Event 4624 og 4625: logontyper og fortolkning

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Event ID 4624 registrerer et vellykket logon, og 4625 et mislykket. Spørgsmålet “hvem var logget på?” kan sjældent besvares med selve id’et; det er logontypen, logon-id’et, kildeadressen og godkendelsesmetoden, der afgør, om posten er en person ved tastaturet, en netværksforbindelse til et fildrev eller en tjeneste, der starter. Læst forkert bliver en almindelig tjenestekonto til en mistænkelig fjernadgang, eller en låst skærm bliver til et logoff, der aldrig skete.

Overblikket over kanalerne og de øvrige id’er står i Windows-hændelseslogs. Her går vi i dybden med de to logonhændelser.

Felterne i 4624

En 4624-post har flere blokke af felter. De vigtigste:

Subject: den konto, der anmodede om logon, ofte computerkontoen eller SYSTEM.
Logon Type: et tal, der angiver metoden (se nedenfor).
New Logon: kontonavn, domæne, SID og logon-id for den nye session, samt et linket logon-id.
Elevated Token og Restricted Admin Mode: om sessionen har forhøjede rettigheder, og om fjernskrivebord blev brugt i begrænset tilstand.
Process Information: den proces, der udførte logon.
Network Information: arbejdsstationsnavn, kildeadresse og kildeport.
Detailed Authentication Information: logonproces og godkendelsespakke, fx Kerberos, NTLM eller Negotiate.

Logon-id’et er nøglen. Det går igen i logoff (4634), i tildeling af særlige rettigheder (4672) og i procesoprettelse (4688), hvis den revisionstype er slået til. Med logon-id’et kan en session følges fra start til slut.

Logontyperne

2 · Navn: Interaktiv · Typisk betydning: Logon ved tastaturet eller via en konsol
3 · Navn: Netværk · Typisk betydning: Adgang til delt mappe, printer eller anden netværkstjeneste
4 · Navn: Batch · Typisk betydning: Planlagt opgave
5 · Navn: Tjeneste · Typisk betydning: En tjeneste startes under en konto
7 · Navn: Oplåsning · Typisk betydning: Skærmen låses op, eller en afbrudt session genoptages
8 · Navn: Netværk med klartekst · Typisk betydning: Fx grundlæggende godkendelse mod en webserver
9 · Navn: Nye legitimationsoplysninger · Typisk betydning: Proces startet med andre oplysninger til netværksbrug
10 · Navn: Fjerninteraktiv · Typisk betydning: Fjernskrivebord og lignende
11 · Navn: Cachet interaktiv · Typisk betydning: Logon med gemte oplysninger uden kontakt til domænecontroller

Der findes også typer for cachet fjernlogon (12) og cachet oplåsning (13). Microsoft beskriver type 7 som oplåsning og type 10 som fjernskrivebord, men dokumenterer ikke præcist, hvilken type en genoptaget fjernsession giver. Den kan optræde som 7 eller 10 afhængigt af version og situation, så det bør afprøves på et tilsvarende system, hvis forskellen bærer en konklusion.

Låst skærm, logoff og genstart

En af de hyppigste fejlslutninger er at tolke fraværet af aktivitet som logoff. Når en bruger låser skærmen, sker der ikke et logoff; sessionen lever videre. Låsning og oplåsning kan logges som 4800 og 4801, men kun hvis revision af andre logonhændelser er slået til. Oplåsningen giver typisk en ny 4624 af type 7.

Logoff logges som 4634, og en brugerinitieret afmelding som 4647. Ved nedlukning eller strømsvigt kommer der ofte ingen logoff-post. Sessionens afslutning må så udledes af systemhændelser som 6006 (logtjenesten stoppet), 6008 (uventet nedlukning) eller den næste opstart.

Når en konto med administratorrettigheder logger på med brugerkontokontrol slået til, opstår ofte to 4624-poster med hvert sit logon-id, knyttet sammen via feltet for linket logon-id. Det er én person og ét logon, ikke to.

Cachede logons og tjenestekonti

Type 11 viser, at computeren godkendte logon med en lokalt gemt kopi af legitimationsoplysningerne, typisk fordi den bærbare var uden for netværket. Logon findes derfor kun på klienten, ikke på domænecontrolleren. Omvendt viser en domænecontrollers Kerberos-hændelser ikke, at nogen loggede interaktivt på en bestemt klient.

Tjenestekonti, computerkonti (navn med dollartegn til sidst), SYSTEM, LOCAL SERVICE og NETWORK SERVICE skaber tusindvis af logons af type 3 og 5. De skal filtreres fra, men filtret skal dokumenteres, så en modpart kan se, hvad der er udeladt.

4625 og fejlkoderne

4625 indeholder et Status- og et Sub Status-felt med en NTSTATUS-kode, der forklarer, hvorfor logon mislykkedes. Nogle af de hyppigste:

0xC000006A: forkert adgangskode til en eksisterende konto.
0xC0000064: kontonavnet findes ikke.
0xC0000234: kontoen er låst.
0xC0000072: kontoen er deaktiveret.
0xC0000071 og 0xC0000193: udløbet adgangskode eller udløbet konto.
0xC000006F: logon uden for tilladte tidspunkter.

Koderne er NTSTATUS-værdier, og den fulde liste findes i Microsofts protokoldokumentation.

Fejlkoden skelner mellem en person, der har tastet forkert, og forsøg på konti, der ikke findes. Mange 4625 mod mange kontonavne fra samme kilde er et andet mønster end få fejl på én konto efterfulgt af et vellykket logon. Mønstrene i stor skala behandles i Password spray og brute force.

Kildeadressen

For type 3 og 10 angiver posten kildeadresse og arbejdsstationsnavn. Begge skal læses varsomt. Arbejdsstationsnavnet oplyses af klienten og kan være tomt eller forkert. Adressen kan være oversat af NAT, en VPN-koncentrator eller en jump-server, så den peger på mellemleddet, ikke den egentlige enhed. Ved fjernskrivebord giver de RDP-specifikke kanaler supplerende oplysninger; se RDP-spor.

Sådan læses et forløb

Et typisk spørgsmål er, om en medarbejder arbejdede på sin computer en bestemt aften. Et forsvarligt svar bygges op i lag:

Find opstart og nedlukning via systemhændelser, så det er klart, hvornår maskinen overhovedet var tændt.
Find 4624 af type 2, 7 eller 11 for den pågældende konto i perioden, og notér logon-id’erne.
Filtrér type 3 og 5 fra, men kontrollér, om der er type 3 fra andre maskiner mod denne, fx adgang til delte mapper.
Par logon med logoff, låsning og oplåsning via logon-id, og marker, hvor afslutningen kun er udledt.
Sammenhold med aktivitetsartefakter som LNK-filer, browserhistorik og programkørsel, der viser, om sessionen faktisk blev brugt.

En session, der var åben hele aftenen, uden oplåsninger og uden aktivitetsspor, viser kun, at nogen ikke loggede af. Den viser ikke arbejde.

Logons på servere og fildrev

På en filserver optræder brugerens adgang som type 3 med klientens adresse. Én åbning af en mappe kan give flere logons og logoffs inden for sekunder, fordi forbindelser genbruges og lukkes efter behov. Antallet af 4624-poster siger derfor intet om antallet af handlinger. Hvilke filer der blev åbnet, kræver filrevision på serveren, ikke logonhændelser.

Sikring og verifikation

Sikr Security-kanalen fra alle relevante maskiner: klienten, de servere, kontoen har tilgået, og domænecontrollerne. Kontrollér for hver kilde, hvor langt loggen går tilbage, og om revision af logon og logoff var slået til i perioden. Verificér afgørende poster ved at slå dem op med EventRecordID i den rå EVTX-fil og sammenligne felterne med værktøjets output.

Hvad posterne kan og ikke kan bevise

En 4624 viser, at en konto blev godkendt på et bestemt tidspunkt med en bestemt metode, og ofte hvorfra. Den viser ikke, hvilken person der brugte kontoen. Delte adgangskoder, ulåste maskiner og gemte sessioner gør spørgsmålet om identitet til en selvstændig analyse; se Attribution af brugerhandlinger. Den organisatoriske side af delte konti er beskrevet i Delte logins og fælleskonti.

For cloudtjenester med tokens og sessioner gælder andre regler, fordi en session kan fortsætte uden et nyt logon; se Sessioner og tokens.

Dokumentation

Angiv for hver afgørende post: maskine, kanal, EventRecordID, tidspunkt i UTC og den valgte visningstidszone, logontype, kontonavn og SID, logon-id, kildeadresse og godkendelsespakke. Beskriv de filtre, der er brugt til at fjerne system- og tjenestekonti, og hvordan logon og logoff er parret. Skriv eksplicit, når en sessions afslutning er udledt og ikke registreret.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Windows-hændelseslogs: de vigtigste kanaler og event-id’er · Eksport af Windows-hændelseslogs (EVTX) til en sag

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik