Учетная запись машины интерактивно входит в систему как UMFD. Это нормально?

Question

Ниже показан идентификатор события журнала Windows 4624. Журнал, по-видимому, сообщает, что учетная запись компьютера server2$пытается выполнить интерактивный вход в систему UMFD-3.

Согласно моему исследованию, UMFD — это системная учетная запись, созданная компонентом User Mode Driver Framework в соответствии с этимстатья. Это также можно подтвердить с помощью Sid целевого пользователя в JSON.

Нормально ли, что учетная запись машины server2$входит в систему интерактивно с пользователем UMFD-3? В каких ситуациях это считается нормальным поведением?

{
   "TimeCreated":"2023-10-18T20:02:16.591442200Z",
   "EventID":"4624",
   "Task":12544,
   "Correlation":{
      "ActivityID":"{6a8486ef-9f7c-4654-a68c-2320d44b3d9d}"
   },
   "Keywords":"Audit Success",
   "Channel":"Security",
   "Opcode":"Info",
   "Security":"",
   "Provider":{
      "Guid":"{54849625-5478-4994-a5ba-3e3b0328c30d}",
      "Name":"Microsoft-Windows-Security-Auditing"
   },
   "EventRecordID":685468077,
   "Execution":{
      "ThreadID":820,
      "ProcessID":700
   },
   "Version":2,
   "Computer":"server2.contoso.com",
   "Level":"Information",
   "EventData":{
      "WorkstationName":"-",
      "TargetDomainName":"Font Driver Host",
      "VirtualAccount":"%%1842",
      "SubjectUserSid":"S-1-5-18",
      "TargetOutboundDomainName":"-",
      "LogonProcessName":"Advapi",
      "TargetLinkedLogonId":"0x532a6083",
      "ImpersonationLevel":"%%1833",
      "TargetUserName":"UMFD-3",
      "TargetUserSid":"S-1-5-96-0-3",
      "IpAddress":"-",
      "ProcessId":"0x8f4",
      "KeyLength":"0",
      "ProcessName":"C:\\Windows\\System32\\winlogon.exe",
      "SubjectUserName":"server2$",
      "LogonType":"2",
      "TargetOutboundUserName":"-",
      "TransmittedServices":"-",
      "LogonGuid":"{00000000-0000-0000-0000-000000000000}",
      "SubjectLogonId":"0x3e7",
      "ElevatedToken":"%%1843",
      "RestrictedAdminMode":"-",
      "TargetLogonId":"0x532a616b",
      "IpPort":"-",
      "AuthenticationPackageName":"Negotiate",
      "LmPackageName":"-",
      "SubjectDomainName":"contoso"
   },
   "Message":"An account was successfully logged on."
}