如果你留意Windows系統(tǒng)的安全日志，在那些事件描述中你將會發(fā)現(xiàn)里面的“登錄類型”并非全部相同，難道除了在鍵盤上進行交互式登錄（登錄類型1）之外還有其它類型嗎？不錯，Windows為了讓你從日志中獲得更多有價值的信息，它細分了很多種登錄類型，以便讓你區(qū)分登錄者到底是從本地登錄，還是從網(wǎng)絡(luò)登錄，以及其它更多的登錄方式。因為了解了這些登錄方式，將有助于你從事件日志中發(fā)現(xiàn)可疑的黑客行為，并能夠判斷其攻擊方式。下面我們就來詳細地看看Windows的登錄類型。 登錄類型2：交互式登錄（Interactive） 這應(yīng)該是你最先想到的登錄方式吧，所謂交互式登錄就是指用戶在計算機的控制臺上進行的登錄，也就是在本地鍵盤上進行的登錄，但不要忘記通過KVM登錄仍然屬于交互式登錄，雖然它是基于網(wǎng)絡(luò)的。 登錄類型3：網(wǎng)絡(luò)（Network） 當你從網(wǎng)絡(luò)的上訪問一臺計算機時在大多數(shù)情況下Windows記為類型3，最常見的情況就是連接到共享文件夾或者共享打印機時。另外大多數(shù)情況下通過網(wǎng)絡(luò)登錄IIS時也被記為這種類型，但基本驗證方式的IIS登錄是個例外，它將被記為類型8，下面將講述。 　　登錄類型4：批處理（Batch） 當Windows運行一個計劃任務(wù)時，“計劃任務(wù)服務(wù)”將為這個任務(wù)首先創(chuàng)建一個新的登錄會話以便它能在此計劃任務(wù)所配置的用戶賬戶下運行，當這種登錄出現(xiàn)時，Windows在日志中記為類型4，對于其它類型的工作任務(wù)系統(tǒng)，依賴于它的設(shè)計，也可以在開始工作時產(chǎn)生類型4的登錄事件，類型4登錄通常表明某計劃任務(wù)啟動，但也可能是一個惡意用戶通過計劃任務(wù)來猜測用戶密碼，這種嘗試將產(chǎn)生一個類型4的登錄失敗事件，但是這種失敗登錄也可能是由于計劃任務(wù)的用戶密碼沒能同步更改造成的，比如用戶密碼更改了，而忘記了在計劃任務(wù)中進行更改。 登錄類型5：服務(wù)（Service） 與計劃任務(wù)類似，每種服務(wù)都被配置在某個特定的用戶賬戶下運行，當一個服務(wù)開始時，Windows首先為這個特定的用戶創(chuàng)建一個登錄會話，這將被記為類型5，失敗的類型5通常表明用戶的密碼已變而這里沒得到更新，當然這也可能是由惡意用戶的密碼猜測引起的，但是這種可能性比較小，因為創(chuàng)建一個新的服務(wù)或編輯一個已存在的服務(wù)默認情況下都要求是管理員或serversoperators身份，而這種身份的惡意用戶，已經(jīng)有足夠的能力來干他的壞事了，已經(jīng)用不著費力來猜測服務(wù)密碼了。 　　登錄類型7：解鎖（Unlock） 你可能希望當一個用戶離開他的計算機時相應(yīng)的工作站自動開始一個密碼保護的屏保，當一個用戶回來解鎖時，Windows就把這種解鎖操作認為是一個類型7的登錄，失敗的類型7登錄表明有人輸入了錯誤的密碼或者有人在嘗試解鎖計算機。 登錄類型8：網(wǎng)絡(luò)明文（NetworkCleartext） 這種登錄表明這是一個像類型3一樣的網(wǎng)絡(luò)登錄，但是這種登錄的密碼在網(wǎng)絡(luò)上是通過明文傳輸?shù)?，WindowsServer服務(wù)是不允許通過明文驗證連接到共享文件夾或打印機的，據(jù)我所知只有當從一個使用Advapi的ASP腳本登錄或者一個用戶使用基本驗證方式登錄IIS才會是這種登錄類型?！暗卿涍^程”欄都將列出Advapi。 登錄類型9：新憑證（NewCredentials） 當你使用帶/Netonly參數(shù)的RUNAS命令運行一個程序時，RUNAS以本地當前登錄用戶運行它，但如果這個程序需要連接到網(wǎng)絡(luò)上的其它計算機時，這時就將以RUNAS命令中指定的用戶進行連接，同時Windows將把這種登錄記為類型9，如果RUNAS命令沒帶/Netonly參數(shù)，那么這個程序就將以指定的用戶運行，但日志中的登錄類型是2。 登錄類型10：遠程交互（RemoteInteractive） 當你通過終端服務(wù)、遠程桌面或遠程協(xié)助訪問計算機時，Windows將記為類型10，以便與真正的控制臺登錄相區(qū)別，注意XP之前的版本不支持這種登錄類型，比如Windows2000仍然會把終端服務(wù)登錄記為類型2。 登錄類型11：緩存交互（CachedInteractive） Windows支持一種稱為緩存登錄的功能，這種功能對移動用戶尤其有利，比如你在自己網(wǎng)絡(luò)之外以域用戶登錄而無法登錄域控制器時就將使用這種功能，默認情況下，Windows緩存了最近10次交互式域登錄的憑證HASH，如果以后當你以一個域用戶登錄而又沒有域控制器可用時，Windows將使用這些HASH來驗證你的身份。 上面講了Windows的登錄類型，但默認情況下Windows2000是沒有記錄安全日志的，你必須先啟用組策略“計算機配置/Windows設(shè)置/安全設(shè)置/本地策略/審核策略”下的“審核登錄事件”才能看到上面的記錄信息。希望這些詳細的記錄信息有助于大家更好地掌握系統(tǒng)情況，維護網(wǎng)絡(luò)安定。