Windows Server 2003 安全性事件 ID 完整解析 (九大類別 672~685 等) 快速識別入侵徵兆

Windows Server 2003 安全性事件記錄器依「稽核原則」產生大量事件 ID，掌握核心 ID 含義可快速判斷暴力破解、帳號異動、特權使用、物件存取等異常。本文整理九大類別、高頻 ID 對照表與實務分析策略。

一、帳戶登入事件 (稽核帳戶登入事件)

二、帳戶管理事件 (稽核帳戶管理)

三、登入事件 (稽核登入事件) — 本機/網路/批次/服務/解鎖

• 528 成功登入 (類型 2=互動, 3=網路, 4=批次, 5=服務, 7=解鎖, 10=RemoteInteractive, 11=CachedInteractive)。
• 529 **登入失敗** (未知使用者/錯誤密碼) — **暴力破解首選指標**。
• 530-539 登入失敗細分原因 (時間限制、帳戶停用、密碼過期、工作站限制、登入類型不允許等)。
• 540 網路登入成功 (類型 3/8/9/10)。
• 551 使用者啟動登出。
• 552 使用者強制登出 (管理員/系統關機)。

四、物件存取、原則變更、特權使用、程序追蹤、系統事件等其他類別

篇幅限制略去詳細表格，重點提醒：

• 560/562/567 物件存取成功/失敗/刪除 — 關鍵檔案/登錄檔/目錄異常存取。
• 612 稽核原則變更 — **攻擊者關閉稽核的鐵證**。
• 576/577/578 特權使用/嘗試/失敗 — SeDebugPrivilege、SeLoadDriverPrivilege 等高危特權啟用。
• 592/593 程序建立/終止 — 可疑程式 (如 cmd.exe、powershell.exe 從非預期父程序啟動)。
• 512/513/514/515/516/517/518 系統啟動/關機/時間變更/損毀復原/磁碟滿/資源耗盡。

實務分析策略

1. **建立基線**：連續 7 天收集正常期間各 ID 頻率分佈 (平均值、標準差)。
2. **即時告警規則** (SIEM/Log Parser/事件轉寄)：
   • 675/681/529 單一 IP/帳號 5 分鐘 > 10 次 → 暴力破解告警。
   • 624/630/636/643/612 任一出現 → 帳戶/原則異動告警 (需人工審核授權單)。
   • 576/577 特權啟用 → 高危操作告警。
   • 592 可疑程序鏈 (如 winword.exe → cmd.exe → powershell.exe) → 代碼執行告警。
3. **日誌保留**：安全性日誌 ≥ 128MB、覆寫舊事件、轉寄至集中日誌伺服器 ≥ 1 年。
4. **定期獵殺**：每週查詢 Top 10 失敗登入 IP、Top 10 特權啟用帳號、Top 10 物件存取失敗路徑。

⚠ 版本差異提醒

• Windows Server 2008/Vista 以上引入 **子類別** 稽核 (如「登入」→「特殊登入」)、事件 ID 重新編號 (4624/4625 等)，本文 ID 僅適用 2000/XP/2003。
• 若環境混合多版本，SIEM 需依來源 OS 版本套用對應解析規則。