依據事件 ID 快速識別 Windows Server 2003 產生的安全事件含義，協助管理員即時掌握系統狀態。

一、帳戶登入事件（稽核帳戶登入事件）

• 672：成功簽發/驗證 AS 票證
• 673：TGS 票證已授權（Kerberos v5 票證授權服務）
• 674：安全主體更新 AS/TGS 票證
• 675：預先驗證失敗（密碼錯誤，KDC 產生）
• 676/677：舊版事件，XP/Server 家族不產生
• 678：帳戶成功對應至網域帳戶
• 681：登入失敗（嘗試網域帳戶登入），XP/Server 不產生
• 682：使用者重新連線至中斷的終端機服務工作階段
• 683：使用者未登出即中斷終端機服務工作階段

二、帳戶管理事件（稽核帳戶管理）

• 624：建立使用者帳戶
• 627：變更使用者密碼
• 628：設定使用者密碼
• 630：刪除使用者帳戶
• 631-634：全域群組建立/增減成員/刪除
• 635-638：本機群組建立/增減成員/刪除/變更
• 641：全域群組變更
• 642：使用者帳戶變更
• 643：網域原則已修改
• 644：使用者帳戶自動鎖定
• 645-647：電腦帳戶建立/變更/刪除
• 648-667：安全性停用/啟用的本機/全域/通用群組操作
• 668：群組類型變更
• 684：管理群組成員安全描述元已設定（每 60 分鐘自動執行）
• 685：帳戶名稱已變更

三、目錄服務存取事件

• 566：一般物件操作

四、登入事件

• 528：成功登入電腦
• 529-539：各類登入失敗（帳號不存在、時間限制、帳號停用/過期、工作站限制、密碼類型、密碼過期、Netlogon 未啟動、其他、帳戶鎖定）
• 538：登出完成
• 540：成功登入網路
• 541-549：IKE 驗證/資料通道/主模式相關事件
• 550：可能的 DoS 攻擊通知
• 551：使用者啟動登出程序
• 552：使用明確憑證以其他使用者身分成功登入
• 682/683：終端機服務重新連線/中斷

五、物件存取事件（稽核物件存取）

• 560：授予現有物件存取權
• 562：關閉物件控制代碼
• 563：嘗試開啟物件並刪除（FILE_DELETE_ON_CLOSE）
• 564：受保護物件已刪除
• 565：授予物件類型存取權
• 567：使用與控制代碼關聯的權限
• 568：嘗試建立受稽核檔案的硬式連結
• 569-572：授權管理器相關事件
• 772-801：憑證服務事件（申請、核發、吊銷、CRL、備份/還原、安全權限、金鑰歸檔等）

六、稽核原則變更事件

• 608/609：使用者權限指派/移除
• 610/611/620：信任關係建立/刪除/修改
• 612：稽核原則已變更
• 613-616：IPSec 原則代理程式啟動/停用/變更/嚴重故障
• 617：Kerberos v5 原則變更
• 618：加密資料復原原則變更
• 621/622：授予/移除帳戶系統存取權
• 623/625：依使用者設定/重新整理稽核原則
• 768-771：林信任資訊衝突/新增/刪除/修改
• 805：事件日誌服務讀取安全性日誌配置

七、特權使用事件

• 576：特權已加入使用者存取權杖（登入時產生）
• 577：嘗試執行需特權的系統服務
• 578：特權用於已開啟受保護物件的控制代碼

八、詳細程序追蹤事件

• 592：建立新程序
• 593：程序結束
• 594：物件控制代碼已複製
• 595：取得物件間接存取權
• 596：資料保護主金鑰已備份（預設 90 天）
• 597：主金鑰自復原服務器還原
• 598：稽核資料已受保護
• 599：(續)

善用此表可大幅縮短事件日誌分析時間，快速定位異常行為。