4624 イベントログデータからユーザーキーボードのみのログイン時間をフィルター処理するにはどうすればよいですか?

Question

私のフィルタリング方法は部分的にしか正しくないようです。すべてのキーボードログインがイベントビューアにタイプ2のイベント4624として表示されるわけではないからです。以下はログオンタイプとその説明の表です。表の出典は究極のウィンドウセキュリティ。

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

対話型ログインの正確な定義は、矛盾する定義が見つかるため、私にとってはまだ少し曖昧ですが、タイプ 10 と 11 の説明には「対話型」とあります。タイプ 11 は、ネットワークに接続していないときにワークステーションにログインすると発生します。

そのイベントとタイプをフィルターに追加することで、すべてのログインイベントを検出できるようになりました。

Answer 1

私のフィルタリング方法は部分的にしか正しくないようです。すべてのキーボードログインがイベントビューアにタイプ2のイベント4624として表示されるわけではないからです。以下はログオンタイプとその説明の表です。表の出典は究極のウィンドウセキュリティ。

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

対話型ログインの正確な定義は、矛盾する定義が見つかるため、私にとってはまだ少し曖昧ですが、タイプ 10 と 11 の説明には「対話型」とあります。タイプ 11 は、ネットワークに接続していないときにワークステーションにログインすると発生します。

そのイベントとタイプをフィルターに追加することで、すべてのログインイベントを検出できるようになりました。

4624 イベントログデータからユーザーキーボードのみのログイン時間をフィルター処理するにはどうすればよいですか?

答え1

関連情報