Windows安全事件ID全解析：从4624到5159，这些日志你都知道吗？

原创

于 2026-02-19 17:46:57 发布 · 995 阅读

收录于

当前文章被以下社区和专栏收录：

Windows安全事件ID实战指南：从日志分析到威胁狩猎

在当今复杂的网络环境中，系统管理员和安全运维人员面临着前所未有的安全挑战。Windows安全事件日志作为操作系统内置的监控工具，记录了从用户登录到系统配置变更等各类关键活动。然而，面对数百种不同的事件ID，许多IT专业人员往往感到无从下手。本文将深入解析Windows安全事件ID的实际应用，帮助您从海量日志中快速识别真正的安全威胁。

1. 核心安全事件ID深度解析

Windows安全日志中约有900多个不同的事件ID，但实际工作中约20%的事件ID包含了80%的关键安全信息。我们首先聚焦这些高价值的事件ID，理解其背后的安全含义。

1.1 账户登录类事件（4624-4625）

**4624（成功登录）和4625（失败登录）**是最基础也最重要的安全事件。深入分析这两个事件，可以发现：

登录类型（Logon Type）是关键字段：
- 2：交互式登录（控制台）
- 3：网络登录（如文件共享）
- 4：批处理登录（计划任务）
- 5：服务登录
- 7：解锁工作站
- 8：网络明文登录
- 9：新凭证登录（如RunAs）
- 10：远程交互（RDP）
- 11：缓存域凭证登录

示例日志分析：

4624:
Subject:
    Security ID:  S-1-5-18
    Account Name:  WIN2019$
    Account Domain:  CONTOSO
    Logon ID:  0x3E7
Logon Type:   10
New Logon:
    Security ID:  S-1-5-21-3623811015-3361044348-30300820-1013
    Accoun

标签