| 用途 | 账号侧完整轨迹 |
|---|---|
| 事件 | 4720 / 4722 / 4724 / 4726 / 4732 / 4738 |
查询
查询
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4722,4724,4726,4732} -MaxEvents 60 |
Select-Object TimeCreated, Id, Message | Format-List每条事件都带操作者账号，识别是管理员操作还是异常进程。
账号管理事件（4720 系列）
账号生命周期事件齐全：4720 创建、4722 启用、4724 改密、4726 删除、4732 加组，后门账号从创建到提权可逐条还原。
易错点
- 域环境还要查域控侧对应事件，本机日志不全
- 变更由服务账号执行时需回溯其宿主进程
数据来源与参考
- Microsoft Docs（账号管理审核事件）