| 用途 | 识别并初步判定爆破 |
|---|---|
| 量化 | 按来源 IP 与账号分别聚合 4625 |
| 联动 | 4771 Kerberos 失败、4740 锁定激增 |
常用示例
常用示例
# 近 1 小时按来源 IP 聚合失败
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-1)} | Group-Object { $_.Properties[19].Value } | Sort-Object Count -Descending | Select-Object Count, Name -First 10
# 按账号聚合
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-1)} | Group-Object { $_.Properties[5].Value } | Sort-Object Count -Descending | Select-Object Count, Name -First 10确认爆破后先评估暴露面：RDP/VDI 是否公网可达，再决定封禁、改端口或上多因素。