Windows登录失败事件ID详解

在Windows系统中，当用户尝试登录但失败时，系统会在安全日志中记录相应的事件。这些事件通过唯一的事件ID（Event ID）标识，帮助管理员诊断登录问题、识别潜在的安全威胁。

常见登录失败事件ID

事件ID 4625：账户登录失败

这是最常见的登录失败事件，表示本地或远程登录尝试失败。

• 触发条件：输入错误密码、账户被禁用、账户不存在等。
• 日志位置：Windows事件查看器 → Windows 日志 → 安全
• 关键字段：
  • “失败原因”：如 STATUS_LOGON_FAILURE
  • “源网络地址”：发起登录请求的IP地址
  • “用户名”：尝试登录的账户名

事件ID 4771：Kerberos 预身份验证失败

该事件通常出现在域环境中，表示Kerberos认证过程中的预身份验证失败。

• 常见原因：密码错误、时间偏差过大、账户被锁定
• 安全意义：可能表明存在暴力破解攻击

其他相关事件ID

• 4740：账户被锁定
• 4648：使用显式凭据尝试登录（如“runas”）
• 4675：SID查找失败（可能与无效账户有关）

如何查看这些事件？

1. 按 Win + R，输入 eventvwr.msc 并回车。
2. 展开“Windows 日志” → “安全”。
3. 在右侧点击“筛选当前日志”。
4. 在“事件ID”框中输入 4625,4771,4740 等，点击确定。

安全建议

• 定期审查安全日志，尤其是来自异常IP的登录失败记录。
• 启用账户锁定策略（如5次失败后锁定30分钟）。
• 确保系统时间同步，避免Kerberos认证失败。
• 对频繁出现4625或4771的源IP，考虑在防火墙中限制访问。

示例日志片段（事件ID 4625）

日志名称:      Security
来源:          Microsoft-Windows-Security-Auditing
日期:          2025/12/5 14:23:10
事件ID:        4625
任务类别:      登录
级别:          信息
用户:          暂缺
计算机:        WIN-PC.local

描述:
账户登录失败。

使用者:
	安全ID:		NULL SID
	帐户名:		-
	帐户域:		-

登录类型:			3
失败原因:			未知用户名或密码错误。
状态:				0xC000006D
子状态:			0xC000006A

登录进程:			NtLmSsp 
身份验证包:		NTLM
工作站名:			WIN-PC
源网络地址:		192.168.1.100
源端口:			51234