| 用途 | 快速定位证据所在事件 |
|---|---|
| 常用 | 4624/4625 登录，4688 进程，4720/4726 账号，4698 任务，7045 服务 |
常见事件
| 事件 | 含义 | 取证价值 |
|---|---|---|
| 4624 | 登录成功 | 来源 IP 与登录类型 |
| 4688 | 进程创建 | 命令行与父进程 |
| 4720 | 创建账号 | 后门账号线索 |
| 1102 | 日志被清空 | 反取证动作 |
开启审计策略决定事件是否产生，先确认策略再解读"没有记录"。
安全日志关键事件速览
Windows 安全日志事件号是取证索引：登录、进程、账号、计划任务、服务各有对应号段，先记常用集合再按需扩展。
易错点
- 默认策略下 4688 常无命令行，需先开审核与命令行包含
- 1102 出现即日志被清，要转向其他来源补证据
数据来源与参考
- Microsoft Docs（安全审核事件列表）