Ereignis Anzeige auslesen -- AN und Abmeldung

[Gerber_]

Hi Community,

ich muss über einen Zeitraum die Anmeldung und Abmeldung eines Benutzers in der Ereignis Anzeige auslesen.

Nun bin ich mir etwas unsicher wie genau die Anmeldung / Abmeldung ind er Ereignis Anzeige aufgezeichnet wird und was dort passiert.

An diesem Punkt bräuchte ich Tipps von den Profis:

-----

In dem Log wird folgendes Aufgezeichnet:

1.)Event ID : 4648 = Anmeldeversuch mit expliziten Anmeldeinformationen.
2.)Event ID : 4624 = Ein Konto wurde erfolgreich angemeldet.
3.)Event ID : 4624 = Ein Konto wurde erfolgreich angemeldet.

4.)Event ID : 4672 = Einer neuen Anmeldung wurden besondere Rechte zugewiesen.

5.)Event ID : 4634 = Ein Konto wurde abgemeldet.
6.)Event ID : 4634 = Ein Konto wurde abgemeldet.


----

- Kann mir jemand helfen und sagen was genau an welchem Punkt durchgeführt wird ??

- Warum wird direkt nach der Anmeldung des Benutzers (Punkt 1 - 3) ein Event Eintrag mit dem Ereignis Abmeldung (Punkt 5 - 6) erstellt.


Danke im voraus für die Hilfe...


MFG Gerber

 

[azereus]

worum gehts hier genau?
windows-server-domäne und domänenuser/anmeldungen?
oder lokaler rechner mit lokalem benutzer?

https://social.technet.microsoft.co...vent-logs-with-a-powershell-script?forum=ITCG

https://social.technet.microsoft.co...ogon-history-during-a-certain-time?forum=ITCG

https://blogs.technet.microsoft.com...-cmdlet-to-filter-event-log-for-easy-parsing/

 

[Gerber_]

Hi,

danke für die schnelle Antwort.

In diesem Fall geht es nur um einen lokalen Rechner mit lokalem Benutzer, keine Domänen Anmeldung.
Und ich würde es gerne übe die Ereignisanzeige auslesen nicht über die Powershell.

Ich steige nur nich ganz dahinter, wie er die Anmeldung abarbeitet.
Warum in der EreignisAnzeige mehrere Einträge erstellt für das Anmelden erstellt werden und gleich danach nochmal ein Eintrag für die Abmeldung ???

Grüße

 

[B@stelW@stel]

Hallo,

der Zeitpunkt des Events stimmt nicht immer mit dem Abmeldezeitpunkt überein. Meldet sich der Benutzer nicht ab, sondern fährt den Computer herunter, so wird das Event 4634 erst nach dem nächsten Rechnerstart protokolliert.

Siehe auch https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=4634

 

[Gerber_]

Alles klar, danke euch...

Grüße