在Windows XP,Windows 7,Windows Vista和Windows Server 2008中,计算机锁定和解锁的事件ID是什么?
锁定事件ID为4800,解锁事件ID为4801。您可以在安全日志中找到它们。您可能需要使用本地安全策略(secpol.msc,在Windows XP中为本地安全设置)来激活其审计 -> 本地策略 -> 审核策略。如需了解Windows 10,请参见下面的图片。
在Windows 7和Windows Server 2008 R2中的安全事件描述中查看子类别:其他登录/注销事件。
并配置以下类别:运行 -> gpedit.msc
(在"解释"选项卡中,它说:“…允许您审计…锁定和解锁工作站”。)计算机配置 ->
Windows设置 ->
安全设置 ->
高级审核策略配置 ->
系统审核策略-本地组策略对象 ->
登录/注销 ->
审核其他登录/注销事件
gpedit.msc
到达那里的方式。方便的提示! - veeTrain对于较新版本的Windows(包括但不限于Windows 10和Windows Server 2016),其事件ID为:
锁定和解锁工作站也涉及以下登录和注销事件:
在使用终端服务会话时,如果会话被断开连接,锁定和解锁可能还涉及以下事件,且事件4778可能替换事件4801:
默认情况下不会审核事件4800和4801,必须使用本地组策略编辑器 (gpedit.msc
) 或本地安全策略 (secpol.msc
) 启用它们。
使用本地组策略编辑器设置该策略的路径为:
使用本地安全策略的策略路径是本地组策略编辑器路径的以下子集:
输入以下查询:
<QueryList> <Query Id="0" Path="Security"> <Select Path="Security"> *[EventData[Data[@Name='LogonType']='7'] and (System[(EventID='4634')] or System[(EventID='4624')]) ]</Select> </Query> </QueryList>
就是这样
安全设置 -> 高级审核策略 -> 系统审核 -> 登录/注销 -> 审核其他登录/注销事件 -> 成功时
启用以下功能:
4800 - workstation locked
4801 - workstation unlocked
4802 - screensaver invoke
4803 - screensaver dismissed
Windows 10专业版
对于Windows 10,锁定的事件ID为4800,解锁的事件ID为4801。
正如Mario和User 00000提供的答案所述,您需要通过使用他们上面描述的方法启用锁定和解锁事件的日志记录,即运行gpedit.msc并导航到他们指示的分支:
计算机配置 -> Windows设置 -> 安全设置 -> 高级审核策略配置 -> 系统审核策略 - 本地组策略对象 -> 登录/注销 -> 审核其他登录/注销
为成功和失败事件都启用。
启用这些事件的日志记录后,您可以直接过滤事件ID 4800和4801。
这种方法适用于Windows 10,因为我刚刚在锁定和解锁计算机后使用它来过滤我的安全日志。