| 用途 | 追踪账户属性变更 |
|---|---|
| 相关 | 4723 用户改自己密码、4724 管理员重置密码 |
| 易错 | 4738 有时也出现在改密流程里，别把它当唯一证据 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4723,4724,4738} -MaxEvents 30 | Select-Object TimeCreated, Id, @{n='Target';e={$_.Properties[0].Value}}, @{n='By';e={$_.Properties[4].Value}} | Format-Table -AutoSize“改密”事件的完整链条：4723/4724 为主，4738 作补充。