日记首页  | 列表 | 添加日记  | 管理登陆 标题：事件 4625 <div style=""><font face="Arial"><span style="font-size: 14px;">win2008R，日志，报警，事件 4625</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">3. 减少或禁用事件 4625 日志（谨慎操作）</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">(1) 调整审核策略（不推荐）</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">操作：</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">打开 本地安全策略（secpol.msc）。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">导航到 安全设置 &gt; 本地策略 &gt; 审核策略。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">修改 审核登录事件 为仅记录成功事件（仅成功）。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">风险：失去对失败登录的监控能力，可能漏报攻击行为。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">(2) 使用事件日志筛选器</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">操作：</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">打开 事件查看器 &gt; Windows 日志 &gt; 安全。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">右键 安全日志 &gt; 筛选当前日志。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">在 事件 ID 输入 4625，勾选 反向筛选（隐藏 4625 事件）。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">效果：日志仍会记录事件，但界面中不再显示。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">(3) 完全禁用安全日志（极端不推荐）</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">警告：此操作会关闭所有安全事件记录，严重削弱系统安全性。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">cmd</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">复制</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">auditpol /set /category:"Logon/Logoff" /success:disable /failure:disable</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">4. 高级排查工具</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">(1) 使用 PowerShell 监控登录尝试</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">实时监控登录失败事件：</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">powershell</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">复制</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">Get-WinEvent -LogName Security -FilterXPath '*[System[EventID=4625]]' -MaxEvents 10 | Format-List</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">(2) 配置 IPSec 限制访问</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">仅允许特定 IP 访问服务器的 445/3389 等端口：</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">powershell</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">复制</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">New-NetIPsecRule -DisplayName "Allow Trusted IP" -RemoteAddress &lt;信任的IP&gt; -Direction Inbound -Action Allow</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">5. 最终建议</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">保持日志记录：事件 4625 是重要的安全指标，禁用后无法追踪攻击行为。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">根本解决：优先通过安全加固（如账户重命名、锁定策略、防火墙规则）减少无效登录尝试。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">定期检查：使用日志分析工具（如 ELK、Splunk）聚合分析安全事件。</span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;"><br></span></font></div><div style=""><font face="Arial"><span style="font-size: 14px;">通过以上步骤，可显著减少事件 4625 的干扰，同时确保系统安全性。</span></font></div><div style="font-family: Arial; font-size: 10.5pt;"><br></div>