| 用途 | 按事件 ID 精准检索 |
|---|---|
| 字段 | EventID + LogonType + Account |
常用 ID
| ID | 含义 |
|---|---|
| 4624 | 登录成功 |
| 4625 | 登录失败 |
| 4672 | 特权登录 |
| 4720/4732 | 账号/组变更 |
LogonType 区分交互(2)/网络(3)/RDP(10)，判读时结合。
Windows 登录事件 ID 速查
关键事件 ID：4624 登录成功、4625 失败、4648 显式凭据、4672 特权分配、4720 账号创建、4732 组变更——按 ID 过滤登录面。
易错点
- 4624 频次高（服务与计划任务也记录），要按账户与类型过滤
- 仅开成功审计会丢失爆破过程，失败审计也要开
数据来源与参考
- Microsoft 安全审计事件文档