17370845950

首先检查Windows系统登录失败记录以识别未授权访问，使用事件查看器筛选事件ID为4625的安全日志，或通过PowerShell执行Get-WinEvent命令查询，并确保在本地组策略中启用“审核登录事件”的失败审核选项。

如果您发现Windows系统存在异常登录尝试，可能需要检查是否有未授权的访问行为。查看登录失败记录可以帮助您识别潜在的安全风险。

本文运行环境：Dell XPS 13，Windows 11

一、使用事件查看器查看登录失败记录

事件查看器是Windows内置的系统工具，可以记录包括登录活动在内的各类系统事件。通过筛选安全日志中的登录失败条目，您可以定位具体的登录尝试信息。

1、按下 Win + R 键，打开“运行”对话框。

2、输入 eventvwr.msc 并按回车，启动事件查看器。

3、在左侧导航栏中依次展开“Windows 日志”，然后点击“安全”。

4、在右侧操作面板中点击“筛选当前日志”。

5、在“事件ID”输入框中输入 4625，该ID代表账户登录失败事件。

6、点击“确定”，日志列表将仅显示登录失败记录，每条记录包含源IP地址、用户名和时间戳等信息。

二、通过命令行查询登录失败事件

使用PowerShell命令可以直接从安全日志中提取登录失败记录，适合快速批量获取数据。

1、右键点击“开始”菜单，选择“Windows PowerShell（管理员）”或“终端（管理员）”。

2、输入以下命令并回车执行：

Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4625}

3、系统将输出所有登录失败事件，可进一步添加参数导出为文件，例如使用 | Export-Csv C:\failed_logins.csv 将结果保存到指定路径。

三、启用审核策略以确保记录登录事件

若系统未记录登录失败事件，可能是审核策略未开启。需手动配置系统审计功能以捕获相关事件。

1、按下 Win + R，输入 gpedit.msc 打开本地组策略编辑器（仅限专业版及以上版本）。

2、导航至“计算机配置” → “Windows 设置” → “安全设置” → “本地策略” → “审核策略”。

3、双击“审核登录事件”，勾选“失败”选项，点击“确定”。

4、重启系统或运行 gpupdate /force 命令使策略生效。