| 用途 | 标记特权账户活动 |
|---|---|
| 关键字段 | Subject、Privileges（逗号分隔的特权清单） |
| 联想 | 与同时间 4624 配对，确认是哪种登录类型触发的 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=(Get-Date).AddHours(-4)} | Select-Object TimeCreated, @{n='User';e={$_.Properties[1].Value}}, @{n='Privs';e={$_.Properties[4].Value}} -First 15 | Format-Table -Wrap4672 数量暴涨意味着特权登录激增：结合来源与时间判断是否异常运维/横向移动。