Перейти к содержимому
AD Academy
Ко всем событиям
4624Security (DC / client)Аутентификация и входINFOОбновлено:

Успешный вход в систему

Что это значит

Кто-то успешно вошёл. Поле Logon Type показывает как: 2 — локально, 3 — по сети (шара), 10 — RDP, 5 — служба.

Когда это норма, а когда подозрительно

Норма: входы в рабочее время с обычной станции. Подозрительно: Logon Type 10 (RDP) под админом ночью или Type 3 с незнакомого адреса.

Первые шаги

  1. 1Смотрите Logon Type и Source Network Address — откуда пришёл вход.
  2. 2Type 10 (RDP) под админом в нерабочее время — повод проверить сразу.
  3. 3Сравните с 4625 в то же время: возможен подбор пароля, закончившийся успехом.

Поля, на которые смотреть

ПолеНа что смотреть
Logon Type2 — локально, 3 — по сети, 5 — служба, 10 — RDP. Тип меняет весь смысл события.
Source Network AddressОткуда пришёл вход. Адрес не из внутренней сети — повод проверить.
Logon IDУникальный идентификатор сессии — по нему связывают с 4634 и действиями внутри сессии.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.