前言

Windows 安全性事件日誌中的「登入類型」代碼（Logon Type）能揭示使用者是如何登入系統的——本地互動、網路存取、排程工作、服務啟動、解鎖、遠端桌面等。熟悉這些代碼，有助於從海量日誌中快速發現駭客入侵痕跡與攻擊手法。

常見登入類型對照表

類型	名稱	典型情境
2	Interactive（互動式）	本地鍵盤登入、KVM 切換器登入
3	Network（網路）	存取共享資料夾/印表機、IIS 一般驗證
4	Batch（批次）	排程工作啟動、可能為惡意排程猜密碼
5	Service（服務）	服務啟動（需管理員權限建立/修改）
7	Unlock（解鎖）	螢幕保護解鎖、輸入錯誤密碼嘗試
8	NetworkCleartext（網路明文）	IIS 基本驗證、ASP 腳本 Advapi 登入
9	NewCredentials（新認證）	runas /netonly 執行程式連線網路資源
10	RemoteInteractive（遠端互動）	終端機服務、遠端桌面、遠端協助（XP 以前記為 Type 2）
11	CachedInteractive（快取互動）	離線登入網域帳號（使用快取雜湊）

關鍵補充說明

• Type 4 失敗：可能是排程工作密碼未同步更新，或惡意嘗試暴力破解。
• Type 5 失敗：通常因服務帳號密碼變更未同步；惡意猜測可能性低（需高權限建立服務）。
• Type 8：密碼以明文傳輸，極度不安全，僅出現於 IIS 基本驗證或特定 ASP 情境。
• Type 10：Windows 2000 將終端機登入記為 Type 2，XP 起才區分 Type 10。
• Type 11：預設快取最近 10 次網域互動登入雜湊，方便行動用戶離線登入。

啟用安全性稽核以記錄登入事件

預設 Windows 2000/XP 不記錄安全性日誌。需開啟群組原則：

電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 稽核登入事件 → 成功/失敗

啟用後，事件檢視器的「安全性」日誌即會記錄上述類型，配合代碼分析即可重現登入全貌。

實戰應用

• 大量 Type 3 失敗 → 可能為共享資料夾暴力破解。
• 非預期 Type 10/11 → 檢查是否有未授權遠端連線或離線登入。
• Type 8 出現 → 立即檢查 IIS 站點是否啟用基本驗證，建議改用整合式/摘要驗證並強制 HTTPS。

結語

登入類型是 Windows 安全審計的「指紋」。掌握代碼含義、啟用稽核、善用日誌分析工具，才能在第一時間發現異常、定位威脅、守護資產。