Який ідентифікатор події для входу користувача?

Ідентифікатор події 4624: ця подія вказує на успішний вхід. Він реєструє ім’я облікового запису та час входу. Відстежуючи цю подію, ви можете бачити, коли та як часто обліковий запис використовується. Ідентифікатор події 4625: ця подія вказує на невдалу спробу входу. 10 лютого 2024 р.

Ідентифікатор події 4624 (переглядається у засобі перегляду подій Windows) документує кожну успішну спробу входу до локального комп’ютера. Ця подія генерується на комп’ютері, до якого було здійснено доступ, іншими словами, на якому було створено сеанс входу. Пов’язана подія, ідентифікатор події 4625, не вдалося ввійти в систему.

Тепер, коли будь-який користувач входить або вимикається, інформація буде записана як подія в журнал безпеки Windows. Щоб переглянути події, відкрийте засіб перегляду подій і перейдіть до «Журнали Windows» > «Безпека».. Тут ви знайдете деталі всіх подій, для яких ви ввімкнули аудит.

Ми розуміємо, що ідентифікатор події 4624 є зазвичай реєструється, коли користувач успішно входить до свого облікового запису, а кілька журналів для однієї події входу викликають занепокоєння щодо потенційних проблем із безпекою або неправильної конфігурації системи.

За даними Microsoft: Причина: Ця подія реєструється, коли системі подій COM+ не вдається створити екземпляр MultiInterfacePublisherFilter, визначений у класі подій, що повертає HRESULT.

Вихід із системи, ініційований користувачем. Коли вихід ініціюється користувачем, подія 4647 генерується. Після запуску цієї події дії, ініційовані користувачем, більше не можуть відбуватися.