4672 特殊特权分配是什么
4672 是「为新登录分配特殊特权」事件：某个登录会话拿到 SeDebug、SeBackup、SeTcb 这类敏感特权时，安全日志就会记一条。管理员无论本地登录还是远程登录几乎必然产生该事件，因此它更适合当作特权活动的时间线锚点，配合 4624 登录事件一起分析，而不是单纯按数量报警。
基本信息
| 适用平台 | Windows 安全日志（需开启登录审核） |
|---|---|
| 事件含义 | 登录会话被授予特殊特权 |
| 关键字段 | Subject、Privileges（逗号分隔的特权清单） |
| 配对事件 | 与同期 4624、4634 联合分析 |
| 产生条件 | 特权账户登录即产生，量级较大 |
典型使用场景
- 梳理特权账户在什么时间从哪台机器登录并活动
- 与 4624 配对，确认该次特权分配的登录类型
- 排查某账号是否被授予了调试、备份等不该有的特权
- 权限梳理时导出特权清单，核对是否符合最小权限
- 告警调优时把 4672 当作统计口径而不是直接告警项
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=(Get-Date).AddHours(-4)} |
Select-Object TimeCreated, @{n='User';e={$_.Properties[1].Value}}, @{n='Privs';e={$_.Properties[4].Value}} -First 15 |
Format-Table -Wrap
# 统计最近一天的条数，观察是否异常激增（索引按本机核对）：
(Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=(Get-Date).AddDays(-1)}).Count
# 与登录事件对照：
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 5 | Select-Object TimeCreated, Id字段怎么读
| 字段 | 含义 | 解读要点 |
|---|---|---|
| Subject 用户名 | 本次登录的账户 | 特权活动的主体 |
| Privileges | 授予的特权清单 | 重点看调试、备份、还原类特权 |
| 登录类型 | 来自配对 4624 记录 | 区分本地、远程、服务登录 |
| 时间 | 事件发生时刻 | 作为时间线锚点使用 |
4672 的数量天然很大，任何一个管理员会话都可能产生多条；做告警应关注「非特权账户拿到特权」或「特权账户在异常时段登录」这类组合特征，而不是条数本身。
Privileges 字段通常很长，阅读时聚焦 SeDebugPrivilege、SeBackupPrivilege、SeTcbPrivilege 这类高敏感项，比从头读一遍高效得多。做基线统计时先按天汇总条数，看分布是否平稳更直观。