Условия и целевой источник
Сначала определите компьютер, на котором должен был возникнуть сеанс. Для сетевого ресурса это не обязательно DC или машина, указанная отправителем заявки. Нужны успехи Audit Logon и сохранённый Security этого узла. Зафиксируйте сборку ОС, System/Version, источник времени и срок хранения. Текущий вывод auditpol показывает текущую политику, а не её состояние в момент исторического события. Пример использует документированную форму версии 2; подтверждённого прогона на выбранной сборке нет.
Отбор по UTC и именам полей
Get-WinEvent читает локальный Security, точный Provider и ID 4624 за две UTC-границы. Замените учебное окно и выберите правильную машину. ToXml и namespace-aware XPath извлекают EventData по атрибуту Name, а не по позиции Properties или переведённому Message. Пустое поле не заполняется данными другой версии события. Сохраните исходный XML рядом с проекцией. Для полученного EVTX можно использовать чтение файла, сохранив проверку источника и периода; не обращайтесь к постороннему узлу ради воспроизведения примера.
Пример: Subject и Target
В иллюстрации Subject — системный контекст, Target — analyst.demo. Новый TargetLogonId равен 0x8a61, а SubjectLogonId=0x3e7 относится к другой роли. Нельзя использовать системный сеанс как ключ активности нового пользователя. LogonType=3 означает сетевой вход; из него не следует RDP-сеанс или открытие документа. Учётная запись, адрес и момент вымышлены. Пример специально разделяет роли, чтобы нормализация не объединила их в одного «пользователя события». Доступный IpAddress также не устанавливает человека, управлявшего клиентом.
Проверка связи с действием
Ищите последующие события того же компьютера в обоснованном временном окне. Сравните TargetLogonId нового входа с SubjectLogonId исследуемого действия, затем проверьте SID и хронологию. В 4688 версии 2 контекстов несколько: поле роли нужно выбирать осознанно. Такое же число LogonId на другом узле не является общей сессией. Сохраните значения до преобразований и отдельно отметьте связи по прямому ключу и предположения по близости времени. Не заменяйте отсутствующую связь совпадением имени учётной записи.
Граница вывода и следующий шаг
Минимальный вывод относится к созданию сеанса указанной учётной записи с данным типом входа. Для персональной атрибуции нужны независимые сведения об управлении учётной записью, доступе и рабочей задаче. Чтобы ответить, что прочитано или запущено, найдите соответствующее событие объекта или процесса. Сопоставьте способ входа с ролью сервера и ожидаемым сценарием, затем проверьте конкретное действие исходной зацепки. Несоответствие ожиданиям — основание проверки, а не готовый диагноз нарушения.
Если записи нет
Разделите ошибку доступа, отсутствие совпадений и отсутствие доступного журнала. Перепроверьте целевой узел, UTC-преобразование, успехи Audit Logon на момент события, ротацию и доставку. Снимайте дополнительные фильтры по имени или адресу по одному, сохраняя период и причину. Случайное событие проверки пароля на DC не заменяет 4624 целевого компьютера. До подтверждения полноты формулируйте результат как «в доступных данных сеанс не найден» и указывайте, какой источник или историческая конфигурация ещё требуются.