核心事件類別與關鍵 ID 對照表
帳戶登錄事件 (審核帳戶登錄事件)
| ID | 含義 | 關鍵場景 |
|---|
| 672 | AS 票證 (TGT) 成功頒發/驗證 | Kerberos 認證起始成功 |
| 673 | TGS 服務票證授權成功 | 用戶請求訪問特定服務 (SPN) |
| 675 | 預身份驗證失敗 | 密碼錯誤 (KDC 生成)，排查暴力破解首選 |
| 676 | 認證票證請求失敗 | 賬號鎖定/過期/時間偏差/策略限制 |
| 677 | TGS 票證未授權 | 用戶無權訪問目標服務 (SPN 錯誤/委派未配置) |
| 681 | 域帳戶登錄失敗 (舊版 NTLM) | Win2003+ 不再產生，見 4625 |
| 682 | 重新連接斷開的終端會話 | RDP 會話恢復 |
| 683 | 未注銷斷開終端會話 | 用戶關閉 RDP 窗口而非注銷 |
帳戶管理事件 (審核帳戶管理)
| ID | 操作 | 關鍵字段 |
|---|
| 624 | 創建用戶帳戶 | 目標帳戶名、調用者 |
| 627/628 | 更改/設置密碼 | 自助/管理員重置區分 |
| 630 | 刪除用戶帳戶 | 不可逆操作，高風險 |
| 631-634 | 全局組增刪改成員 | 組名、成員 SID |
| 635-638 | 本地組增刪改成員 | 本地權限變更 |
| 642 | 用戶帳戶屬性變更 | 啟用/禁用、密碼不過期、委派等敏感屬性 |
| 644 | 賬號自動鎖定 | 觸發鎖定閾值 |
| 645-647 | 計算機帳戶增刪改 | 域加入/移除/重置 |
| 658-667 | 通用組 (安全/非安全) 操作 | 跨域權限管理 |
| 685 | 帳戶重命名 | Administrator 重命名會觸發 |
登錄事件 (審核登錄事件) - 最常用
| ID | 類型 | 說明 | 排查重點 |
|---|
| 528 | 成功 | 本地交互式登錄 (類型 2) | 正常業務 |
| 529 | 失敗 | 用戶名未知/密碼錯誤 | 暴力破解、噴灑攻擊 |
| 530 | 失敗 | 時間限制 | 登錄時間策略生效 |
| 531 | 失敗 | 賬號禁用 | 帳號狀態異常 |
| 532 | 失敗 | 賬號過期 | 臨時賬號清理 |
| 533 | 失敗 | 用戶無本地登錄權利 | GPO "拒絕本地登錄" 生效 |
| 534 | 失敗 | 密碼類型不允許 | 智能卡/生物識別策略 |
| 535 | 失敗 | 密碼過期 | 強制修改密碼 |
| 536 | 失敗 | Netlogon 服務未啟動 | 域控連接故障 |
| 537 | 失敗 | 其他原因 | 需結合子狀態碼 (SubStatus) |
| 538 | 成功 | 用戶注銷完成 | 會話結束 |
| 539 | 失敗 | 賬號已鎖定 | 529 多次後觸發 |
| 540 | 成功 | 網絡登錄 (類型 3/10) | 共享訪問、IIS、映射磁盤 |
| 551 | 啟動 | 用戶發起注銷 | 會話即將結束 |
| 552 | 成功 | 使用顯式憑據登錄 (Runas/類型 9) | 管理員提權操作、橫向移動跡象 |
登錄類型關鍵對照： 2=交互式, 3=網絡, 4=批處理, 5=服務, 7=解鎖, 8=網絡明文, 9=新憑據, 10=遠程互動(RDP), 11=緩存互動。
對象訪問事件 (審核對象訪問)
| ID | 含義 |
|---|
| 560 | 授予現有對象訪問權限 (打開文件/進程/註冊表鍵等) |
| 562 | 關閉對象句柄 |
| 563 | 嘗試打開並刪除對象 (FILE_DELETE_ON_CLOSE) |
| 564 | 受保護對象被刪除 |
| 567 | 使用句柄關聯特權 (讀/寫/執行) |
| 568 | 嘗試創建硬鏈接 (文件系統) |
策略變更/特權使用/進程跟蹤/系統事件 關鍵 ID
- 612 審核策略變更 (關鍵：誰改了審核設置)
- 615 IPSec 策略變更
- 576 特權添加到訪問令牌 (登錄時生成，檢查 SeDebugPrivilege, SeLoadDriverPrivilege 等高危特權)
- 577 嘗試執行需要特權的系統服務操作
- 592 新進程創建 (命令行參數需啟用「命令行審核」GPO 才記錄)
- 593 進程退出
- 600-601 進程/間接訪問權限獲取 (較少用)
實戰分析技巧
- 關聯分析： 同一 Logon ID (十六進制) 串聯 528/540 → 4672/4673 (特權) → 592 (進程) → 560 (文件訪問) → 538 (注銷)，重現完整會話鏈。
- 異常基線： 統計 529/539/675 高頻來源 IP/賬號 → 暴力破解告警；552 (Runas) 非管理員時段觸發 → 橫向移動疑雲；624/630/642 高頻 → 帳號生命週期異常。
- 日志保護： 設置日志大小 ≥ 1GB、覆蓋策略「按需覆蓋」、實時轉發至 SIEM/日志審計系統，防止駭客清理日志 (事件 1102)。
熟練掌握事件 ID 語義，是 Windows 安全運營、應急響應、合規審計的核心基本功。