Windows事件日志详解–登陆类型

平时分析windows 安全日志时，经常发现登录类型的值不同。有2，3，5，8等。最常见的类型是 2 (交互式)和 3 (网络)。

下面详细列出了可能的登录类型值

登录类型2：交互式登录（Interactive）

这应该是你最先想到的登录方式吧，所谓交互式登录就是指用户在计算机的控制台上进行的登录，也就是在本地键盘上进行的登录。

登录类型3：网络（Network）

当你从网络的上访问一台计算机时在大多数情况下Windows记为类型3，最常见的情况就是连接到共享文件夹或者共享打印机时。另外大多数情况下通过网络登录IIS时也被记为这种类型，但基本验证方式的IIS登录是个例外，它将被记为类型8，下面将讲述。

成功的网络登录:

  用户名:

  域:

  登录 ID: (0x2,0xFC38EC05)

  登录类型: 3

  登录过程: NtLmSsp 

  身份验证数据包: NTLM

  工作站名: 098B11CAF05E4A0

  登录 GUID: –

  调用方用户名: –

  调用方域: –

  调用方登录 ID: –

  调用方进程 ID: –

  传递服务: –

  源网络地址: 192.168.197.35

  源端口: 0

  调用方进程名称: %16

登录类型4：批处理（Batch）

当Windows运行一个计划任务时，“计划任务服务”将为这个任务首先创建一个新的登录会话以便它能在此计划任务所配置的用户账户下运行，当这种登录出现时，Windows在日志中记为类型4，对于其它类型的工作任务系统，依赖于它的设计，也可以在开始工作时产生类型4的登录事件，类型4登录通常表明某计划任务启动，但也可能是一个恶意用户通过计划任务来猜测用户密码，这种尝试将产生一个类型4的登录失败事件，但是这种失败登录也可能是由于计划任务的用户密码没能同步更改造成的，比如用户密码更改了，而忘记了在计划任务中进行更改。

登录类型5：服务（Service）

与计划任务类似，每种服务都被配置在某个特定的用户账户下运行，当一个服务开始时，Windows首先为这个特定的用户创建一个登录会话，这将被记为类型5，失败的类型5通常表明用户的密码已变而这里没得到更新，当然这也可能是由恶意用户的密码猜测引起的，但是这种可能性比较小，因为创建一个新的服务或编辑一个已存在的服务默认情况下都要求是管理员或serversoperators身份，而这种身份的恶意用户，已经有足够的能力来干他的坏事了，已经用不着费力来猜测服务密码了。

已成功登录帐户。

主题:

安全 ID: SYSTEM

帐户名: NAUTICAR-X200$

帐户域: WORKGROUP

登录 ID: 0x3e7

登录类型: 5

新登录:

安全 ID: SYSTEM

帐户名: SYSTEM

帐户域: NT AUTHORITY

登录 ID: 0x3e7

登录 GUID: {00000000-0000-0000-0000-000000000000}

进程信息:

进程 ID: 0x254

进程名: C:\Windows\System32\services.exe

网络信息:

工作站名:

源网络地址: –

源端口: –

详细身份验证信息:

登录进程: Advapi  

身份验证数据包: Negotiate

传递服务: –

数据包名(仅限 NTLM): –

密钥长度: 0

在创建登录会话后在被访问的计算机上生成此事件。

“主题”字段指明本地系统上请求登录的帐户。这通常是一个服务(例如 Server 服务)或本地进程(例如 Winlogon.exe 或 Services.exe)。

登录类型7：解锁（Unlock）

你可能希望当一个用户离开他的计算机时相应的工作站自动开始一个密码保护的屏保，当一个用户回来解锁时，Windows就把这种解锁操作认为是一个类型7的登录，失败的类型7登录表明有人输入了错误的密码或者有人在尝试解锁计算机。

登录类型8：网络明文（NetworkCleartext）

这种登录表明这是一个像类型3一样的网络登录，但是这种登录的密码在网络上是通过明文传输的，WindowsServer服务是不允许通过明文验证连接到共享文件夹或打印机的，据我所知只有当从一个使用Advapi的ASP脚本登录或者一个用户使用基本验证方式登录IIS才会是这种登录类型。“登录过程”栏都将列出Advapi。

成功的网络登录:

  用户名: IUSR_HP-8DFC7CA1B32C

  域: HP-8DFC7CA1B32C

  登录 ID: (0x0,0x89F503)

  登录类型: 8

  登录过程: Advapi  

  身份验证数据包: Negotiate

  工作站名: HP-8DFC7CA1B32C

  登录 GUID: –

  调用方用户名: NETWORK SERVICE

  调用方域: NT AUTHORITY

  调用方登录 ID: (0x0,0x3E4)

  调用方进程 ID: 3656

  传递服务: –

  源网络地址: –

  源端口: –

  调用方进程名称: %16

登录类型9：新凭证（NewCredentials）

当你使用带/Netonly参数的RUNAS命令运行一个程序时，RUNAS以本地当前登录用户运行它，但如果这个程序需要连接到网络上的其它计算机时，这时就将以RUNAS命令中指定的用户进行连接，同时Windows将把这种登录记为类型9，如果RUNAS命令没带/Netonly参数，那么这个程序就将以指定的用户运行，但日志中的登录类型是2。

登录类型10：远程交互（RemoteInteractive）

当你通过终端服务、远程桌面或远程协助访问计算机时，Windows将记为类型10，以便与真正的控制台登录相区别，注意XP之前的版本不支持这种登录类型，比如Windows2000仍然会把终端服务登录记为类型2。

登录类型11：缓存交互（CachedInteractive）

Windows支持一种称为缓存登录的功能，这种功能对移动用户尤其有利，比如你在自己网络之外以域用户登录而无法登录域控制器时就将使用这种功能，默认情况下，Windows缓存了最近10次交互式域登录的凭证HASH，如果以后当你以一个域用户登录而又没有域控制器可用时，Windows将使用这些HASH来验证你的身份。

上面讲了Windows的登录类型，但默认情况下Windows2000是没有记录安全日志的，你必须先启用组策略“计算机配置/Windows设置/安全设置/本地策略/审核策略”下的“审核登录事件”才能看到上面的记录信息。希望这些详细的记录信息有助于大家更好地掌握系统情况，维护网络安定。