在運行中輸入：eventvwr.msc，即可打開事件日誌。 常見的Windows事件ID說明 Windows事件日誌中記錄的信息中，關鍵的要素包含事件級別、記錄時間、事件來源描述、涉及的用戶、電腦、操作代碼及任務類別等。其中事件的ID與操作系統的版本有關，以下舉出的事件ID的操縱系統為Vista/ ...
在運行中輸入：eventvwr.msc，即可打開事件日誌。
| 登錄類型 | 描述 |
| 2 | 互動（鍵盤和屏幕的登錄系統） |
| 3 | 網路（即連接到共用文件夾從其他地方在這臺電腦上網路） |
| 4 | 批處理（即計劃任務） |
| 5 | 服務（服務啟動 ） |
| 7 | 解鎖密碼保護屏幕保護程式（即unnattended工作站） |
| 8 | NetworkCleartext（登錄憑據發送明文。通常表示與“基本身份驗證”登錄到IIS） |
| 9 | NewCredentials如RunAs或映射網路驅動器替代憑證。這個登錄類型似乎並沒有出現在任何事件 |
| 10 | 終端服務，遠程桌面或遠程協助 |
| 11 | Cachedinteractive（與緩存域登錄憑證時登錄一臺筆記本電腦等遠程網路 |
常見的Windows事件ID說明
Windows事件日誌中記錄的信息中，關鍵的要素包含事件級別、記錄時間、事件來源描述、涉及的用戶、電腦、操作代碼及任務類別等。其中事件的ID與操作系統的版本有關，以下舉出的事件ID的操縱系統為Vista/win7/win8/win10/server2008/server2012之後的版本
| 事件ID | 說明 |
| 1102 | 清理審計日誌 |
| 4624 | 賬號成功登陸 |
| 4625 | 賬號登錄失敗 |
| 4768 | kerberos身份驗證（TGT請求） |
| 4769 | kerberos服務票證請求 |
| 4776 | NTLM身份驗證 |
| 4720 | 創建用戶 |
| 4726 | 刪除用戶 |
| 4728 | 將成員添加到啟用安全的全局組中 |
| 4729 | 將成員從安全的全劇組中移除 |
| 4732 | 將成員添加到啟用安全的本地組中 |
| 4733 | 將成員從啟用安全的本地組中移除 |
| 4756 | 將成員添加到啟用安全的通用組中 |
| 4757 | 將成員從啟用安全的通用組中移除 |
| 4719 | 系統審計策略修改 |
