依據事件 ID 快速識別 Windows Server 2003 安全日誌含義，協助管理員迅速判斷安全狀態。
| ID | 事件描述 |
|---|---|
| 672 | 成功簽發/驗證 Kerberos AS 票證（身份驗證服務） |
| 673 | TGS 票證已授權（服務票證，用於域內特定服務驗證） |
| 674 | 安全主體更新 AS 或 TGS 票證 |
| 675 | 預先驗證失敗（用戶輸入錯誤密碼，KDC 產生） |
| 676 | 驗證票證請求失敗（XP/Server 家族不產生） |
| 677 | TGS 票證未授權（XP/Server 家族不產生） |
| 678 | 帳戶成功映射到域帳戶 |
| 681 | 登入失敗（嘗試域帳戶登入，XP/Server 家族不產生） |
| 682 | 用戶重新連接至已中斷的終端服務會話 |
| 683 | 用戶未登出即中斷終端服務會話 |
| ID | 事件描述 |
|---|---|
| 624 | 用戶帳戶已建立 |
| 627 | 用戶密碼已變更 |
| 628 | 用戶密碼已設定 |
| 630 | 用戶帳戶已刪除 |
| 631 | 全域群組已建立 |
| 632 | 成員已加入全域群組 |
| 633 | 成員自全域群組移除 |
| 634 | 全域群組已刪除 |
| 635 | 本地群組已建立 |
| 636 | 成員已加入本地群組 |
| 637 | 成員自本地群組移除 |
| 638 | 本地群組已刪除 |
| 639 | 本地群組帳戶已變更 |
| 641 | 全域群組帳戶已變更 |
| 642 | 用戶帳戶已變更 |
| 643 | 域策略已修改 |
| 644 | 用戶帳戶自動鎖定 |
| 645 | 電腦帳戶已建立 |
| 646 | 電腦帳戶已變更 |
| 647 | 電腦帳戶已刪除 |
| 648 | 停用安全性的本地安全群組已建立 |
| 649 | 停用安全性的本地安全群組已變更 |
| 650 | 成員已加入停用安全性的本地安全群組 |
| 651 | 成員自停用安全性的本地安全群組移除 |
| 652 | 停用安全性的本地群組已刪除 |
| 653 | 停用安全性的全域群組已建立 |
| 654 | 停用安全性的全域群組已變更 |
| 655 | 成員已加入停用安全性的全域群組 |
| 656 | 成員自停用安全性的全域群組移除 |
| 657 | 停用安全性的全域群組已刪除 |
| 658 | 啟用安全性的通用群組已建立 |
| 659 | 啟用安全性的通用群組已變更 |
| 660 | 成員已加入啟用安全性的通用群組 |
| 661 | 成員自啟用安全性的通用群組移除 |
| 662 | 啟用安全性的通用群組已刪除 |
| 663 | 停用安全性的通用群組已建立 |
| 664 | 停用安全性的通用群組已變更 |
| 665 | 成員已加入停用安全性的通用群組 |
| 666 | 成員自停用安全性的通用群組移除 |
| 667 | 停用安全性的通用群組已刪除 |
| 668 | 群組類型已變更 |
| 684 | 管理群組成員的安全描述元已設定（域控每 60 分鐘對企業/架構/域管理員應用固定描述元） |
| 685 | 帳戶名稱已變更 |
備註：SECURITY_DISABLED 表示該群組不可用於授權存取檢查。善用此表可大幅縮短日誌分析時間。