Event ID 4624 описывает успешное создание сеанса входа на компьютере назначения. Logon Type уточняет сценарий: локальный, сетевой, пакетный, служебный, разблокировка, удаленный интерактивный или кешированный вход. Тип 8 означает передачу нехешированного пароля пакету аутентификации, а не сам по себе незашифрованный сетевой трафик.
Какие Logon Types встречаются в Windows Event ID 4624?
Основные типы успешного входа Windows и важное различие: NetworkCleartext не доказывает передачу пароля по сети открытым текстом.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Событие 4624 регистрирует успешное создание сеанса входа на компьютере назначения. Поле Logon Type показывает способ входа, а не степень доверия к пользователю. Значения описаны в документации Microsoft.
| Тип | Значение |
|---|---|
| 0 | System — системный вход |
| 2 | Interactive — локальный интерактивный вход |
| 3 | Network — сетевой доступ |
| 4 | Batch — пакетное выполнение |
| 5 | Service — запуск службы |
| 7 | Unlock — разблокировка рабочей станции |
| 8 | NetworkCleartext — сетевой вход с нехешированным паролем на входе пакета аутентификации |
| 9 | NewCredentials — прежняя локальная идентичность с другими учетными данными для исходящих соединений |
| 10 | RemoteInteractive — удаленный интерактивный вход, например RDP |
| 11 | CachedInteractive — проверка по локально сохраненным доменным данным без обращения к контроллеру |
| 12 | CachedRemoteInteractive — вариант для внутреннего аудита |
| 13 | CachedUnlock — кешированная разблокировка |
Критичный нюанс: тип 8 не доказывает, что пароль передавался по сети открытым текстом. Название относится к передаче пароля пакету аутентификации.
Для расследования сопоставляют тип с учетной записью, временем, компьютером, источником соединения и другими событиями. Доступность отдельных полей зависит от контекста. Успешный вход может быть легитимным или несанкционированным; один номер типа этого не решает.