| 用途 | 登录情况盘点 |
|---|---|
| 方法 | 4624 按 TargetUserName 聚合，结合 LogonType 过滤 |
| 过滤 | 排除机器账户（$ 结尾）与系统账户（SYSTEM/NETWORK SERVICE） |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)} | Where-Object { $_.Properties[5].Value -notlike '*$' -and $_.Properties[5].Value -notin 'SYSTEM','NETWORK SERVICE','LOCAL SERVICE' } | Group-Object { $_.Properties[5].Value } | Sort-Object Count -Descending | Select-Object Count, Name -First 15“最近登录”字段在用户属性里可能不准（多 DC/字段不复制），安全日志才是证据源。