留意 Windows 安全性事件日誌中的「登入類型」欄位，會發現其值並非單一。Windows 為了讓管理員從日誌獲取更多價值資訊，細分了 11 種登入類型，以區分本地登入、網路登入及其他特殊方式。熟悉這些代碼有助於發現可疑駭客行為並判斷攻擊手法。預設 Windows 2000 未啟用安全性審核，需於群組原則「電腦設定/Windows 設定/安全性設定/本機原則/審核原則」啟用「審核登入事件」才會記錄。
| 類型 | 名稱 | 說明與典型場景 |
|---|---|---|
| 2 | 互動式登入 | 用戶在電腦主控台（本地鍵盤）登入。透過 KVM 切換器登入仍屬此類（雖基於網路）。 |
| 3 | 網路登入 | 從網路存取電腦，最常見為連接共享資料夾/印表機。多數 IIS 網路登入亦屬此類，基本驗證除外（見類型 8）。 |
| 4 | 批次登入 | 排程任務啟動時，「工作排程器服務」為任務建立新登入工作階段。亦可能為惡意用戶利用排程任務嘗試猜測密碼（產生失敗類型 4 事件），或因排程任務密碼未同步更新導致。 |
| 5 | 服務登入 | 服務啟動時為特定帳號建立登入工作階段。失敗通常因密碼變更未同步更新，惡意猜測可能性低（建立/修改服務預設需管理員權限）。 |
| 7 | 解鎖登入 | 螢幕保護啟動鎖定後，用戶解鎖操作。失敗表示密碼錯誤或嘗試解鎖。 |
| 8 | 網路明文登入 | 網路登入但密碼以明文傳輸。Windows 服務不允許明文驗證連接共享資源。僅見於 ASP 腳本使用 Advapi 登入、或 IIS 基本驗證登入。「登入程序」欄將顯示 Advapi。 |
| 9 | 新認證登入 | 使用 RUNAS /Netonly 參數執行程式。本地以目前用戶執行，但網路連線時以指定用戶身分連接。若無 /Netonly 則為類型 2。 |
| 10 | 遠程互動登入 | 透過終端機服務、遠端桌面、遠端協助存取。XP 前版本（如 Win2000）仍記為類型 2。 |
| 11 | 快取互動登入 | 行動用戶離線登入網域帳號時使用。預設快取最近 10 次互動式網域登入雜湊值，無網域控制器時以此驗證身分。 |
掌握這 11 種登入類型，能讓您從龐大的安全性日誌中快速識別異常登入行為，精準判斷潛在威脅來源與攻擊向量。
