序号 事件ID 描述 类别 1 4776 域控制器试图验证账户凭证信息 账户登录事件 2 4777 域控制器未能验证账户凭证信息 账户登录事件 3 4768 要求有Kerberos验证票 账户登录事件 4 4769 要求有Kerberos验证票 账户登录事件 5 序号 4770 Kerberos服务票被更新 账户登录事件 事件ID 描述 类别 1 4741 计算机账户已创建 账户管理 2 4742 计算机账户已更改 账户管理 3 4743 计算机账户已删除 账户管理 4 4739 域政策已经更改 账户管理 5 4782 密码账户被访问 账户管理 6 4727 安全全局组已经创建 账户管理 7 4728 一名用户被添加到安全全局组 账户管理 8 4729 一名用户从安全全局组解除 账户管理 9 4730 安全全局组已经删除 账户管理 10 4731 安全本地组已经创建 账户管理 11 4732 一名用户被添加到安全本地组 账户管理 12 4733 一名用户被安全本地组解除 账户管理 13 4734 安全本地组已经删除 账户管理 14 4735 安全本地组已经更改 账户管理 15 4737 安全全局组已经更改 账户管理 16 4754 安全通用组已创建 账户管理 17 4755 安全通用组已创建更改 账户管理 18 4756 一名用户被添加到安全通用组 账户管理 19 4757 一名用户被安全通用组解除 账户管理 20 4758 安全本地组已经删除 账户管理 21 4720 用户账户已创建 账户管理 22 4722 用户账户已启用 账户管理 23 4723 试图更改账户密码 账户管理 24 4724 试图重置账户密码 账户管理 25 4725 用户账户被停用 账户管理 26 4726 用户账户已删除 账户管理 27 4738 用户账户已被改变 账户管理 28 4740 用户账户被锁定 账户管理 29 4765 历史记录被添加到一个账户 账户管理 30 4766 尝试添加SID历史记录到账户失败 账户管理 31 4767 用户账户被锁定 账户管理 32 序号 4780 对管理组成员的账户设置了ACL 账户管理 事件ID 描述 类别 1 4934 Active Directory 对象的属性被复制 目录服务访问 2 4935 复制失败开始 目录服务访问 3 4936 复制失败结束 目录服务访问 4 5136 目录服务对象已修改 目录服务访问 5 5137 目录服务对象已创建 目录服务访问 6 5138 目录服务对象已删除 目录服务访问 7 5139 目录服务对象已经移动 目录服务访问 8 5141 目录服务对象已删除 目录服务访问 9 4932 命名上下文的AD的副本同步已经开始 目录服务访问 10 序号 4933 命名上下文的AD的副本同步已经结束 目录服务访问 事件ID 描述 类别 1 4634 账户被注销 登录事件 2 4647 用户发起注销 登录事件 3 4624 账户已成功登录 登录事件 4 4625 账户登录失败 登录事件 5 4648 试图使用明确的凭证登录 登录事件 6 4675 SID被过滤 登录事件 7 4649 发现重放攻击 登录事件 8 4778 会话被重新连接到Window Station 登录事件 9 4779 会话断开连接到Window Station 登录事件 10 4800 工作站被锁定 登录事件 11 4801 工作站被解锁 登录事件 12 4802 屏幕保护程序启用 登录事件