Windows 安全性事件記錄中的「登入類型」代碼揭示了使用者或程序如何存取系統。理解這 11 種登入類型，有助於從日誌中發現異常登入、判斷攻擊手法（如暴力破解、排程工作濫用、服務帳號猜測等）。本文詳細說明各類型代碼含義、典型情境與安全分析重點。
| 類型 | 名稱 | 典型情境 | 安全分析重點 |
|---|---|---|---|
| 2 | Interactive (互動式) | 本機鍵盤/滑鼠登入、KVM 切換器登入 | 正常使用者登入；異常時間點登入需留意 |
| 3 | Network (網路) | 存取共享資料夾、印表機、IIS 整合驗證 | 大量失敗類型 3 可能為網路暴力破解或惡意掃描 |
| 4 | Batch (批次) | 排程工作啟動 | 失敗可能為排程工作密碼未同步更新，或惡意排程嘗試 |
| 5 | Service (服務) | Windows 服務啟動 (以特定帳號執行) | 失敗通常為服務帳號密碼過期；惡意建立服務需管理員權限 |
| 7 | Unlock (解鎖) | 螢幕保護程式解鎖、工作站解鎖 | 失敗表示有人嘗試解鎖或密碼輸入錯誤 |
| 8 | NetworkCleartext (網路明文) | IIS 基本驗證、ASP 腳本呼叫 Advapi 登入 | 密碼明文傳輸，極度不安全，應禁用基本驗證改用整合/摘要驗證 |
| 9 | NewCredentials (新認證) | runas /netonly 執行程式，網路存取用指定帳號 | 本機仍為原使用者，網路層面切換身分，審計較難追蹤 |
| 10 | RemoteInteractive (遠端互動) | 終端機服務、遠端桌面、遠端協助 (XP/2003 以上) | 區分實體登入與遠端登入；Win2000 仍記為類型 2 |
| 11 | CachedInteractive (快取互動) | 離線登入網域帳號 (使用快取雜湊) | 行動使用者離線登入；大量類型 11 可能為離線暴力破解 |
預設 Windows 2000/XP/2003 不記錄登入事件，需啟用群組原則：
電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 稽核登入事件，勾選「成功」與「失敗」。
runas /netonly) 難以追蹤網路活動，建議限制使用。善用登入類型資訊，能大幅提升主機入侵偵測與取證分析效率。
