事件檢視器 → 安全性日誌 → 事件 ID 528/540 (成功) 或 529-539 (失敗) 的「登入類型」欄位，揭示登入來源與方式，是入侵偵測關鍵線索。
| 類型 | 名稱 | 說明 | 典型場景 |
|---|---|---|---|
| 2 | Interactive (互動式) | 本地鍵盤/螢幕直接登入，含 KVM 切換器 | 使用者坐在電腦前登入 |
| 3 | Network (網路) | 從網路存取共用資料夾、印表機、IIS (非基本驗證) | 檔案伺服器存取、Web 匿名瀏覽 |
| 4 | Batch (批次) | 排程工作啟動，建立新登入工作階段 | 排程備份、自動化腳本、惡意排程猜密碼 |
| 5 | Service (服務) | 服務啟動以特定帳號執行 | SQL Server、IIS 服務啟動、服務密碼過期/被猜測 |
| 7 | Unlock (解鎖) | 解除螢幕保護/鎖定工作站 | 使用者離位返回解鎖 |
| 8 | NetworkCleartext (網路明文) | 基本驗證 IIS、FTP、Telnet 傳送明文密碼 | 不安全協定登入，**高風險** |
| 9 | NewCredentials (新認證) | RunAs / 不同使用者執行，載入新憑證 | 管理員以其他身分執行工具 |
| 10 | RemoteInteractive (遠端互動) | 終端機服務 / 遠端桌面 / RDP | 遠端管理、RDP 暴力破解 |
| 11 | CachedInteractive (快取互動) | 離線登入，使用快取認證 (攜帶筆電離線) | 網域用戶離線登入 |
配合帳號鎖定原則、稽核原則、SIEM 關聯分析，可建立自動化異常登入告警機制。
