Windows 安全性事件日誌中的「登入類型」代碼，記錄了使用者以何種方式存取系統。理解這些代碼含義，能協助管理員從日誌中發現可疑活動、判斷攻擊手法。本文詳細解析 11 種主要登入類型。
| 類型 | 名稱 | 典型場景 | 安全意涵 |
|---|---|---|---|
| 2 | 互動式登入 | 本機鍵盤登入、KVM 切換器 | 最常見合法登入，亦為暴力破解主要目標 |
| 3 | 網路登入 | 存取共享資料夾/印表機、IIS 連線（基本驗證除外） | 正常網路服務存取，異常大量出現可能為橫向移動 |
| 4 | 批次登入 | 排程工作啟動 | 失敗事件可能為密碼不同步，或惡意嘗試猜測排程帳號密碼 |
| 5 | 服務登入 | 服務啟動（以特定帳號身分） | 失敗通常因服務帳號密碼變更未同步，惡意猜測可能性較低（需高權限建立服務） |
| 7 | 解鎖 | 螢幕保護程式解鎖 | 失敗表示嘗試解鎖失敗，可能為實體存取嘗試 |
| 8 | 網路明文登入 | ASP 腳本、IIS 基本驗證 | 密碼明文傳輸，極高風險，僅特定舊式應用觸發 |
| 9 | 新認證 | runas /netonly 執行程式 | 本地以目前使用者執行，網路連線用指定帳號，利於權限分離 |
| 10 | 遠端互動 | 終端服務、遠端桌面、遠端協助 | 區分實體控制台與遠端會話，XP 前版本不支援（記為類型 2） |
| 11 | 快取互動 | 離線網域登入（使用快取雜湊） | 行動用戶離線登入機制，預設快取最近 10 次網域登入雜湊 |
Windows 2000 預設不記錄安全性日誌，需於群組原則啟用：
電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 稽核登入事件
掌握登入類型解讀技巧，配合日誌分析工具，可大幅提升入侵偵測與取證效率。
