假設今天在一台 Windows 電腦的 Event Log 裡，看到同一個帳號在短時間內連續出現很多次登入失敗，接著卻突然登入成功。這可能只是使用者一直輸錯密碼，最後終於打對。但如果這台主機平常不應該有人登入，或登入時間、帳號和平常的使用情況不太一樣，就值得繼續往下看。

Windows 在系統運作的過程中，會留下許多事件紀錄，例如登入成功、登入失敗、使用特權帳號、建立服務或建立排程等。每種事件都有對應的 Event ID，因此在數位鑑識時，可以利用這些紀錄了解系統曾經發生過什麼。

Windows Event Log 要去哪裡看？

Windows 本身就有內建 Event Viewer（事件檢視器）。

可以直接在 Windows 搜尋列輸入 eventvwr.msc，或按下 Win + R 開啟執行視窗，再輸入 eventvwr.msc。

開啟 Event Viewer 後，左側會看到不同類型的 Log。

這篇主要要看的登入與帳號相關事件，在 Windows Logs (Windows 紀錄) → Security (安全性)。

Security Log 裡通常會有大量紀錄，所以實際調查時不太可能一筆一筆慢慢找。可以點右側的 篩選目前的紀錄，直接輸入想看的 Event ID。

例如想同時查看登入成功與登入失敗，可以輸入：

4624,4625

這樣就能先把範圍縮小，只留下和這兩種事件有關的紀錄。

點開其中一筆 Event，除了 Event ID 之外，還可以看到事件發生時間、帳號以及其他相關資訊。不同事件會記錄不同欄位，所以實際分析時不能只看 Event ID，還要一起看事件裡面的內容。

另外，Windows 是否會留下某一類 Security Event，也和系統的 Audit Policy 設定有關，因此沒有看到某個 Event ID，不一定代表那件事情從來沒有發生過。

常見的 Event ID

這些事件本身不一定代表攻擊，真正重要的是它們出現的時間、頻率，以及前後是否能串成一段合理的行為。

大量 4625 後突然出現 4624

4625 代表登入失敗。平常偶爾看到幾筆其實很正常，可能只是使用者密碼輸入錯誤。

但如果在短時間內連續出現大量 4625，情況就不太一樣了。假設同一個帳號在一分鐘內登入失敗二十次，接著馬上出現一筆4624，就值得懷疑是否有人持續嘗試登入，最後成功通過驗證。

不過也不能看到很多 4625 + 一個 4624 就下結論說一定是密碼暴力破解。正常使用者一直輸錯密碼、服務帳號設定錯誤，或系統程式使用舊密碼，也可能造成類似的紀錄。

所以 4624 和 4625 像是調查的起點。看到可疑的登入模式之後，還要繼續看接下來發生了什麼。

登入成功後，又出現 4672

假設登入成功之後，很快又看到 4672。

4672 和特殊權限的登入有關，因此如果在登入成功後又看到這筆紀錄，就可以進一步確認這次登入是否取得了較高的系統權限。

同樣地，4672 本身也不能直接代表攻擊。因為系統管理員正常登入時，也可能看到這類紀錄。

但是如果前面已經出現大量異常登入失敗，接著登入成功，又馬上出現特權相關事件，這些紀錄放在一起看，重要性就比單獨看其中一筆高很多。

後面又建立了 Service 或 Scheduled Task

假設我們繼續往後追查，剛好又發現 4697 或 4698，就更值得進一步確認。

4697 代表建立服務，4698 則代表建立排程。這兩種行為本來也可能是正常的系統管理或軟體安裝，但在事件調查裡，它們也可能成為重要線索。

假設整段 Event Log 看起來像：

10:21  大量 4625 → 登入失敗
10:22  4624      → 登入成功
10:22  4672      → 使用特權帳號
10:24  4697      → 建立服務
10:25  4698      → 建立排程

單獨看每一筆，都可能有正常的解釋，但當這些事件在很短的時間內接連出現，就可以形成一條值得調查的事件線索。

這也是看 Event Log 時很重要的一件事，不要只找一個「可疑 Event ID」，而是要看事件前後的關係。

Event ID 只是線索，不是答案

Windows Event Log 很有用，但不能只靠一筆 Log 就判定發生了攻擊。

例如 4625 可能只是密碼打錯，4624 可能只是正常登入，4672 可能是管理員正常使用權限，4697 和 4698 也可能是合法的系統管理操作。

所以實際調查時，通常還會搭配其他資訊一起看，例如登入帳號、事件發生時間、來源主機、Network Connection、Process，以及前面介紹過的 Windows Artifacts。

如果 Event Log 顯示某個帳號在 10:22 登入成功，而同一個時間附近又看到可疑 Process 執行、對外建立異常連線，這些線索互相對得上，才會更有意義。

Windows Artifacts 本來就包含系統日誌等使用者操作紀錄，因此 Event Log 也是重建事件過程時很重要的一部分。