Windows 事件日志中登录类型（Logon Type）

Windows 登录类型（Logon Type）用于标识用户通过何种方式登录到系统，在安全审计日志（如Windows事件日志）中记录不同的登录行为。以下是常见的登录类型及其含义：

---

常见登录类型

1. 交互式登录（Interactive - 类型2）

   • 描述：用户直接在计算机的本地控制台输入凭据登录（如物理访问设备）。
   • 示例：输入密码登录桌面。

2. 网络登录（Network - 类型3）

   • 描述：用户通过网络远程访问资源（如文件共享、RPC调用等），未缓存凭据。
   • 示例：访问共享文件夹或使用远程管理工具（如PsExec）。

3. 批处理登录（Batch - 类型4）

   • 描述：由任务计划程序（Task Scheduler）启动的作业或脚本触发的登录。
   • 示例：定时任务执行脚本时的登录。

4. 服务登录（Service - 类型5）

   • 描述：系统服务启动时使用的登录类型。
   • 示例：Windows服务（如SQL Server服务）启动时的身份验证。

5. 解锁登录（Unlock - 类型7）

   • 描述：用户解锁已锁定的屏幕或会话。
   • 示例：输入密码解除屏幕锁定。

6. 网络明文登录（Network Cleartext - 类型8）

   • 描述：通过网络传输明文凭据的登录（不推荐，存在安全风险）。
   • 示例：通过HTTP Basic认证访问IIS服务。

7. 新凭证登录（New Credentials - 类型9）

   • 描述：用户使用“运行身份”（RunAs）或类似功能以其他凭据运行程序。
   • 示例：右键选择“以管理员身份运行”。

8. 远程交互式登录（RemoteInteractive - 类型10）

   • 描述：通过远程桌面协议（RDP）或类似技术进行的远程登录。
   • 示例：使用远程桌面连接（mstsc）登录服务器。

9. 缓存交互式登录（CachedInteractive - 类型11）

   • 描述：用户使用本地缓存的凭据登录（如无网络时使用离线账户）。
   • 示例：离线状态登录笔记本电脑。

---

查看登录类型

在 Windows事件查看器 中，登录事件通常记录在 安全日志（Event ID 4624 或 4625），其中 Logon Type 字段标识具体类型：

• 路径：事件查看器 → Windows 日志 → 安全
• 筛选事件ID：4624（成功登录）或 4625（失败登录）。

---

安全意义

• 异常登录类型：例如非预期的网络登录（类型3）可能表示潜在攻击。
• 远程桌面登录（类型10）需监控来源IP是否合法。
• 服务登录（类型5）需确保服务账户权限最小化。

理解登录类型有助于分析安全事件和排查问题。