| 加固项 | 登录事件分析 |
|---|---|
| 适用平台 | Windows |
| 风险等级 | 高 |
| 基线 | 登录事件可查询、可分析 |
查询与归并
查询与归并
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=(Get-Date).AddHours(-24)} -MaxEvents 50
$failed = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-24)} -MaxEvents 200
$failed | Select-Object TimeCreated,@{n='User';e={$_.Properties[5].Value}},@{n='SrcIP';e={$_.Properties[19].Value}} | Group-Object SrcIP | Sort-Object Count -Descending | Select-Object -First 104625 按来源 IP 分组看爆破最直观；4624 关注登录类型（3 网络、10 远程交互、5 服务）。