Event ID-opslag: Windows-hændelser i undersøgelser

Tabellerne nedenfor samler de Windows-hændelser, der oftest indgår i civile sager og interne undersøgelser. For hvert id står loggen, hvad hændelsen betyder, den fejlfortolkning, der går igen, og hvor emnet er beskrevet i dybden. Opslaget er en hjælp til at finde rundt, ikke en erstatning for at læse hændelsens felter i den konkrete sag. Id’er og logplaceringer svarer til Microsofts dokumentation for Windows 10, Windows 11 og Windows Server på tidspunktet for gennemgangen (oktober 2026); felter og standardindstillinger kan ændre sig med nye versioner.

Tre forhold gælder for alle tabellerne:

Revisionspolitikken styrer, hvad der findes. Mange Security-hændelser skrives kun, hvis den relevante underkategori er slået til. Fravær af en hændelse er derfor først et fund, når det er vist, at revisionen var aktiv. → Windows audit policy
Logs overskrives. Hver kanal har en maksimal størrelse. På en travl server kan Security-loggen dække få dage.
En konto er ikke en person. Hændelserne viser, hvilken konto og hvilken maskine der var involveret, ikke hvem der sad ved tastaturet.

Kanalernes opbygning og felterne er gennemgået i Windows-hændelseslogs: de vigtigste kanaler og event-id’er. Sådan sikres loggene korrekt: Eksport af Windows-hændelseslogs (EVTX).

Logon, logoff og sessioner

4624 · Log: Security · Betydning: Vellykket logon, med logontype, konto, kildeadresse og logon-id · Typisk fejlfortolkning: At hver 4624 er en person, der satte sig ved maskinen. Netværkslogon (type 3) opstår konstant ved fildeling og tjenester · Læs mere: Event 4624 og 4625
4625 · Log: Security · Betydning: Mislykket logon, med fejlkode og underkode · Typisk fejlfortolkning: At mange fejl altid er et angreb. En gammel adgangskode gemt på en telefon eller et mapped drev giver samme mønster · Læs mere: Event 4624 og 4625
4634 · Log: Security · Betydning: En logonsession er afsluttet · Typisk fejlfortolkning: At tidspunktet er der, brugeren gik. Sessionen kan lukke længe efter, og netværkssessioner lukker næsten med det samme · Læs mere: Windows-hændelseslogs
4647 · Log: Security · Betydning: Brugeren valgte selv at logge af · Typisk fejlfortolkning: At manglende 4647 betyder, at brugeren stadig var logget på. Ved nedlukning, strømsvigt eller nedbrud skrives den ikke · Læs mere: Windows-hændelseslogs
4648 · Log: Security · Betydning: Logon med eksplicit angivne legitimationsoplysninger, fx kør som en anden bruger · Typisk fejlfortolkning: At den altid viser misbrug af en andens konto. Planlagte opgaver, scripts og visse programmer udløser den i normal drift · Læs mere: Event 4624 og 4625
4672 · Log: Security · Betydning: Særlige rettigheder tildelt ved logon · Typisk fejlfortolkning: At en administrator har udført en bestemt handling. Den logges ved hvert logon med privilegier, også for systemkonti · Læs mere: Windows-hændelseslogs
4778 · Log: Security · Betydning: En session er genoptaget, fx et fjernskrivebord eller hurtigt brugerskift · Typisk fejlfortolkning: At det er et nyt logon. Det er en eksisterende session, der genforbindes · Læs mere: RDP-spor
4779 · Log: Security · Betydning: En session er afbrudt uden at logge af · Typisk fejlfortolkning: At brugeren er logget af. Sessionen og dens programmer kan køre videre · Læs mere: RDP-spor
4800 · Log: Security · Betydning: Arbejdsstationen er låst · Typisk fejlfortolkning: At låsning viser, at brugeren gik. Automatisk låsning efter inaktivitet giver samme hændelse · Læs mere: Opstart, nedlukning, lås og dvale
4801 · Log: Security · Betydning: Arbejdsstationen er låst op · Typisk fejlfortolkning: At oplåsning beviser arbejde. Den viser kun, at kontoen låste op. Kræver revision af andre logon-hændelser · Læs mere: Opstart, nedlukning, lås og dvale

Fjernskrivebord (TerminalServices)

21 · Log: TerminalServices-LocalSessionManager/Operational · Betydning: Session logon lykkedes · Typisk fejlfortolkning: At den kun gælder fjernadgang. Lokale konsol-logon skrives også, med kildeadressen LOCAL · Læs mere: RDP-spor
22 · Log: TerminalServices-LocalSessionManager/Operational · Betydning: Skal-start modtaget, skrivebordet er indlæst · Typisk fejlfortolkning: At den er en separat forbindelse. Den følger normalt lige efter 21 for samme session · Læs mere: RDP-spor
23 · Log: TerminalServices-LocalSessionManager/Operational · Betydning: Session logoff lykkedes · Typisk fejlfortolkning: At alle sessioner slutter med 23. Afbrudte sessioner kan stå åbne længe · Læs mere: RDP-spor
24 · Log: TerminalServices-LocalSessionManager/Operational · Betydning: Sessionen er afbrudt · Typisk fejlfortolkning: At brugeren er logget af. Afbrydelse lader sessionen køre videre · Læs mere: RDP-spor
25 · Log: TerminalServices-LocalSessionManager/Operational · Betydning: Sessionen er genoprettet · Typisk fejlfortolkning: At det er et nyt logon fra en ny kilde. Kildeadressen kan dog afvige fra den oprindelige · Læs mere: RDP-spor
1149 · Log: TerminalServices-RemoteConnectionManager/Operational · Betydning: En netværksforbindelse til fjernskrivebord er etableret; hændelsesteksten kalder det en vellykket brugergodkendelse · Typisk fejlfortolkning: At den viser et gennemført logon. Den kommer før selve logon og kan stå alene, hvis logon derefter fejler · Læs mere: RDP-spor

Hvor meget 1149 siger om selve godkendelsen, afhænger af forbindelsens opsætning, blandt andet om Network Level Authentication er slået til. Hændelsen læses derfor altid sammen med 4624 (logontype 10) og 21 på samme maskine.

Konti og grupper

4720 · Log: Security · Betydning: Brugerkonto oprettet · Typisk fejlfortolkning: At den findes på klienten. Domænekonti logges på domænecontrolleren · Læs mere: Active Directory-logs
4722 · Log: Security · Betydning: Brugerkonto aktiveret · Typisk fejlfortolkning: At den kun ses ved nye konti. Genaktivering af en fratrådt medarbejders konto giver samme hændelse · Læs mere: Active Directory-logs
4723 · Log: Security · Betydning: Forsøg på at ændre egen adgangskode · Typisk fejlfortolkning: At ændringen lykkedes. Hændelsen registrerer forsøget, og om det er logget som succes eller fejl, skal læses i den enkelte post · Læs mere: Active Directory-logs
4724 · Log: Security · Betydning: Forsøg på at nulstille en anden kontos adgangskode · Typisk fejlfortolkning: At brugeren selv har skiftet kode. Den viser, at en anden konto, typisk en administrator, nulstillede den · Læs mere: Active Directory-logs
4725 · Log: Security · Betydning: Brugerkonto deaktiveret · Typisk fejlfortolkning: At kontoen også er slettet. Data og grupper er bevaret, til kontoen eventuelt slettes · Læs mere: Active Directory-logs
4726 · Log: Security · Betydning: Brugerkonto slettet · Typisk fejlfortolkning: At sletningen ikke kan dateres, når kontoen er væk. Hændelsen bevarer konto og tidspunkt, så længe loggen rækker · Læs mere: Active Directory-logs
4732 · Log: Security · Betydning: Medlem tilføjet til en sikkerhedsaktiveret lokal gruppe, fx Administratorer · Typisk fejlfortolkning: At alle gruppeændringer har dette id. Globale og universelle grupper har egne id’er · Læs mere: Active Directory-logs
4740 · Log: Security · Betydning: Konto låst efter for mange fejlede forsøg · Typisk fejlfortolkning: At låsningen skyldes et angreb. Gemte gamle adgangskoder på telefoner og drev er en hyppig årsag · Læs mere: Active Directory-logs
4767 · Log: Security · Betydning: Konto låst op · Typisk fejlfortolkning: At brugeren selv låste op. Det er normalt en administrator eller en automatisk proces · Læs mere: Active Directory-logs
4798 · Log: Security · Betydning: En brugers lokale gruppemedlemskaber blev opregnet · Typisk fejlfortolkning: At den viser kortlægning før et angreb. Almindelige systemprocesser og administrationsværktøjer udløser den ofte · Læs mere: Active Directory-logs

Programkørsel, tjenester og opgaver

4688 · Log: Security · Betydning: Ny proces oprettet, evt. med kommandolinje · Typisk fejlfortolkning: At fravær betyder, at programmet ikke kørte. Revisionen er ofte slået fra, og kommandolinjen kræver en særskilt indstilling · Læs mere: Windows audit policy
4697 · Log: Security · Betydning: En tjeneste er installeret · Typisk fejlfortolkning: At den altid findes, når 7045 findes. Den kræver, at den relevante revision er slået til · Læs mere: Autostart, opgaver og tjenester
7045 · Log: System · Betydning: En ny tjeneste er installeret · Typisk fejlfortolkning: At en ny tjeneste er mistænkelig. Drivere, opdateringer og fjernsupportværktøjer installerer tjenester i normal drift · Læs mere: Autostart, opgaver og tjenester
4698 · Log: Security · Betydning: En planlagt opgave er oprettet · Typisk fejlfortolkning: At opgaven er oprettet af en bruger. Software opretter mange opgaver selv, og revisionen skal være slået til · Læs mere: Autostart, opgaver og tjenester
4103 · Log: PowerShell/Operational · Betydning: Modullogning: udførte kommandoer i en pipeline · Typisk fejlfortolkning: At fravær betyder, at PowerShell ikke blev brugt. Modullogning er normalt slået fra · Læs mere: PowerShell-logning
4104 · Log: PowerShell/Operational · Betydning: Scriptblok-logning: indholdet af udførte scripts · Typisk fejlfortolkning: At alle scripts er logget. Uden aktiv scriptblok-logning kan enkelte blokke stadig findes, men loggen er langt fra fuldstændig · Læs mere: PowerShell-logning

Microsofts dokumentation beskriver 4104 som den hændelse, der skrives, når scriptblok-logning er slået til. Enkelte 4104 på en maskine uden den indstilling viser derfor ikke, at resten af PowerShell-brugen er logget. Windows PowerShell 5.1 skriver til Microsoft-Windows-PowerShell/Operational, mens PowerShell 7 har sin egen log, PowerShellCore/Operational, som skal sikres for sig.

Logs ryddet og systemtid

1102 · Log: Security · Betydning: Security-loggen er ryddet, med den konto der gjorde det · Typisk fejlfortolkning: At ingen 1102 betyder, at intet er fjernet. Loggen kan også være begrænset eller hændelser skjult på andre måder · Læs mere: Anti-forensics
104 · Log: System · Betydning: En anden log, fx System eller Application, er ryddet · Typisk fejlfortolkning: At den dækker Security-loggen. Den rydning har sit eget id, 1102 · Læs mere: Anti-forensics
4616 · Log: Security · Betydning: Systemtiden er ændret · Typisk fejlfortolkning: At hver ændring er manipulation. Tidssynkronisering og skift efter dvale giver også hændelsen · Læs mere: Når enhedens ur går forkert

Opstart og nedlukning

6005 · Log: System · Betydning: Hændelseslogtjenesten er startet, en markør for opstart · Typisk fejlfortolkning: At hver opstart giver en 6005. Hurtig start i Windows kan få en nedlukning og opstart til at se anderledes ud · Læs mere: Opstart, nedlukning, lås og dvale
6006 · Log: System · Betydning: Hændelseslogtjenesten er stoppet, en markør for ren nedlukning · Typisk fejlfortolkning: At manglende 6006 betyder, at maskinen var tændt. Strømsvigt og nedbrud giver ingen 6006 · Læs mere: Opstart, nedlukning, lås og dvale
6008 · Log: System · Betydning: Den forrige nedlukning var uventet · Typisk fejlfortolkning: At tidspunktet i hændelsen er præcist. Det er den sidst kendte tid før nedlukningen, ikke selve øjeblikket · Læs mere: Opstart, nedlukning, lås og dvale
1074 · Log: System · Betydning: En proces eller bruger startede nedlukning eller genstart, med årsag · Typisk fejlfortolkning: At brugeren slukkede maskinen. Ofte er det Windows Update eller en installationsproces · Læs mere: Opstart, nedlukning, lås og dvale
41 · Log: System (Kernel-Power) · Betydning: Systemet genstartede uden en ren nedlukning · Typisk fejlfortolkning: At der var strømsvigt eller nedbrud. Et langt tryk på tænd/sluk-knappen giver samme hændelse · Læs mere: Opstart, nedlukning, lås og dvale

Med hurtig start slået til er en almindelig nedlukning i Windows 10 og 11 delvis en dvale af systemkernen, så 6005 og 6006 afspejler ikke nødvendigvis hver gang, maskinen blev slukket og tændt. Andre opstartshændelser i System-loggen læses derfor med, før der sluttes noget om, hvornår maskinen var i brug. Ved 41 viser feltet PowerButtonTimestamp, om tænd/sluk-knappen blev holdt inde.

Microsoft Defender

1116 · Log: Windows Defender/Operational · Betydning: Skadelig eller uønsket software fundet · Typisk fejlfortolkning: At filen blev kørt. Fundet kan ske ved scanning af en fil, der aldrig blev åbnet · Læs mere: Defender-logs og karantæne
1117 · Log: Windows Defender/Operational · Betydning: Defender har handlet på et fund, fx karantæne · Typisk fejlfortolkning: At truslen er væk. Handlingen kan være delvis, og andre kopier kan ligge andre steder · Læs mere: Defender-logs og karantæne
5001 · Log: Windows Defender/Operational · Betydning: Realtidsbeskyttelse er slået fra · Typisk fejlfortolkning: At en bruger har slået den fra for at skjule noget. Andre sikkerhedsprodukter og politikker kan slå den fra · Læs mere: Defender-logs og karantæne

Loggens fulde navn er Microsoft-Windows-Windows Defender/Operational. I Microsofts dokumentation hedder id’erne MALWAREPROTECTION_STATE_MALWARE_DETECTED (1116), MALWAREPROTECTION_STATE_MALWARE_ACTION_TAKEN (1117) og MALWAREPROTECTION_RTP_DISABLED (5001). Står handlingen i en 1117 som Allow, er truslen fundet, men ikke fjernet.

Fra enkelt hændelse til forløb

Et enkelt id siger sjældent meget alene. Logon-id’et i 4624 går igen i 4634, 4672 og 4688, så en session kan følges fra start til slut, og kildeadressen i et fjernlogon kan kobles til VPN- og firewalllogs. Tider skal normaliseres, før hændelser fra flere maskiner lægges i samme tidslinje. → Logkorrelation og Sommertid og tidszoner i rapporten

Opslaget er tænkt til tekniske undersøgelser i civile tvister og interne sager. Rammerne står i afgrænsningen.