¿Cómo filtrar los tiempos de inicio de sesión del usuario únicamente con el teclado de los datos del registro de eventos 4624?

Question

Parece que mi enfoque de filtrado es sólo parcialmente correcto, ya que no todos los inicios de sesión con teclado se manifiestan en el Visor de eventos como Evento 4624 de tipo 2. A continuación se muestra una tabla de tipos de inicio de sesión junto con su descripción, tabla procedente demáxima seguridad de windows.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

La definición exacta de un inicio de sesión interactivo todavía me resulta un poco confusa porque encuentro definiciones contradictorias, pero los tipos 10 y 11 tienen Interactivo en su descripción. El tipo 11 ocurre cuando inicio sesión en mi estación de trabajo mientras no estoy conectado a la red.

Agregar ese evento y tipo al filtro me ha permitido detectar todos los eventos de inicio de sesión.

Answer 1

Parece que mi enfoque de filtrado es sólo parcialmente correcto, ya que no todos los inicios de sesión con teclado se manifiestan en el Visor de eventos como Evento 4624 de tipo 2. A continuación se muestra una tabla de tipos de inicio de sesión junto con su descripción, tabla procedente demáxima seguridad de windows.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

La definición exacta de un inicio de sesión interactivo todavía me resulta un poco confusa porque encuentro definiciones contradictorias, pero los tipos 10 y 11 tienen Interactivo en su descripción. El tipo 11 ocurre cuando inicio sesión en mi estación de trabajo mientras no estoy conectado a la red.

Agregar ese evento y tipo al filtro me ha permitido detectar todos los eventos de inicio de sesión.

¿Cómo filtrar los tiempos de inicio de sesión del usuario únicamente con el teclado de los datos del registro de eventos 4624?

Respuesta1

información relacionada