类型（Logon Type）对照
4624/4625 事件里的 Logon Type 指明登录渠道：2 交互、3 网络、10 远程桌面、5 服务：判断登录是否来自 RDP 或网络共享靠它。
易错点
- 类型 3 不一定恶意，业务服务账号也会产生，需基线对比
- RDP 会话建立还看 4778/4779 与 TerminalServices 系列事件
数据来源与参考
- Microsoft Docs（4624 事件与登录类型）