| 用途 | 追踪显式凭据的使用 |
|---|---|
| 关键字段 | Subject（发起者）、TargetUserName（被使用账户）、TargetServerName |
| 典型来源 | runas、net use /user、计划任务凭据、PsExec 类工具 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648} -MaxEvents 30 | Select-Object TimeCreated, @{n='From';e={$_.Properties[1].Value}}, @{n='Used';e={$_.Properties[5].Value}}, @{n='Target';e={$_.Properties[8].Value}} | Format-Table -AutoSize突然出现未预期的 4648（尤其特权账户）值得跟进：可能是自动化残留或被滥用的凭据。