Windows 7: 跟踪用户登陆事件

使用Event Viewer可以方便直观快捷地跟踪一台Windows 7机器上的用户的登录行为。

首先是打开Event Viewer程序，可以方便地在Windows的Run中输入Event，从列表中运行Event Viewer或者View event logs.

然后进入Windows Logs->Security，

添加一个过滤器，这样可以方便查找，在Includes/Excludes Event IDs添加：4624-4634,4778-4779, 4672, 4801

双击一个事件，可以看到具体内容

Event ID 4624 是一个用户成功登陆

Event ID 4625是由于密码或者账户问题导致的登陆失败

Event ID 4778 该用户使用快速用户切换退出

Event ID 4779 该用户使用快速用户切换登陆回来

Event ID 4723 用户变更密码

Event ID 4724和4738 用户变更了其他用户的密码

Event ID 4732 一个用户被添加到一个安全组

Event ID 4733一个用户被从一个安全组移走

Event ID 4767 锁定用户被解锁

其他的使用细节参见Event Viewer in Windows 7