Windows 安全日志 SMB/RDP 溯源：3个关键事件ID与5个日志路径实战解析-平芜编程栈

Windows 安全日志 SMB/RDP 溯源：3个关键事件ID与5个日志路径实战解析

当企业网络遭遇安全事件时，Windows 系统的安全日志往往是最重要的取证来源之一。特别是涉及 SMB（服务器消息块）和 RDP（远程桌面协议）的日志记录，它们能清晰还原攻击者的横向移动路径。本文将深入剖析 3 个关键事件 ID 和 5 个常被忽视的日志存储位置，帮助安全团队快速定位入侵痕迹。

1. 核心事件ID的三维分析

Windows 安全日志中与认证相关的事件 ID 多达数十种，但以下三个 ID 在 SMB/RDP 溯源中具有决定性作用：

1.1 事件ID 4624（登录成功）

这是攻击者成功获取访问权限的铁证。通过解析其日志结构，可获取以下关键字段：

<EventData> <Data Name="TargetUserName">Administrator</Data> <Data Name="TargetDomainName">CORP</Data> <Data Name="LogonType">3</Data> <Data Name="IpAddress">192.168.1.100</Data> <Data Name="ProcessName">C:\Windows\System32\svchost.exe</Data> </EventData>

登录类型(LogonType)的实战意义：

类型3（网络登录）：通常对应 SMB/NFS 等网络共享访问
类型10（远程交互）：RDP 登录的典型特征
类型2（本地交互）：控制台直接登录

注意：高级攻击者会通过传递哈希(PtH)技术使 RDP 登录显示为类型3，此时需结合其他日志交叉验证。

1.2 事件ID 4625（登录失败）

暴力破解攻击的典型特征，其日志包含攻击者IP、尝试的账号等关键信息：

# 使用PowerShell提取最近24小时的失败登录记录 Get-WinEvent -FilterHashtable @{ LogName='Security' ID=4625 StartTime=(Get-Date).AddHours(-24) } | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='SourceIP';e={$_.Properties[19].Value}}, @{n='LogonType';e={$_.Properties[10].Value}}

暴力破解的特征模式：

同一IP短时间内高频次失败尝试
使用常见用户名列表（admin/administrator/guest等）
登录类型呈现规律性变化（如从类型3切换到类型10）

1.3 事件ID 5156（网络连接过滤）

当攻击者通过 SMB 横向移动时，Windows 过滤平台会记录网络连接详情：

字段名	描述	取证价值
Application	进程路径	确定恶意进程位置
SourceAddress	源IP	攻击源定位
DestPort	目标端口	445(SMB)或3389(RDP)
Protocol	协议类型	6(TCP)或17(UDP)

2. 五大日志存储路径的深度挖掘

2.1 安全日志主文件（默认路径）

C:\Windows\System32\winevt\Logs\Security.evtx

取证技巧：

使用wevtutil导出被清除的日志：

wevtutil epl Security C:\backup\security_backup.evtx /q:"*[System[(EventID=4624 or EventID=4625)]]"

2.2 终端服务专用日志

Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational

关键事件：

事件ID 1149：RDP 会话断开时的用户注销记录
事件ID 21/22：会话创建/销毁的精确时间戳

2.3 RDP 客户端缓存

注册表路径记录历史连接信息：

HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\

每个连接过的服务器会生成子项，包含：

UsernameHint：最后使用的用户名
CertHash：服务器证书指纹（用于识别中间人攻击）

2.4 SMB 客户端诊断日志

Microsoft-Windows-SmbClient/Operational

关键事件ID：

306：SMB 连接建立
308：文件操作记录（攻击者下载恶意工具时产生）

2.5 防火墙日志（非默认开启）

C:\Windows\System32\LogFiles\Firewall\pfirewall.log

配置方法：

# 启用防火墙日志记录 Set-NetFirewallProfile -Profile Domain,Public,Private -LogFileName %systemroot%\system32\logfiles\firewall\pfirewall.log -LogMaxSizeKilobytes 4096 -LogAllowed True -LogBlocked True

3. 自动化分析工具链

3.1 LogParser 实战脚本

-- 提取RDP成功登录记录 SELECT TO_LOCALTIME(TimeGenerated) as LoginTime, EXTRACT_TOKEN(Strings, 5, '|') as User, EXTRACT_TOKEN(Strings, 18, '|') as SourceIP, EXTRACT_TOKEN(Strings, 8, '|') as LogonType INTO rdp_success.csv FROM Security.evtx WHERE EventID = 4624 AND (LogonType = '10' OR LogonType = '3')

3.2 时间线重建技巧

# 使用Python合并多日志源的时间戳 import pandas as pd security_log = pd.read_csv('security_4624.csv') rdp_log = pd.read_csv('terminal_services.csv') merged_timeline = pd.concat([ security_log[['Time', 'User', 'IP']], rdp_log[['Time', 'User', 'Source']] ]).sort_values('Time') merged_timeline.to_csv('attack_timeline.csv', index=False)

4. 高级对抗场景处置

4.1 日志被清除后的取证

当发现Security.evtx被清空时，可尝试以下恢复手段：

卷影副本提取：

vssadmin list shadows copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\winevt\Logs\Security.evtx C:\forensics\

内存分析：

volatility -f memory.dump --profile=Win10x64 evtlogs -D output/

4.2 无日志情况下的痕迹追踪

通过系统 artifacts 寻找蛛丝马迹：

Prefetch 文件：
```
C:\Windows\Prefetch\RDP*.pf
```

Jump Lists：

C:\Users\%username%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\

4.3 企业级监控方案

部署 Sysmon 增强日志记录能力：

<!-- 监控RDP/SMB相关进程创建 --> <Sysmon> <EventFiltering> <RuleGroup name="RDP Activity"> <ProcessCreate onmatch="include"> <Image condition="contains">mstsc.exe</Image> <Image condition="contains">rdpclip.exe</Image> </ProcessCreate> </RuleGroup> </EventFiltering> </Sysmon>

Windows 安全日志 SMB/RDP 溯源：3个关键事件ID与5个日志路径实战解析