Windows 安全性日誌中的「登入類型」 (Logon Type) 可揭示使用者如何存取系統，對稽核與入侵偵測極具價值。以下完整解析 11 種登入類型：
| 類型 | 名稱 | 說明 | 典型場景 |
|---|---|---|---|
| 2 | Interactive | 互動式登入 (本機鍵盤/滑鼠) | 本機登入、KVM 切換器登入 |
| 3 | Network | 網路登入 | 存取共用資料夾/印表機、IIS 整合驗證 |
| 4 | Batch | 批次登入 | 排程工作啟動 (工作排程器建立登入工作階段) |
| 5 | Service | 服務登入 | Windows 服務以特定帳戶啟動 |
| 7 | Unlock | 解鎖工作站 | 螢幕保護程式/鎖定電腦後解鎖 |
| 8 | NetworkCleartext | 網路明文登入 | IIS 基本驗證、ASP/Advapi 明文傳遞憑證 |
| 9 | NewCredentials | 新認證登入 | runas /netonly 執行程式，本地身分不變但網路連線用新認證 |
| 10 | RemoteInteractive | 遠端互動登入 | 終端機服務、遠端桌面、遠端協助 (XP 新增，Win2000 記為類型 2) |
| 11 | CachedInteractive | 快取互動登入 | 離線域帳戶登入 (使用快取的 10 組域認證雜湊) |
預設未記錄。須於群組原則啟用：
電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 稽核原則 → 稽核登入事件 → 勾選「成功」與「失敗」。
善用登入類型分析，可將枯燥日誌轉化為可視化的存取行為圖譜。
