4624 이벤트 로그 데이터에서 사용자 키보드 로그인 시간만 필터링하는 방법은 무엇입니까?

Question

모든 키보드 로그인이 이벤트 뷰어에서 유형 2의 이벤트 4624로 나타나는 것은 아니기 때문에 내 필터링 접근 방식은 부분적으로만 올바른 것 같습니다. 아래는 설명과 함께 로그온 유형 표입니다.궁극적인창문 보안.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

대화형 로그인의 정확한 정의는 상충되는 정의를 찾았기 때문에 여전히 약간 모호하지만 유형 10과 11의 설명에는 대화형이 있습니다. 유형 11은 네트워크에 연결되지 않은 상태에서 워크스테이션에 로그인할 때 발생합니다.

해당 이벤트와 유형을 필터에 추가하면 모든 로그인 이벤트를 찾아낼 수 있습니다.

Answer 1

모든 키보드 로그인이 이벤트 뷰어에서 유형 2의 이벤트 4624로 나타나는 것은 아니기 때문에 내 필터링 접근 방식은 부분적으로만 올바른 것 같습니다. 아래는 설명과 함께 로그온 유형 표입니다.궁극적인창문 보안.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

대화형 로그인의 정확한 정의는 상충되는 정의를 찾았기 때문에 여전히 약간 모호하지만 유형 10과 11의 설명에는 대화형이 있습니다. 유형 11은 네트워크에 연결되지 않은 상태에서 워크스테이션에 로그인할 때 발생합니다.

해당 이벤트와 유형을 필터에 추가하면 모든 로그인 이벤트를 찾아낼 수 있습니다.

4624 이벤트 로그 데이터에서 사용자 키보드 로그인 시간만 필터링하는 방법은 무엇입니까?

답변1

관련 정보