Windows 安全日誌中「登入類型」並非單一，細分 7 種類型可區分本地/網路/服務/排程等登入方式，助你從日誌識別可疑駭客行為與攻擊手法。
| 類型 | 名稱 | 觸發情境 | 失敗事件可能原因 |
|---|---|---|---|
| 2 | Interactive（交互式） | 本地鍵盤登入、KVM 切換器登入（雖基於網路但屬本地互動） | 密碼錯誤、暴力破解 |
| 3 | Network（網路） | 存取共用資料夾/印表機、IIS 網站登入（基本驗證除外） | 匿名存取失敗、密碼噴灑攻擊 |
| 4 | Batch（批次/排程） | 排程任務啟動（排程服務為任務建立登入會話） | 排程任務密碼未同步更新、惡意用戶利用排程猜密碼 |
| 5 | Service（服務） | 服務啟動（服務以特定帳戶運行，啟動時建立登入會話） | 服務帳戶密碼變更未更新、極少見密碼猜測（需管理員權限建立服務） |
| 7 | Unlock（解鎖） | 螢幕保護鎖定後用戶解鎖 | 輸入錯誤密碼、嘗試解鎖他人電腦 |
補充： 類型 1 早期定義為交互式，現多併入類型 2。類型 6 保留未用。類型 8 為 IIS 基本驗證登入。
實戰價值： 大量類型 3 失敗 → 共用資料夾暴力破解；類型 4/5 失敗 → 排程/服務帳戶密碼不同步或遭濫用；類型 7 失敗 → 物理存取嘗試。結合時間、來源 IP、帳戶名即可快速定性事件。
