01Olaydaki alanlar
- TargetUserSid
- TargetUserName
- TargetDomainName
- TargetLogonId
- SessionId
02Nasıl kullanılır
Aynı bilgisayardaki 4624 oturum türü 7 (Kilit açma) ile birlikte okuyun: ikisi de var olan bir oturuma dönüşü işaretler ve aynı TargetLogonId kilidin açılmasını kilitlenen oturuma bağlar. Bir dosya kopyalamadan ya da program çalıştırmadan kısa süre önceki bir 4801, o anda bir hesabın konsolda olduğunu gösterir.
03Uyarılar
Audit Other Logon/Logoff Events denetimini gerektirir. Kilit açma, hesabın kimlik bilgilerinin kullanıldığını kanıtlar, onları kimin yazdığını değil; bir kişinin adını vermeden önce fiziksel erişim kayıtları veya başka kanıtlarla destekleyin.
04Vaka paketlerinde
Bu olay bir vaka paketinde geçer. Aşağıdaki her satır indirilebilir dosyadan değiştirilmeden kopyalanmıştır; adı geçen sorular olaya ihtiyaç duyduğunuz yerlerdir.
VP-01 Windows triyajı: Cumartesi günü bordro istasyonu
- Dosya
- security-events.csv
- Bu kimlikle satır
- 2
- Sorular
- Soru 3
Kilit açma aynı 0x3E7A1F2 oturumuna döner; yeni bir 4624 gerekmez. partition-diagnostic.csv içindeki sonraki aygıt etkinliği bu kilit açmadan sonraya düşer.
2026-03-14 07:39:52.3300014,4801,Security,PAY-WS03.kestrel.example,d.aydin,KESTREL,,0x3E7A1F2,,,,The workstation was unlocked
06Kaynaklar
- Microsoft Learn — 4801(S) The workstation was unlocked erişim 2026-11-05