注销事件是什么
4624 记登录、4634 和 4647 记会话结束，是登录审计的收尾两件套。4634 表示登录会话被销毁，网络登录、服务登录这类非交互会话结束时也会产生；4647 表示用户自己点了注销。两者都落在 Security 通道，需管理员权限读取。
基本信息
| 适用平台 | Windows Server 2008 及以上，需开启登录审核 |
|---|---|
| 4634 含义 | 登录会话终止，含服务/网络等非交互会话 |
| 4647 含义 | 用户主动注销 |
| 审计用途 | 与 4624 按 LogonId 配对，算出会话时长 |
典型使用场景
- 会话时长审计：配对 4624/4634，统计每人每天实际在线时间
- 发现短命会话：秒级建立又销毁的会话往往不是人工操作
- 排查残留会话：注销后仍有会话存活，可能卡在进程或服务上
- RDP 使用核查：配合 4778/4779 区分“断开连接”和“真正注销”
- 异常登录复盘：异常时段登录后立即结束，作为入侵链的一段证据
常用示例
常用示例
# 近 24 小时的注销与主动注销事件
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634,4647; StartTime=(Get-Date).AddHours(-24)} |
Select-Object TimeCreated, Id, @{n='User';e={$_.Properties[1].Value}}, @{n='LogonType';e={$_.Properties[6].Value}} -First 20 |
Format-Table -AutoSize
# 把登录与注销放一起看配对关系
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4634; StartTime=(Get-Date).AddHours(-6)} |
Select-Object TimeCreated, Id, ActivityId | Sort-Object TimeCreatedRDP 客户端断开连接不会产生 4634/4647，会话在服务器上仍然存活（服务器端记录 4779 断开、4778 重新连接）；只有注销或会话超时被清理才产生结束事件。所以“断开”不等于“下线”。
网络登录（LogonType 3）的会话生命周期可能只有几毫秒，用它判断用户是否在线会得出完全错误的结论；判断交互在线应限定 LogonType 2 与 10。
服务账户与计划任务会产生自己的登录会话，同样有 4624/4634 配对。做“人在线时长”统计时先把这类账户或登录类型排除，否则夜间也会有大量会话记录干扰结论。
相邻事件速记
| 事件号 | 含义 | 排查用途 |
|---|---|---|
| 4624 | 登录成功 | 会话起点，与 4634 配对 |
| 4634 | 会话终止 | 含非交互会话，量最大 |
| 4647 | 用户主动注销 | 确认是人为注销而非超时 |
| 4778 / 4779 | 会话重连 / 断开 | 区分“断开”与“注销” |
| 4740 | 账户被锁定 | 登录失败连锁反应的结果 |