Как отфильтровать время входа пользователя только с клавиатуры из данных журнала событий 4624?

Question

Похоже, мой подход к фильтрации верен лишь отчасти, поскольку не каждый вход в систему с клавиатуры отображается в средстве просмотра событий как событие 4624 типа 2. Ниже приведена таблица типов входа вместе с их описанием, таблица взята изultimatewindowssecurity.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

Точное определение интерактивного входа для меня все еще немного размыто, поскольку я нахожу противоречивые определения, но типы 10 и 11 имеют в своем описании слово Interactive. Тип 11 происходит, когда я вхожу в свою рабочую станцию, не подключенную к сети.

Добавление этого события и типа в фильтр позволило мне выловить все события входа в систему.

Answer 1

Похоже, мой подход к фильтрации верен лишь отчасти, поскольку не каждый вход в систему с клавиатуры отображается в средстве просмотра событий как событие 4624 типа 2. Ниже приведена таблица типов входа вместе с их описанием, таблица взята изultimatewindowssecurity.

Logon                       Description
Type     
-----------------------------------------------------------------------------------------------------
2    Interactive (logon at keyboard and screen of system)
3    Network (i.e. connection to shared folder on this computer from elsewhere on network)
4    Batch (i.e. scheduled task)
5    Service (Service startup)
7    Unlock (i.e. unnattended workstation with password protected screen saver)
8    NetworkCleartext (Logon with credentials sent in the clear text. Most often indicates 
     a logon to IIS with "basic authentication") 
9    NewCredentials such as with RunAs or mapping a network drive with alternate credentials.  
     This logon type does not seem to show up in any events.  If you want to track users attempting 
     to logon with alternate credentials see 4648.  MS says "A caller cloned its  current token and 
     specified new credentials for outbound connections. The new logon session has  the same local 
     identity, but uses different credentials for other network connections."
10   RemoteInteractive (Terminal Services, Remote Desktop or Remote Assistance)
11   CachedInteractive (logon with cached domain credentials such as 
     when logging on to a laptop when away from the network)

Точное определение интерактивного входа для меня все еще немного размыто, поскольку я нахожу противоречивые определения, но типы 10 и 11 имеют в своем описании слово Interactive. Тип 11 происходит, когда я вхожу в свою рабочую станцию, не подключенную к сети.

Добавление этого события и типа в фильтр позволило мне выловить все события входа в систему.

Как отфильтровать время входа пользователя только с клавиатуры из данных журнала событий 4624?

решение1

Связанный контент