當你翻閱 Windows 系統的安全性事件日誌時，會發現每一筆登入事件都標註著一個「登錄類型」代碼。這些數字並非隨機生成，而是 Windows 為了讓管理員能精確區分登入來源而設計的分類機制。掌握這些類型的含義，能幫助你從海量日誌中快速篩選出異常登入，判斷潛在的駭客攻擊手法。
這是最直觀的登入方式——使用者親自坐在電腦前，透過鍵盤滑鼠輸入帳號密碼登入。值得注意的是，透過 KVM 切換器進行的遠端控制台登入，同樣屬於此類型，雖然連線跨越網路，但本質上仍是主控台操作。
當使用者從網路上存取本機資源時，例如連線共享資料夾、列印機，或是透過 IIS 進行整合式驗證，系統多記錄為類型 3。例外情況為 IIS 基本驗證，該模式下密碼以明文傳輸，會被歸類為類型 8。
排程任務啟動時，「工作排程器」服務會以設定的帳號建立新登入工作階段，產生類型 4 事件。若發現大量類型 4 登入失敗，可能暗示惡意使用者嘗試透過排程任務暴力破解密碼，也可能只是排程任務密碼未同步更新所致。
Windows 服務啟動時，服務控制管理器會以服務設定的帳號（如 Local System、Network Service 或自訂帳號）建立登入工作階段。類型 5 失敗通常表示服務帳號密碼已變更但未同步；惡意猜測可能性較低，因為建立或修改服務預設需要管理員權限，攻擊者已有更直接的破壞手段。
啟用密碼保護螢幕保護程式後，使用者返回解鎖工作站時產生的登入事件。失敗事件代表有人輸入錯誤密碼，或嘗試暴力破解解鎖介面。
同屬網路登錄，但密碼在網路上以明文傳輸。常見於使用 Advapi 的 ASP 腳本登入，或 IIS 基本驗證。日誌中「登錄程序」欄位會顯示 Advapi。
使用 runas /netonly 參數啟動程式時，程式在本地以目前使用者身分執行，但連線網路資源時改用指定帳號認證，此時記錄為類型 9。若未加 /netonly，程式完全以指定帳號執行，日誌則記為類型 2。
透過終端機服務、遠端桌面（RDP）或遠端協助連線時記錄為類型 10，用以區分真實主控台登入（類型 2）。Windows 2000 及更早版本不支援此類型，終端機登入會被記為類型 2。
針對行動使用者設計。當網域使用者在無法連線網域控制站的環境下（如出差、居家辦公）登入時，Windows 會使用快取的前 10 次網域登入雜湊值進行驗證。此機制預設啟用，可透過群組原則調整快取數量。
預設情況下 Windows 2000/XP/2003 不記錄登入事件。必須在群組原則「電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則」中啟用「稽核登入事件」（成功/失敗），上述詳細資訊才會寫入安全性日誌。妥善運用這些日誌，能大幅提升系統異常偵測與入侵鑑識能力。