| 关键字段 | Status/SubStatus 失败码、LogonType、TargetUserName、IpAddress、WorkstationName |
|---|---|
| 常见码 | 0xC000006A 密码错误；0xC0000064 用户不存在；0xC0000234 账户锁定；0xC000006F 时间限制 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='Status';e={$_.Properties[7].Value}}, @{n='SubStatus';e={$_.Properties[9].Value}}, @{n='IP';e={$_.Properties[19].Value}}, @{n='Type';e={$_.Properties[10].Value}} | Format-Table -AutoSize单账号高频失败=旧凭据重试或爆破；多账号扫库=爆破；结合来源 IP 判定内外部。