Windows登入類型完整解析：從事件日誌識別可疑登入行為

留意Windows安全性事件日誌，會發現「登入類型」並非單一。Windows將登入方式細分為多種類型，幫助管理員從日誌判斷登入來源：本地互動、網路存取、排程工作、服務啟動等，進而偵測可疑駭客行為與攻擊手法。以下詳細解析各類型含義與應用場景。

登入類型 2：互動式登入

最常見的方式：使用者在電腦主控台鍵盤直接輸入帳密登入。透過KVM切換器登入仍屬此類，雖經由網路傳輸，但本質仍是主控台互動。

登入類型 3：網路登入

從網路存取電腦資源時記錄，典型案例：連線共享資料夾、共享印表機。多數IIS網頁登入也屬此類，但「基本驗證」的IIS登入例外，會記為類型 8。

登入類型 4：批次登入

「工作排程器」為排程任務建立新登入工作階段以指定帳號執行時記錄。類型 4 通常代表排程任務啟動，但也可能是惡意使用者利用排程任務嘗試猜測密碼 (產生失敗事件)，或因排程任務帳號密碼未同步更新導致失敗。

登入類型 5：服務登入

服務啟動時，Windows為其設定的帳號建立登入工作階段。失敗通常表示服務帳號密碼已變更但服務端未更新，極少數為惡意猜測密碼 (因建立/修改服務預設需管理員權限，攻擊者已有更高權限無須猜測)。

理解這些類型，能從海量日誌中快速過濾正常與異常登入，強化主機入侵偵測能力。