教你学会审核WINDOWS安全日志.docVIP

教你学会审核WINDOWS安全日志登录类型 登录类型2：交互式登录(INTERACTIVE) 本地键盘上的登录,基于网络上的KVM登录也是这种类型! 登录类型3：网络(NETWORK) 当你从网络***问一台PC时WINDOWS记为类型3,常见的是通过网络连接到共享文件夹或共享打印机! 登录类型4：批处理(BATCH) 运行计划任务是产生的记录类型..也可能是HACKER通过它来猜测用户密码! 登录类型5：服务(SERVICE) 一个服务开始时,WINDOWS为这个特定的用户创造的一个登录会话,记为类型5! 登录类型7：解锁(UNLOOK) 解除锁定的PC密码,比如对屏保密码的解除操作! 登录类型8：网络明文(NETWORKCLEARTEXT) 网络明文传输! 登录类型9：新凭证(NEWCREDENTIALS) 登录类型10：远程交互(REMOTEINTERACTIVE) 通过终端服务,远程桌面,或远程协约访问PC时,WINDOWS记为类垀?10! 登录类型11：缓存交互(CACHEDINTERACTIVE) 安全事件日志中的事件编号与描述 ........................................................................................帐号登录事件 ........................ (事件编号与描述) 672 身份验证服务（AS）票证得到成功发行与验证。673 票证授权服务（TGS）票证得到授权。TGS是一份由Kerberos 5.0版票证授权服务（TGS）发行、且允许用户针对域中特定服务进行身份验证的票证。674 安全主体重建AS票证或TGS票证。675 预身份验证失败。这种事件将在用户输入错误密码时由密钥分发中心（KDC）生成。676 身份验证票证请求失败。这种事件在Windows XP Professional操作系统或Windows Server产品家族成员中将不会产生。677 TGS票证无法得到授权。这种事件在Windows XP Professional操作系统或Windows Server产品家族成员中将不会产生。678 指定帐号成功映射到一个域帐号。681 登录失败。域帐号尝试进行登录。这种事件在Windows XP Professional操作系统或Windows Server产品家族成员中将不会产生。682 用户重新连接到一个已经断开连接的终端服务器会话上。683 用户在没有注销的情况下与终端服务器会话断开连接。 帐号管理事件624 一个用户帐号被创建。 627 一个用户密码被修改。 628 一个用户密码被设置。 630 一个用户密码被删除。 631 一个全局组被创建。 632 一个成员被添加到特定全局组中。 633 一个成员从特定全局组中被删除。 634 一个全局组被删除。 635 一个新的本地组被创建。 636 一个成员被添加到本地组中。 637 一个成员从本地组中被删除。 638 一个本地组被删除。 639 一个本地组帐号被修改。 641 一个全局组帐号被修改。 642 一个用户帐号被修改。 643 一个域策略被修改。 644 一个用户帐号被自动锁定。 645 一个计算机帐号被创建。 646 一个计算机帐号被修改。 647 一个计算机帐号被删除。 648 一个禁用安全特性的本地安全组被创建。说明：正式名称中的SECURITY_DISABLED意味着这个组无法用于在访问检查中授予权限。 649 一个禁用安全特性的本地安全组被修改。 650 一个成员被添加到一个禁用安全特性的本地安全组中。 651 一个成员从一个禁用安全特性的本地安全组中被删除。 652 一个禁用安全特性的本地组被删除。 653 一个禁用安全特性的全局组被创建。 654 一个禁用安全特性的全局组被修改。 655 一个成员被添加到一个禁用安全特性的全局组中。 656 一个成员从一个禁用安全特性的全局组中被删除。 657 一个禁用安全特性的全局组被删除。 658 一个启用安全特性的通用组被创建。 659 一个启用安全特性的通用组被修改。 660 一个成员被添加到一个启用安全特性的通用组中。 661 一个成员从一个启用安全特性的通用组中被删除。 662 一个启用安全特性的通用组被删除。 663 一个禁用安全特性的通用组被创建。 664 一个禁用安全特性的通用组被修改。 665 一个成员被添加到一个禁用安全特性的通用组中。 666 一个成员从一个禁用安全特性的通用组中被删除。 667 一个禁用安全特性的通用组被删除。 668 一个组类型被修改。 684 管理组成员的安全描述符被设置。说明：在域控制器上，一个后台线程每60秒将对管理组中的所有成员（如域