常用事件号一览
Windows 事件日志按来源分成多个通道：安全日志记录登录、账号、特权与审计策略，系统日志记录服务安装与系统级事件，PowerShell 操作日志记录脚本执行。排查时先记住一批高频事件号，就能快速把候选证据筛出来：登录类、进程类、账号类、持久化类、反取证类各有对应编号。数值本身容易记混，实践上建议把编号、含义与「值得关注的原因」三者一起记。
基本信息
| 通道划分 | 安全（Security）、系统（System）、应用（Application）、PowerShell 操作日志 |
|---|---|
| 登录类 | 4624 成功、4625 失败、4648 显式凭据、4672 特权分配 |
| 进程类 | 4688 进程创建（需审计策略与命令行包含策略） |
| 账号类 | 4720 创建、4726 删除、4732/4756 加入组、4728 加入本地组 |
| 持久化类 | 4698/4702 计划任务、7045 服务安装、4697 服务安装 |
| 反取证类 | 1102 安全日志被清空、104 日志文件被清除（系统日志） |
典型使用场景
- 快速定位某类行为的证据所在通道与编号
- 把登录、账号变更、持久化三类事件按时间排成一条线
- 识别反取证动作：日志被清空后立即切换证据来源
- 用特权分配事件找出提权后的管理操作
- 用服务安装事件排查服务形式的持久化与驱动加载
- 为其他团队提供「查哪个事件号」的速查依据
常见事件
| 事件 | 含义 | 取证价值 |
|---|---|---|
| 4624 | 登录成功 | 来源地址、登录类型与账号 |
| 4625 | 登录失败 | 爆破过程与来源分布 |
| 4672 | 分配特殊特权 | 提权后的管理操作起点 |
| 4688 | 进程创建 | 命令行与父进程，需审计策略支持 |
| 4720 | 创建账号 | 后门账号线索 |
| 4726 | 删除账号 | 清理动作或掩盖痕迹 |
| 4732/4756 | 加入本地/通用组 | 权限提升路径 |
| 4698/4702 | 计划任务创建/更新 | 持久化落点与任务内容 |
| 7045 | 服务安装（系统日志） | 服务与驱动形式的持久化 |
| 1102 | 安全日志被清空 | 反取证动作，出现即需换来源 |
批量拉取关键事件
批量拉取关键事件
# 安全日志中一次拉取多个关键 ID，按时间倒序
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4672,4688,4720,4698} -MaxEvents 300 |
Sort-Object TimeCreated -Descending | Select-Object TimeCreated, Id, ProviderName
# 系统日志里的服务安装
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045} -MaxEvents 20 |
Select-Object TimeCreated, Message
# 检查日志是否被清空
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -MaxEvents 3审计策略决定事件是否产生：某些通道默认关闭，或只记录部分类别。解读「没有记录」之前先确认策略与通道是否开启，避免把「未开审计」当作「未发生」。
1102 出现即说明安全日志被清空，此时应立刻转向其他来源补证据，包括系统日志、PowerShell 操作日志与磁盘镜像中的日志文件。