Windows Logon Events werden bei Login nach Bildschirmschoner nicht angezeigt

Question

Ich sammle Windows Eventlogs zentral in einem Elastic Cluster. Dabei schaue ich besonders auf die Events 4624 und 4634. Damit sehe ich die Logons eigentlich im Normalfall. Mir ist aber aufgefallen wenn ich auf einem Server mit RDP angemeldet bin und mit Windows+L den Bildschirm sperre und mich wieder anmelde sehe ich das Login nicht. Kann ich diese Logins auch irgendwie verfolgen?

Answer 1

Du suchst nach Event IDs 4800 und 4801.

• 4800: Eine Arbeitsstation wurde gesperrt
• 4801: Eine Arbeitsstation wurde entsperrt

Answer 2

Die Events 4624 (Logon) und 4634 (Logoff) zeigen nur vollständige An- und Abmeldungen am System also wenn sich ein Benutzer wirklich anmeldet oder abmeldet. Wenn ein Benutzer per Windows+L den Bildschirm sperrt und später wieder entsperrt, findet keine neue Anmeldung statt. Daher wird auch kein 4624 Event erzeugt. Für diesen Fall musst du zusätzlich folgende Events berücksichtigen: 

• 4800 "Die Arbeitsstation wurde gesperrt" 
• 4801 "Die Arbeitsstation wurde entsperrt"

Damit kannst du nachvollziehen, wann ein Benutzer zwar noch angemeldet war, aber den Bildschirm gesperrt hatte und wieder zurückkommt.