Win R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”；或者右键我的电脑-管理-系统工具-事件查看器。在事件查看器中右键单击系统或安全日志，选择筛选当前日志，在筛选器中输入下列事件ID即可。日志路径：C:\Windows\System32\winevt\Logs查看日志：Security.evtx、System.evtx、Application.evtx
安全事件ID汇总备查：
4699 ----- 计划任务已删除4700 ----- 已启用计划任务4701 ----- 计划任务已禁用4702 ----- 计划任务已更新4703 ----- 令牌权已经调整4704 ----- 已分配用户权限4705 ----- 用户权限已被删除4706 ----- 为域创建了新的信任4707 ----- 已删除对域的信任4709 ----- IPsec服务已启动4710 ----- IPsec服务已禁用4711 ----- PAStore引擎（1％）4712 ----- IPsec服务遇到了潜在的严重故障4713 ----- Kerberos策略已更改
4724 ----- 尝试重置账户密码4725 ----- 用户帐户已被禁用4726 ----- 用户帐户已删除4727 ----- 已创建启用安全性的全局组4728 ----- 已将成员添加到启用安全性的全局组中4729 ----- 成员已从启用安全性的全局组中删除4730 ----- 已删除启用安全性的全局组4731 ----- 已创建启用安全性的本地组4732 ----- 已将成员添加到启用安全性的本地组4733 ----- 成员已从启用安全性的本地组中删除
4734 ----- 已删除已启用安全性的本地组4735 ----- 已启用安全性的本地组已更改4737 ----- 启用安全性的全局组已更改4738 ----- 用户账户已更改4739 ----- 域策略已更改4740 ----- 用户账户已被锁定4741 ----- 已创建计算机帐户4742 ----- 计算机账户已更改4743 ----- 计算机帐户已删除
4744 ----- 已创建禁用安全性的本地组4745 ----- 已禁用安全性的本地组已更改4746 ----- 已将成员添加到已禁用安全性的本地组4747 ----- 已从安全性已禁用的本地组中删除成员4748 ----- 已删除安全性已禁用的本地组4749 ----- 已创建一个禁用安全性的全局组4750 ----- 已禁用安全性的全局组已更改4751 ----- 已将成员添加到已禁用安全性的全局组中4752 ----- 成员已从禁用安全性的全局组中删除4753 ----- 已删除安全性已禁用的全局组
4754 ----- 已创建启用安全性的通用组4755 ----- 启用安全性的通用组已更改4756 ----- 已将成员添加到启用安全性的通用组中4757 ----- 成员已从启用安全性的通用组中删除4758 ----- 已删除启用安全性的通用组4759 ----- 创建了一个安全禁用的通用组4760 ----- 安全性已禁用的通用组已更改4761 ----- 已将成员添加到已禁用安全性的通用组中4762 ----- 成员已从禁用安全性的通用组中删除4763 ----- 已删除安全性已禁用的通用组
4764 ----- 组类型已更改4765 ----- SID历史记录已添加到帐户中4766 ----- 尝试将SID历史记录添加到帐户失败4767 ----- 用户帐户已解锁4768 ----- 请求了Kerberos身份验证票证（TGT）4769 ----- 请求了Kerberos服务票证4770 ----- 更新了Kerberos服务票证4771 ----- Kerberos预身份验证失败4772 ----- Kerberos身份验证票证请求失败
4773 ----- Kerberos服务票证请求失败4774 ----- 已映射帐户以进行登录4775 ----- 无法映射帐户以进行登录4776 ----- 域控制器尝试验证账户的凭据4777 ----- 域控制器无法验证账户的凭据4778 ----- 会话重新连接到Window Station4779 ----- 会话已与Window Station断开连接4780 ----- ACL是在作为管理员组成员的帐户上设置的4781 ----- 账户名称已更改
4782 ----- 密码哈希帐户被访问4783 ----- 创建了一个基本应用程序组4784 ----- 基本应用程序组已更改4785 ----- 成员已添加到基本应用程序组4786 ----- 成员已从基本应用程序组中删除4787 ----- 非成员已添加到基本应用程序组4788 ----- 从基本应用程序组中删除了非成员。4789 ----- 基本应用程序组已删除4790 ----- 已创建LDAP查询组4791 ----- 基本应用程序组已更改4792 ----- LDAP查询组已删除
4793 ----- 密码策略检查API已被调用4794 ----- 尝试设置目录服务还原模式管理员密码4797 ----- 试图查询账户是否存在空白密码4798 ----- 枚举了用户的本地组成员身份。4799 ----- 已枚举启用安全性的本地组成员身份4800 ----- 工作站已锁定4801 ----- 工作站已解锁4802 ----- 屏幕保护程序被调用
4825 ----- 用户被拒绝访问远程桌面。默认情况下，仅当用户是RemoteDesktop Users组或Administrators组的成员时才允许用户进行连接4826 ----- 加载引导配置数据4830 ----- SID历史记录已从帐户中删除4864 ----- 检测到名称空间冲突4865 ----- 添加了受信任的林信息条目4866 ----- 已删除受信任的林信息条目4867 ----- 已修改受信任的林信息条目4868 ----- 证书管理器拒绝了挂起的证书请求4869 ----- 证书服务收到重新提交的证书请求4870 ----- 证书服务撤销了证书
4871 ----- 证书服务收到发布证书吊销列表（CRL）的请求4872 ----- 证书服务发布证书吊销列表（CRL）4873 ----- 证书申请延期已更改4874 ----- 一个或多个证书请求属性已更改。4875 ----- 证书服务收到关闭请求4876 ----- 证书服务备份已启动4877 ----- 证书服务备份已完成4878 ----- 证书服务还原已开始4879 ----- 证书服务恢复已完成
4930 ----- 已修改Active Directory副本源命名上下文4931 ----- 已修改Active Directory副本目标命名上下文4932 ----- 已开始同步Active Directory命名上下文的副本4933 ----- Active Directory命名上下文的副本的同步已结束4934 ----- 已复制Active Directory对象的属性4935 ----- 复制失败开始4936 ----- 复制失败结束4937 ----- 从副本中删除了一个延迟对象4944 ----- Windows防火墙启动时，以下策略处于活动状态4945 ----- Windows防火墙启动时列出了规则4946 ----- 已对Windows防火墙例外列表进行了更改。增加了一条规则4947 ----- 已对Windows防火墙例外列表进行了更改。规则被修改了4948 ----- 已对Windows防火墙例外列表进行了更改。规则已删除4949 ----- Windows防火墙设置已恢复为默认值
4950 ----- Windows防火墙设置已更改4951 ----- 规则已被忽略，因为Windows防火墙无法识别其主要版本号4952 ----- 已忽略规则的某些部分，因为Windows防火墙无法识别其次要版本号4953 ----- Windows防火墙已忽略规则，因为它无法解析规则4954 ----- Windows防火墙组策略设置已更改。已应用新设置4956 ----- Windows防火墙已更改活动配置文件4957 ----- Windows防火墙未应用以下规则4958 ----- Windows防火墙未应用以下规则，因为该规则引用了此计算机上未配置的项目4960 ----- IPsec丢弃了未通过完整性检查的入站数据包4961 ----- IPsec丢弃了重放检查失败的入站数据包4962 ----- IPsec丢弃了重放检查失败的入站数据包
4963 ----- IPsec丢弃了应该受到保护的入站明文数据包4964 ----- 特殊组已分配给新登录4965 ----- IPsec从远程计算机收到一个包含不正确的安全参数索引（SPI）的数据包。4976 ----- 在主模式协商期间，IPsec收到无效的协商数据包。4977 ----- 在快速模式协商期间，IPsec收到无效的协商数据包。4978 ----- 在扩展模式协商期间，IPsec收到无效的协商数据包。4979 ----- 建立了IPsec主模式和扩展模式安全关联。4980 ----- 建立了IPsec主模式和扩展模式安全关联4981 ----- 建立了IPsec主模式和扩展模式安全关联
4982 ----- 建立了IPsec主模式和扩展模式安全关联4983 ----- IPsec扩展模式协商失败4984 ----- IPsec扩展模式协商失败4985 ----- 交易状态已发生变化5024 ----- Windows防火墙服务已成功启动5025 ----- Windows防火墙服务已停止5027 ----- Windows防火墙服务无法从本地存储中检索安全策略5028 ----- Windows防火墙服务无法解析新的安全策略。5029 ----- Windows防火墙服务无法初始化驱动程序5030 ----- Windows防火墙服务无法启动5031 ----- Windows防火墙服务阻止应用程序接受网络上的传入连接。
5042 ----- 已对IPsec设置进行了更改。身份验证集已删除5043 ----- 已对IPsec设置进行了更改。添加了连接安全规则5044 ----- 已对IPsec设置进行了更改。连接安全规则已修改5045 ----- 已对IPsec设置进行了更改。连接安全规则已删除5046 ----- 已对IPsec设置进行了更改。添加了加密集5047 ----- 已对IPsec设置进行了更改。加密集已被修改5048 ----- 已对IPsec设置进行了更改。加密集已删除5049 ----- IPsec安全关联已删除5050 ----- 尝试使用对INetFwProfile.FirewallEnabled的调用以编程方式禁用Windows防火墙（FALSE
5051 ----- 文件已虚拟化5056 ----- 进行了密码自检5057 ----- 加密原语操作失败5058 ----- 密钥文件操作5059 ----- 密钥迁移操作5060 ----- 验证操作失败5061 ----- 加密操作5062 ----- 进行了内核模式加密自检5063 ----- 尝试了加密提供程序操作5064 ----- 尝试了加密上下文操作5065 ----- 尝试了加密上下文修改5066 ----- 尝试了加密功能操作5067 ----- 尝试了加密功能修改5068 ----- 尝试了加密函数提供程序操作
5069 ----- 尝试了加密函数属性操作5070 ----- 尝试了加密函数属性操作5071 ----- Microsoft密钥分发服务拒绝密钥访问5120 ----- OCSP响应程序服务已启动5121 ----- OCSP响应程序服务已停止5122 ----- OCSP响应程序服务中的配置条目已更改5123 ----- OCSP响应程序服务中的配置条目已更改5124 ----- 在OCSP Responder Service上更新了安全设置
5125 ----- 请求已提交给OCSP Responder Service5126 ----- 签名证书由OCSP Responder Service自动更新5127 ----- OCSP吊销提供商成功更新了吊销信息5136 ----- 目录服务对象已修改5137 ----- 已创建目录服务对象5138 ----- 目录服务对象已取消删除5139 ----- 已移动目录服务对象5140 ----- 访问了网络共享对象5141 ----- 目录服务对象已删除5142 ----- 添加了网络共享对象。5143 ----- 网络共享对象已被修改5144 ----- 网络共享对象已删除。
5145 ----- 检查网络共享对象以查看是否可以向客户端授予所需的访问权限5146 ----- Windows筛选平台已阻止数据包5147 ----- 限制性更强的Windows筛选平台筛选器阻止了数据包5148 ----- Windows过滤平台检测到DoS攻击并进入防御模式; 与此攻击相关的数据包将被丢弃。5149 ----- DoS攻击已经消退，正常处理正在恢复。5150 ----- Windows筛选平台已阻止数据包。5151 ----- 限制性更强的Windows筛选平台筛选器阻止了数据包。5152 ----- Windows筛选平台阻止了数据包5153 ----- 限制性更强的Windows筛选平台筛选器阻止了数据包5154 ----- Windows过滤平台允许应用程序或服务在端口上侦听传入连接5155 ----- Windows筛选平台已阻止应用程序或服务侦听端口上的传入连接
5156 ----- Windows筛选平台允许连接5157 ----- Windows筛选平台已阻止连接5158 ----- Windows筛选平台允许绑定到本地端口5159 ----- Windows筛选平台已阻止绑定到本地端口5168 ----- SMB / SMB2的Spn检查失败。5169 ----- 目录服务对象已修改5170 ----- 在后台清理任务期间修改了目录服务对象5376 ----- 已备份凭据管理器凭据5377 ----- Credential Manager凭据已从备份还原5378 ----- 策略不允许请求的凭据委派5440 ----- Windows筛选平台基本筛选引擎启动时出现以下callout5441 ----- Windows筛选平台基本筛选引擎启动时存在以下筛选器
5449 ----- Windows筛选平台提供程序上下文已更改5450 ----- Windows筛选平台子层已更改5451 ----- 建立了IPsec快速模式安全关联
5452 ----- IPsec快速模式安全关联已结束
5453 ----- 与远程计算机的IPsec协商失败，因为未启动IKE和AuthIP IPsec密钥模块（IKEEXT）服务5456 ----- PAStore引擎在计算机上应用了Active Directory存储IPsec策略5457 ----- PAStore引擎无法在计算机上应用Active Directory存储IPsec策略5458 ----- PAStore引擎在计算机上应用了Active Directory存储IPsec策略的本地缓存副本5459 ----- PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本
5466 ----- PAStore引擎轮询Active Directory IPsec策略的更改，确定无法访问Active Directory，并将使用Active DirectoryIPsec策略的缓存副本
5467 ----- PAStore引擎轮询Active Directory IPsec策略的更改，确定可以访问Active Directory，并且未找到对策略的更改5468 ----- PAStore引擎轮询Active Directory IPsec策略的更改，确定可以访问Active Directory，找到策略更改并应用这些更改5471 ----- PAStore引擎在计算机上加载了本地存储IPsec策略
5472 ----- PAStore引擎无法在计算机上加载本地存储IPsec策略5473 ----- PAStore引擎在计算机上加载了目录存储IPsec策略5474 ----- PAStore引擎无法在计算机上加载目录存储IPsec策略5477 ----- PAStore引擎无法添加快速模式过滤器5478 ----- IPsec服务已成功启动5479 ----- IPsec服务已成功关闭5480 ----- IPsec服务无法获取计算机上的完整网络接口列表5483 ----- IPsec服务无法初始化RPC服务器。无法启动IPsec服务5484 ----- IPsec服务遇到严重故障并已关闭5485 ----- IPsec服务无法在网络接口的即插即用事件上处理某些IPsec筛选器
5632 ----- 已请求对无线网络进行身份验证5633 ----- 已请求对有线网络进行身份验证5712 ----- 尝试了远程过程调用（RPC）5888 ----- COM 目录中的对象已被修改5889 ----- 从COM 目录中删除了一个对象5890 ----- 一个对象已添加到COM 目录中6144 ----- 组策略对象中的安全策略已成功应用6145 ----- 处理组策略对象中的安全策略时发生一个或多个错误6272 ----- 网络策略服务器授予用户访问权限6273 ----- 网络策略服务器拒绝访问用户
6274 ----- 网络策略服务器放弃了对用户的请求6275 ----- 网络策略服务器放弃了用户的记账请求6276 ----- 网络策略服务器隔离了用户6277 ----- 网络策略服务器授予用户访问权限，但由于主机未满足定义的健康策略而将其置于试用期
6278 ----- 网络策略服务器授予用户完全访问权限，因为主机符合定义的健康策略6279 ----- 由于重复失败的身份验证尝试，网络策略服务器锁定了用户帐户6280 ----- 网络策略服务器解锁了用户帐户6281 ----- 代码完整性确定图像文件的页面哈希值无效…6400 ----- BranchCache：在发现内容可用性时收到格式错误的响应。6401 ----- BranchCache：从对等方收到无效数据。数据被丢弃。
