Server 2008 r2通過 系統事件查看器 分析日志：
查看 系統 事件：
事件ID號：
審計目錄服務訪問
4934 - Active Directory 對象的屬性被復制
4935 -復制失敗開始
4936 -復制失敗結束
5136 -目錄服務對象已修改
5137 -目錄服務對象已創建
5138 -目錄服務對象已刪除
5139 -目錄服務對象已經移動
5141 -目錄服務對象已刪除
4932 -命名上下文的AD的副本同步已經開始
4933 -命名上下文的AD的副本同步已經結束
審計登錄事件
4634 - 帳戶被注銷
4647 - 用戶發起注銷
4624 - 帳戶已成功登錄
4625 - 帳戶登錄失敗
4648 - 試圖使用明確的憑證登錄
4675 - SID被過濾
4649 - 發現重放攻擊
4778 - 會話被重新連接到Window Station
4779 - 會話斷開連接到Window Station
4800 – 工作站被鎖定
4801 - 工作站被解鎖
4802 - 屏幕保護程序啟用
4803 - 屏幕保護程序被禁用
5378 - 所要求的憑證代表是政策所不允許的
5632 - 要求對無線網絡進行驗證
5633 - 要求對有線網絡進行驗證
審計對象訪問
5140 - 網絡共享對象被訪問
4664 - 試圖創建一個硬鏈接
4985 - 交易狀態已經改變
5051 - 文件已被虛擬化
5031 - Windows防火牆服務阻止一個應用程序接收網絡中的入站連接
4698 - 計划任務已創建
4699 - 計划任務已刪除
4700 - 計划任務已啟用
4701 - 計划任務已停用
4702 - 計划任務已更新
4657 - 注冊表值被修改
5039 - 注冊表項被虛擬化
4660 - 對象已刪除
4663 - 試圖訪問一個對象
審計政策變化
4715 - 對象上的審計政策(SACL)已經更改
4719 - 系統審計政策已經更改
4902 - Per-user審核政策表已經創建
4906 - CrashOnAuditFail值已經變化
4907 - 對象的審計設置已經更改
4706 - 創建到域的新信任
4707 - 到域的信任已經刪除
4713 - Kerberos政策已更改
4716 - 信任域信息已經修改
4717 - 系統安全訪問授予帳戶
4718 - 系統安全訪問從帳戶移除
4864 - 名字空間碰撞被刪除
4865 - 信任森林信息條目已添加
4866 - 信任森林信息條目已刪除
4867 - 信任森林信息條目已取消
4704 - 用戶權限已分配
4705 - 用戶權限已移除
4714 - 加密數據復原政策已取消
4944 - 當開啟Windows Firewall時下列政策啟用
4945 - 當開啟Windows Firewall時列入一個規則
4946 - 對Windows防火牆例外列表進行了修改，添加規則
4947 - 對Windows防火牆例外列表進行了修改，規則已修改
4948 - 對Windows防火牆例外列表進行了修改，規則已刪除
4949 - Windows防火牆設置已恢復到默認值
4950 - Windows防火牆設置已更改
4951 - 因為主要版本號碼不被Windows防火牆承認，規則已被忽視
4952 - 因為主要版本號碼不被Windows防火牆承認，部分規則已被忽視，將執行規則的其余部分
4953 - 因為Windows防火牆不能解析規則，規則被忽略
4954 - Windows防火牆組政策設置已經更改，將使用新設置
4956 - Windows防火牆已經更改主動資料
4957 - Windows防火牆不適用於以下規則
4958 - 因為該規則涉及的條目沒有被配置，Windows防火牆將不適用以下規則：
6144 - 組策略對象中的安全政策已經成功運用
6145 - 當處理組策略對象中的安全政策時發生一個或者多個錯誤
4670 - 對象的權限已更改
審計特權使用
4672 - 給新登錄分配特權
4673 - 要求特權服務
4674 - 試圖對特權對象嘗試操作
審計系統事件
5024 - Windows防火牆服務已成功啟動
5025 - Windows防火牆服務已經被停止
5027 - Windows防火牆服務無法從本地存儲檢索安全政策，該服務將繼續執行目前的政策
5028 - Windows防火牆服務無法解析的新的安全政策，這項服務將繼續執行目前的政策
5029 - Windows防火牆服務無法初始化的驅動程序，這項服務將繼續執行目前的政策
5030 - Windows防火牆服務無法啟動
5032 - Windows防火牆無法通知用戶它阻止了接收入站連接的應用程序
5033 - Windows防火牆驅動程序已成功啟動
5034 - Windows防火牆驅動程序已經停止
5035 - Windows防火牆驅動程序未能啟動
5037 - Windows防火牆驅動程序檢測到關鍵運行錯誤，終止。
4608 - Windows正在啟動
4609 - Windows正在關機
4616 - 系統時間被改變
4621 - 管理員從CrashOnAuditFail回收系統，非管理員的用戶現在可以登錄，有些審計活動可能沒有被記錄
4697 - 系統中安裝服務器
4618 - 監測安全事件樣式已經發生
Windows登錄類型
登錄類型2：交互式登錄（Interactive）：就是指用戶在計算機的控制台上進行的登錄，也就是在本地鍵盤上進行的登錄。
登錄類型3：網絡（Network）： 最常見的是訪問網絡共享文件夾或打印機。另外大多數情況下通過網絡登錄IIS時也被記為這種類型，但基本驗證方式的IIS登錄是個例外，它將被記為類型8。
登錄類型4：批處理（Batch） ：當Windows運行一個計划任務時，“計划任務服務”將為這個任務首先創建一個新的登錄會話以便它能在此計划任務所配置的用戶賬戶下運行，當這種登錄出現時，Windows在日志中記為類型4，對於其它類型的工作任務系統，依賴於它的設計，也可以在開始工作時產生類型4的登錄事件，類型4登錄通常表明某計划任務啟動，但也可能是一個惡意用戶通過計划任務來猜測用戶密碼，這種嘗試將產生一個類型4的登錄失敗事件，但是這種失敗登錄也可能是由於計划任務的用戶密碼沒能同步更改造成的，比如用戶密碼更改了，而忘記了在計划任務中進行更改。
登錄類型5：服務（Service） ：與計划任務類似，每種服務都被配置在某個特定的用戶賬戶下運行，當一個服務開始時，Windows首先為這個特定的用戶創建一個登錄會話，這將被記為類型5，失敗的類型5通常表明用戶的密碼已變而這里沒得到更新。
登錄類型7：解鎖（Unlock） ：很多公司都有這樣的安全設置：當用戶離開屏幕一段時間后，屏保程序會鎖定計算機屏幕。解開屏幕鎖定需要鍵入用戶名和密碼。此時產生的日志類型就是Type 7。
登錄類型8：網絡明文（NetworkCleartext） ：通常發生在IIS 的 ASP登錄。不推薦。
登錄類型9：新憑證（NewCredentials） ：通常發生在RunAS方式運行某程序時的登錄驗證。
登錄類型10：遠程交互（RemoteInteractive） ：通過終端服務、遠程桌面或遠程協助訪問計算機時，Windows將記為類型10，以便與真正的控制台登錄相區別，注意XP之前的版本不支持這種登錄類型，比如Windows2000仍然會把終端服務登錄記為類型2。
登錄類型11：緩存交互（CachedInteractive） :在自己網絡之外以域用戶登錄而無法登錄域控制器時使用緩存登錄。默認情況下，Windows緩存了最近10次交互式域登錄的憑證HASH，如果以后當你以一個域用戶登錄而又沒有域控制器可用時，Windows將使用這些HASH來驗證你的身份。
Server 2008 r2通過 系統事件查看器 分析日志：
查看系統事件：
歡迎加入QQ群一起討論Linux、開源等技術
