Como filtrar os tempos de login apenas do teclado do usuário dos dados do log de eventos 4624?

Question

Parece que minha abordagem de filtragem está apenas parcialmente correta, pois nem todo login de teclado se manifesta no Visualizador de Eventos como Evento 4624 do tipo 2. Abaixo está uma tabela de Tipos de Logon junto com sua descrição, tabela proveniente desegurança definitiva do Windows.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

A definição exata de um login interativo ainda é um pouco confusa para mim, pois encontro definições conflitantes, mas os tipos 10 e 11 têm Interativo em sua descrição. O tipo 11 ocorre quando faço login na minha estação de trabalho sem estar conectado à rede.

Adicionar esse evento e tipo ao filtro me permitiu pescar todos os eventos de login.

Answer 1

Parece que minha abordagem de filtragem está apenas parcialmente correta, pois nem todo login de teclado se manifesta no Visualizador de Eventos como Evento 4624 do tipo 2. Abaixo está uma tabela de Tipos de Logon junto com sua descrição, tabela proveniente desegurança definitiva do Windows.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

A definição exata de um login interativo ainda é um pouco confusa para mim, pois encontro definições conflitantes, mas os tipos 10 e 11 têm Interativo em sua descrição. O tipo 11 ocorre quando faço login na minha estação de trabalho sem estar conectado à rede.

Adicionar esse evento e tipo ao filtro me permitiu pescar todos os eventos de login.

Como filtrar os tempos de login apenas do teclado do usuário dos dados do log de eventos 4624?

Responder1

informação relacionada