常见 Windows 事件 ID

约 682 字大约 2 分钟

2025-11-02

1. 安全事件日志（Security Log）中常见的事件 ID

安全日志是我们进行应急响应和入侵分析时，最需要关注的。以下是一些常见的安全事件 ID 及其含义：

ID 4624：成功登录。这表示用户成功登录到系统。在排查入侵时，我们会特别关注登录的来源（网络登录、远程桌面等）和登录的用户
ID 4625：登录失败。这是入侵者进行暴力破解或密码猜解的常见痕迹。当看到大量连续的 4625 事件时，通常意味着有恶意登录尝试
ID 4648：使用显式凭据登录。这通常表示某个服务或进程使用与当前登录用户不同的凭据来运行，在排查横向移动和特权滥用时很有用
ID 4672：分配了管理员特权。当一个用户通过提权（如 Runas）获得管理员权限时，会产生此事件
ID 4720：创建用户账户。攻击者为了持久化控制，通常会创建新的用户。这个事件 ID 是检测账户异常创建的关键
ID 4724：重置密码。管理员或拥有相应权限的用户重置了另一个用户的密码
ID 4732 / 4733：用户被添加到安全组 / 从安全组中移除。攻击者可能会将自己的账户添加到管理员组（如 Administrators），以获取更高权限
ID 4768 / 4769：Kerberos 票证请求。这些事件与 Kerberos 身份验证有关，在排查域环境下的哈希传递、黄金票据等攻击时非常重要

2. 系统事件日志（System Log）中常见的事件 ID

系统日志可以帮助我们了解系统运行状态和是否存在异常

3. 应用事件日志（Application Log）中常见的事件 ID

应用日志帮助我们了解特定程序运行中出现的问题。

版权所有