| 4720 | 创建用户账户 |
|---|---|
| 4726 | 删除用户账户 |
| 配套 | 4738 修改属性、4722/4725 启用停用 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4726,4738,4722,4725} -MaxEvents 30 | Select-Object TimeCreated, Id, @{n='Target';e={$_.Properties[0].Value}}, @{n='By';e={$_.Properties[4].Value}} | Format-Table -AutoSize没人申报的建号/删号要当安全事件处理：账户变更是最直接的后门手法之一。