Журнал входов Windows 11: как посмотреть события входа и что они означают

Журнал входов Windows 11: как посмотреть события входа и что они означают

Коротко. История входов хранится в журнале безопасности Windows. Откройте «Просмотр событий» → «Журналы Windows» → «Безопасность» и отфильтруйте события 4624 (успешный вход) и 4625 (неудачная попытка). Журнал требует прав администратора, а его размер ограничен: старые записи перезаписываются. Это не «список всех, кто видел экран», а технический журнал входов в систему.

Что такое журнал безопасности

Windows ведёт несколько журналов: приложения, система, безопасность. Журнал безопасности фиксирует события входа, выхода, изменения политик, обращения к объектам.

Для проверки доступа важны именно события входа — они показывают, когда и как выполнялся вход в систему.

Журнал не является «историей активности пользователя»: он не покажет, какие файлы открывались, если аудит доступа к файлам не включён отдельно.

Как открыть

1. Нажмите Win + R.
2. Введите eventvwr.msc и нажмите Enter.
3. Разверните «Журналы Windows».
4. Выберите «Безопасность».

Для просмотра нужны права администратора. На гостевой или стандартной учётной записи журнал может быть недоступен.

Какие события смотреть

Большинство повседневных вопросов закрывают 4624 и 4625.

Как отфильтровать нужные события

1. В журнале «Безопасность» нажмите «Фильтр текущего журнала».
2. В поле «Коды событий» введите 4624, 4625.
3. Укажите период, если нужно.
4. Нажмите «ОК».

Фильтр сохраняется, пока вы не сбросите его. Для повторной проверки удобно создать пользовательское представление.

Как читать событие 4624

В событии указаны:

• учётная запись;
• тип входа;
• время;
• имя компьютера;
• источник (для сетевого входа);
• идентификатор сеанса.

Тип входа помогает понять, что произошло.

Если вы никогда не включали удалённый рабочий стол, а видите тип 10, это повод разобраться.

Как читать событие 4625

Неудачная попытка входа содержит причину. Частые варианты:

• неверный пароль;
• неизвестное имя пользователя;
• учётная запись заблокирована;
• вход вне разрешённого времени.

Единичные ошибки обычно означают опечатку. Серия ошибок с одного адреса или в необычное время — признак подбора пароля.

Что делать при подозрительных событиях

1. Запишите время, тип входа и источник.
2. Смените пароль учётной записи.
3. Проверьте, нет ли новых учётных записей.
4. Проверьте автозапуск и удалённый доступ.
5. Запустите проверку антивирусом.
6. При необходимости отключите удалённый рабочий стол.

Если компьютер корпоративный, сообщите в ИТ-отдел: самостоятельные действия могут помешать расследованию.

Ограничения журнала

• Размер журнала ограничен, старые записи перезаписываются.
• Не все типы событий включены по умолчанию.
• Журнал можно очистить, и это само по себе подозрительно.
• Время в событиях зависит от настроек часов.
• События не показывают действия внутри приложений.

Поэтому журнал — один из источников, а не полная картина.

Если журнал пуст

Возможные причины:

• аудит входа отключён;
• журнал был очищен;
• вы смотрите не тот журнал;
• у вас нет прав на чтение;
• система недавно установлена.

В домашней редакции Windows часть политик аудита ограничена, но события входа обычно фиксируются.

Какие события искать в журнале

Помимо 4624 и 4625 полезно смотреть соседние события:

• 4634 — выход из системы;
• 4647 — выход по инициативе пользователя;
• 4648 — вход с явным указанием учётных данных, часто признак запуска программы от другого имени;
• 4672 — учётной записи назначены особые права;
• 4740 — учётная запись заблокирована.

Как читать тип входа

Тип 2 — вход за консолью, 3 — по сети, 5 — служба, 10 — удалённый рабочий стол. Если в журнале много событий типа 10, а вы не пользуетесь удалённым доступом, проверьте, не включён ли он и кто может подключаться.

Как отличить ложную тревогу

Служебные входы типа 5 создают сами службы Windows: они повторяются по расписанию и не означают взлома. Ошибки 4625 с типом 3 часто следствие неверно сохранённого пароля к сетевой папке. Смотрите на совокупность: время, источник, учётную запись и то, был ли после серии ошибок успешный вход.

Что делать при подозрительном входе

1. Завершите сеансы и смените пароль.
2. Проверьте права учётной записи и список администраторов.
3. Запустите проверку Microsoft Defender.
4. Сохраните журнал: правый клик по «Система» → «Сохранить все события как».

Как включить подробный аудит

По умолчанию Windows пишет не всё. В редакциях Pro и выше можно включить аудит входа в систему в локальной политике безопасности: «Политика аудита» → «Аудит входа в систему» → успех и неудача. После включения журнал станет подробнее, но и быстрее заполнится.

Ограничения журнала

Размер журнала безопасности ограничен, и при переполнении старые события удаляются. Если вы разбираете инцидент, сохраните журнал до того, как он прокрутится. Домашние редакции Windows не позволяют настроить часть параметров аудита, но события входа в систему обычно всё равно фиксируются.

Как сохранить журнал

1. Откройте «Просмотр событий».
2. Правый клик по «Журналы Windows» → «Безопасность».
3. Выберите «Сохранить все события как».
4. Укажите формат и папку.

Файл пригодится, если понадобится помощь специалиста.

Короткий итог

Журнал входов — не инструмент для ежедневной слежки за собой, а средство разобраться в подозрительной ситуации. Достаточно знать два идентификатора событий, один код ошибки и уметь отличить служебный вход от пользовательского. Этого хватает, чтобы понять, был ли чужой вход, и вовремя сменить пароль.

FAQ

Можно ли узнать, кто включал компьютер?

Журнал покажет учётную запись и время входа, но не человека.

Почему событий так много?

Windows фиксирует служебные входы служб и системных процессов. Это нормально.

Как узнать, кто входил по сети?

Смотрите события 4624 с типом входа 3 и адрес источника.

Можно ли удалить журнал?

Технически да, но это скрывает следы и может быть нарушением политики.

Хранится ли журнал после перезагрузки?

Да, пока не перезаписан.

Нужны ли права администратора?

Да, для чтения журнала безопасности.

Связанные материалы

• Активные сеансы и устройства аккаунта.
• Безопасный режим Windows 11.
• Контроль учётных записей (UAC).