Windows Server 2003 安全性事件 ID 完整對照表：帳號登入/管理/存取/原則變更關鍵代碼速查

前言：事件檢視器是安全稽核的眼睛

Windows Server 2003 啟用「稽核原則」後，安全性記錄會記錄大量事件。掌握關鍵 Event ID 可快速識別異常登入、帳號竄改、原則變更等安全事件。本表整理最常見的安全性事件 ID (來源: Security)，附中文說明與判讀重點。

一、帳號登入事件 (稽核帳號登入事件)

二、帳號管理事件 (稽核帳號管理)

三、目錄服務存取 / 原則變更 / 權限使用 (補充)

實務稽核建議

1. **最小稽核基線** (所有 DC/成員伺服器)：
   登入事件 (成功/失敗) + 帳號管理 (成功) + 原則變更 (成功) + 系統事件 (啟動/關機)。
2. **高價值資產加強**：檔案伺服器啟用「物件存取」失敗 + 關鍵資料夾 SACL；資料庫伺服器啟用「程序追蹤」/「權限使用」。
3. **日誌集中化**：部署 Windows Event Forwarding (WEF) 或 Syslog Agent (Snare/NXLog) 將安全性記錄轉送至 SIEM (Splunk/ELK/Graylog) 關聯分析。
4. **關鍵告警規則**：
   - 5 分鐘內 675/529/530/531 > 10 次 → 暴力破解告警
   - 624/630/643/612 任一出現 → 管理員異動告警
   - 576/577 (SeDebugPrivilege/SeTakeOwnership) 行使 → 權限提升告警
5. **保留期限**：安全性記錄最小 365 天 (法規遵循)，建議轉存至不可變更儲存 (WORM/雲端冷儲存)。

結語

熟悉 Event ID 675 (Kerberos 預先驗證失敗)、529-537 (登入失敗細碼)、624/630/642/643 (帳號/原則異動)、576/577 (特權行使) 等核心代碼，配合 SIEM 關聯分析，可將 Windows Server 2003 安全性事件從雜訊轉化為可執行的威脅情報。