Windows域控制器身份验证、登录登录和取证

Question

此问题没有考虑Windows 2003和更旧的OSes。

我知道，对于本地登录(事件ID 4624)，登录类型也会被记录(交互式、远程等)。是否可以通过只收集域控制器日志来识别登录类型以及域身份验证？也就是说，像4771和4768这样的事件ID可以通过在其工作站上的用户身份验证(通过键盘)和通过网络进行身份验证的用户或服务来生成，如果是这样，是否有一种方法可以从日志(4771或4768)中知道这一点？还是网络上的身份验证总是由事件ID 4769覆盖，从而只留下事件ID 4771和4768用于本地身份验证？

Answer 1

不，4624不只是用于本地工作站登录。它们也发生在域控制器上。相同的规则同时适用于本地登录和域登录。

诀窍是查看事件4624中列出的Logon Type。如果事件说

Logon Type: 3

那你就知道那是网络登录。当用户(或计算机)登录到AD域时，这些事件会发生在域控制器上，所以是的，收集域控制器是您想要做的。

·2:交互式登录--用于计算机控制台的登录。当您尝试在Windows计算机的本地键盘和屏幕上登录时，类型2登录将被登录。·3:网络登录--这种登录发生在您访问远程文件共享或打印机时。此外，对Internet信息服务( IIS )的大多数登录被归类为网络登录，但使用基本身份验证协议的IIS登录除外(这些登录为登录类型8)。·4:批处理登录--这用于预定的任务。当Windows Scheduler服务启动计划任务时，它首先为该任务创建一个新的登录会话，以便它能够在创建任务时指定的帐户的安全上下文中运行。·5:服务登录--用于登录>登录以启动服务的服务和服务帐户。服务启动时，Windows首先为服务配置中指定的用户帐户创建登录会话。·7:解锁--每当你解锁Windows机器时，就会用到解锁。·8:网络明文登录--这是在您通过网络登录并以明文发送密码时使用的。例如，当您使用基本身份验证对IIS服务器进行身份验证时，就会发生这种情况。·9:基于新凭据的登录--这是在您使用RunAs命令运行应用程序并指定/netonly开关时使用的。当使用/netonly使用RunAs启动程序时，程序将在具有相同本地标识(这是当前登录的用户的标识)的新登录会话中启动，但对其他网络连接使用不同的凭据(在runas命令中指定的凭据)。如果没有/netonly，Windows就会以runas命令中指定的用户身份在本地计算机和网络上运行程序，并以2..10类型的远程交互登录记录登录事件--这将用于基于RDP的应用程序，如终端服务、远程桌面或远程协助。·11:缓存交互登录--当用户使用缓存的凭据登录时，这将被记录下来，这基本上意味着在没有域控制器的情况下，您仍然可以使用域凭据登录到本地计算机。Windows支持使用缓存的凭据登录，以方便移动用户和经常断开连接的用户的生活。