要确认最近登录尝试，需用事件查看器筛选安全日志中ID为4624（成功）、4625（失败）、4648（凭据使用）的事件；重点分析4625事件的帐户名、源IP、登录类型及故障原因；若无记录，需启用审核策略或运行auditpol命令；PowerShell可导出24小时内失败登录至CSV。
要确认最近有哪些用户或设备尝试登录你的Windows电脑，必须检查系统安全日志中记录的登录事件，尤其是失败的登录尝试，这类记录由Windows安全子系统自动生成，普通用户无法手动修改或删除。
用事件查看器查登录尝试（含成功与失败）
第一步：按 Win + X，在弹出菜单中选择“事件查看器”。
第二步：在左窗格依次展开“Windows 日志”→“安全”。
第三步：在右侧空白处点击“筛选当前日志”，在“事件ID”框中输入 4624,4625,4648（逗号分隔），然后点确定。
第四步：列表将只显示三类关键事件：4624 是成功登录、4625 是失败登录、4648 是凭据被用于请求新会话（如远程桌面连接前的认证）。
注意：若看不到任何4625事件，不代表没人尝试——可能系统未启用审核策略，或攻击者未触发完整登录流程（例如仅扫描端口）。
快速定位失败登录（4625）的关键字段
在筛选后的安全日志中，双击任意一条 4625 事件。
向下滚动到“详细信息”选项卡，重点看以下字段：
• “帐户名称”：显示被尝试登录的用户名，可能是 Administrator、guest 或你设的其他账户名；
• “源网络地址”：显示发起尝试的IP地址，本地局域网地址形如 192.168.x.x，公网地址则为真实外网IP；
• “登录类型”：数值3代表网络登录（如SMB共享访问）、数值10代表远程交互式登录（RDP），数值5代表服务登录（需警惕异常服务账户调用）；
• “故障原因”：明确说明失败原因，例如“未知用户名或错误密码”、“帐户当前被禁用”、“帐户已锁定”——这能帮你判断是暴力破解还是误操作。
启用登录审核（如尚未开启）
如果当前安全日志里几乎没有4625事件，大概率是系统未启用失败登录审核。
方法一：按 Win + R 输入 gpedit.msc 回车（仅限专业版/企业版）→ 依次展开“计算机配置”→“Windows 设置”→“安全设置”→“本地策略”→“审核策略”→ 双击“审核登录事件”→ 勾选“失败”→ 确定。
方法二：若用家庭版无组策略，可改用命令行（需管理员权限）：
执行 auditpol /set /category:"登录" /failure:enable → 回车后立即生效，无需重启。
【重要前提】 执行该命令前必须以管理员身份运行CMD或PowerShell，否则提示“拒绝访问”且策略不会变更。
用PowerShell导出最近24小时所有失败登录
打开 PowerShell（右键开始菜单→Windows Terminal（管理员））：
输入以下命令并回车：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddHours(-24)} | Select TimeCreated, @{Name='Account';Expression={$_.Properties[5].Value}}, @{Name='SourceIP';Expression={$_.Properties[18].Value}} | Export-Csv "$env:USERPROFILE\Desktop\FailedLogins.csv" -NoTypeInformation
执行完成后，桌面会出现 FailedLogins.csv 文件，用Excel打开即可按时间排序查看所有失败尝试记录。
这一步依赖 Windows 日志服务正常运行，若系统时间被篡改过，TimeCreated 字段可能失真。
