如何從安全日誌獲取用戶原始登錄和註銷事件？

Question

在Windows安全事件日誌中有許多登錄（4624）和註銷（4625）事件。如何獲取用戶原始登錄和註銷事件。請任何一個幫助我

在此先感謝

Answer 1

Windows事件日誌中認爲會議的方面，而不是物理登錄或註銷，因爲我們認爲。例如，當登錄用戶由於不活動而使用超時的資源時，可能會觸發註銷事件。 Windows事件日誌上的Not sure if you can rely，以查看物理登錄/註銷事件的歷史報告。

另一個選項可能是與用戶對象關聯的Active Directory的lastLogoff和lastLogon屬性。但是，它只會給你最近的註銷或登錄時間。如果這符合您的方案，請參閱this example瞭解如何閱讀該屬性。

對於歷史報告，您至少需要確保審覈已啓用。然後，您可以添加簡單的單行登錄和註銷腳本，每次用戶物理登錄或註銷時都會寫入日誌文件。有關詳情，請參閱this KB article。

最後，您還可以使用ManageEngine調用Active Directory Audit的第三方產品。