| 用途 | 锁定定位与来源追踪 |
|---|---|
| 关键字段 | TargetUserName、TargetDomainName、CallerComputerName |
| 位置 | 域环境在各域控安全日志；本机在本地安全日志 |
常用示例
常用示例
# 在 PDC/域控上执行
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4740; StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, @{n='User';e={$_.Properties[0].Value}}, @{n='Caller';e={$_.Properties[1].Value}} | Format-Table -AutoSizeCallerComputerName 直接给你“谁在反复试”：手机、旧电脑、服务是最常见候选。