Вход с явным указанием учётных данных (RunAs)

Что это значит

Пользователь запустил что-то под другой учёткой. Классический признак ручного бокового перемещения.

Первые шаги

1. 1Смотрите пару: кто исходный пользователь и на какую учётку перешёл.
2. 2Переход на админа с обычной рабочей станции — расследуйте.

Связанные события

• 4624
• 4672