Windows 4625日志類別解析：未成功的賬戶登錄事件

什么是Windows 4625日志？

Windows 4625日志屬于安全日志（Security Log） 的一部分，記錄系統中未成功的賬戶登錄嘗試（Failed Logon）。它是追蹤非法登錄嘗試、暴力破解攻擊的關鍵日志之一，可幫助管理員識別潛在的安全威脅。

4625日志的核心類別與字段解析

4625日志按登錄類型（Logon Type）、失敗原因和登錄場景可分為以下主要類別，每個類別包含不同的關鍵字段：

一、按登錄類型分類（重點場景）

登錄類型反映了用戶嘗試登錄的方式，常見類型及對應的4625日志場景如下：

登錄類型	場景描述	典型失敗原因
2（交互式登錄）	用戶在本地計算機或通過遠程桌面（RDP）直接登錄。	密碼錯誤、賬戶被鎖定、賬戶不存在。
3（網絡登錄）	通過網絡訪問共享資源（如訪問文件服務器、SMB協議連接）。	權限不足、賬戶未授權訪問共享目錄。
5（服務登錄）	系統服務或應用程序以特定賬戶身份啟動（如SQL Server服務、Windows服務）。	服務賬戶密碼錯誤、賬戶權限不足。
10（遠程交互登錄）	通過RDP、遠程Shell（如PowerShell Remoting）等遠程交互方式登錄。	遠程連接配置錯誤、網絡策略阻止訪問。
11（批處理登錄）	系統自動執行批處理任務或計劃任務時的登錄（如定時備份腳本）。	任務賬戶密碼過期、賬戶被禁用。

二、按失敗原因分類

4625日志通過狀態碼（Status） 和失敗信息描述登錄失敗的具體原因，常見類別包括：

失敗類別	狀態碼（示例）	日志關鍵信息
賬戶不存在	0xC000006D	Account Name: 未知賬戶名 Status: 0xC000006D (ERROR_LOGON_FAILURE)
密碼錯誤	0xC000006A	Account Name: 有效賬戶名 Status: 0xC000006A (ERROR_LOGON_CREDENTIALS_INVALID)
賬戶被鎖定	0xC0000234	Status: 0xC0000234 (ERROR_ACCOUNT_LOCKED_OUT) Substatus: 0x0
賬戶已過期	0xC0000071	Status: 0xC0000071 (ERROR_ACCOUNT_EXPIRED)
權限不足（如域策略限制）	0xC000006E	Status: 0xC000006E (ERROR_LOGON_USER_MIGHT_NOT_EXIST) Subject Domain: 域控制器名稱
登錄時間限制	0xC0000072	Status: 0xC0000072 (ERROR_ACCOUNT logon time restriction)

三、按登錄來源分類

4625日志記錄了登錄嘗試的來源設備和網絡信息，可分為以下場景：

來源類別	日志關鍵字段	典型場景
本地登錄（Local）	Workstation Name: localhost Source Network Address: 127.0.0.1	用戶在本地計算機按Ctrl+Alt+Del登錄。
遠程桌面（RDP）	Workstation Name: 遠程計算機名 Source Network Address: 公網IP	攻擊者通過公網IP嘗試RDP暴力破解。
域內網絡登錄	Workstation Name: 域內計算機名 Source Network Address: 192.168.1.10	域內用戶嘗試訪問共享資源失敗。
外部網絡登錄	Source Network Address: 43.248.XXX.XXX（非內網IP） Source Port: 隨機端口	攻擊者通過外部網絡嘗試入侵。

四、4625日志的關鍵字段（必看）

分析4625日志時，需重點關注以下字段以定位失敗原因：

1. 事件ID：固定為4625。
2. 賬戶信息：
   • Account Name：嘗試登錄的賬戶名（可能是用戶名或服務賬戶）。
   • Account Domain：賬戶所屬域（如WORKGROUP或域名）。
3. 登錄類型：如2（本地）、10（遠程交互）。
4. 失敗狀態碼：如0xC000006A（密碼錯誤）。
5. 登錄來源：
   • Workstation Name：登錄的設備名。
   • Source Network Address：來源IP（遠程登錄時）。
6. 失敗子狀態（Substatus）：如0x0（常規失敗）、0xC0000235（賬戶鎖定）。

如何利用4625日志檢測安全威脅？

1. 暴力破解攻擊檢測：
   • 監控同一IP在短時間內（如5分鐘）多次嘗試不同賬戶或密碼的4625日志（閾值可設為5次/5分鐘）。
2. 異常登錄位置檢測：
   • 對比Source Network Address是否為賬戶常用登錄區域（如突然出現海外IP登錄）。
3. 賬戶鎖定排查：
   • 若大量4625日志顯示Status: 0xC0000234，可能是暴力破解導致賬戶鎖定，需定位來源IP。
4. 服務賬戶異常檢測：
   • 監控登錄類型為5（服務登錄）的4625日志，若頻繁失敗可能導致服務無法啟動（如SQL Server服務）。

實戰示例：分析一次RDP暴力破解攻擊的4625日志

事件ID: 4625
賬戶名: Administrator
賬戶域: CONTOSO
登錄類型: 10 (遠程交互登錄)
失敗狀態: 0xC000006A (密碼錯誤)
來源IP: 117.182.XXX.XXX
來源端口: 54321
工作站名: WIN-RDP01
失敗子狀態: 0x0

分析：外部IP（117.182.XXX.XXX）嘗試以Administrator賬戶遠程登錄域控服務器，因密碼錯誤失敗，需立即封禁該IP并加強RDP安全（如啟用MFA、修改默認端口）。

總結

Windows 4625日志是系統安全的“警報器”，通過分類解析其登錄類型、失敗原因和來源信息，管理員可快速識別非法登錄嘗試并采取防御措施。建議結合SIEM工具（如Splunk、Azure Sentinel）對4625日志進行實時監控和自動化告警，提升安全響應效率。