مقدمه

در Windows Server 2025 رویدادهای امنیتی مانند ورود و خروج کاربران، تلاش‌های ناموفق برای Login، قفل شدن حساب‌ها، ایجاد یا حذف User، تغییر عضویت گروه‌ها و برخی تغییرات Audit Policy در Security Log ثبت می‌شوند.

مسیر اصلی بررسی این رویدادها:

Event Viewer
Windows Logs
Security

است.

Security Log یکی از مهم‌ترین منابع برای بررسی مواردی مانند Brute Force، ورودهای مشکوک، تغییرات حساب‌های کاربری و فعالیت‌های مدیریتی است. ثبت بسیاری از این Eventها به Audit Policy فعال روی Server بستگی دارد. Microsoft برای Windows Server 2025 استفاده از Advanced Audit Policy را برای کنترل دقیق رویدادهای امنیتی پشتیبانی می‌کند.

Security Log چیست؟

Security Log شامل Eventهایی است که توسط Windows Security Auditing ثبت می‌شوند.

برای مثال می‌توان رویدادهای زیر را در آن مشاهده کرد:

Successful logon
Failed logon
Logoff
Account lockout
User account creation
User account deletion
Group membership changes
Special privileged logon
Process creation
Audit policy changes
Security log clearing

برخلاف Application Log و System Log، بیشتر Eventهای Security به Audit Policy وابسته هستند. اگر Audit مربوط به یک فعالیت فعال نباشد، ممکن است Event موردنظر اصلاً ثبت نشود.

تفاوت Security، System و Application Log

برای مثال اگر کاربری نتواند وارد Windows Server شود، ابتدا:

Windows Logs
Security

و Event ID 4625 بررسی می‌شود.

اما اگر یک Service متوقف شود، معمولاً:

Windows Logs
System

نیز باید بررسی شود.

مرحله 1: باز کردن Event Viewer از Server Manager

در Windows Server 2025 وارد:

Server Manager

شوید.

سپس از بالای صفحه:

Tools
Event Viewer

را انتخاب کنید.

مرحله 2: اجرای مستقیم Event Viewer

روش سریع‌تر استفاده از:

Win + R

است.

دستور زیر را وارد کنید:

eventvwr.msc

و Enter بزنید.

مرحله 3: ورود به Security Log

بعد از باز شدن Event Viewer مسیر زیر را باز کنید:

Event Viewer (Local)
Windows Logs
Security

در قسمت مرکزی Eventهای امنیتی Server نمایش داده می‌شوند.

برای بررسی Security Log باید با Account دارای Permission مناسب وارد Server شده باشید. برای اجرای دستورات مدیریتی نیز بهتر است PowerShell یا Command Prompt را با دسترسی Administrator اجرا کنید.

اطلاعات مهم هر Security Event

ستون‌های اصلی شامل موارد زیر هستند:

برای Troubleshooting معمولاً این اطلاعات اهمیت بیشتری دارند:

Date and Time
Event ID
Account Name
Logon Type
Source Network Address
Workstation Name
Failure Reason
Status
Sub Status

Audit Success و Audit Failure

در Security Log معمولاً با دو حالت مهم روبه‌رو می‌شوید:

Audit Success

یعنی عملیات Audit شده با موفقیت انجام شده است.

و:

Audit Failure

یعنی یک عملیات Audit شده موفق نبوده است.

برای مثال:

Event ID 4624
Audit Success

نشان‌دهنده ایجاد یک Logon Session موفق است. Microsoft اعلام می‌کند Event 4624 روی سیستمی که Logon Session در آن ایجاد شده ثبت می‌شود.

در مقابل:

Event ID 4625
Audit Failure

نشان‌دهنده Logon ناموفق است.

Event IDهای مهم Security Log

Microsoft این Eventها را در مستندات Windows Security Auditing تعریف کرده است. برای مثال 4720 هنگام ایجاد User، 4726 هنگام حذف User و 4732 هنگام اضافه شدن Member به یک Security-enabled Local Group ثبت می‌شوند.

بررسی Login موفق با Event ID 4624

برای بررسی ورود موفق کاربران:

Event ID:
4624

را جستجو کنید.

روی Event دو بار کلیک کنید.

در بخش General اطلاعات مهمی مانند موارد زیر وجود دارند:

Account Name
Account Domain
Logon ID
Logon Type
Workstation Name
Source Network Address
Process Name

Microsoft اعلام می‌کند 4624 هنگام ایجاد یک Logon Session موفق ثبت می‌شود و می‌تواند اطلاعاتی مانند Workstation و Source Network Address را نیز در اختیار Administrator قرار دهد.

Logon Type چیست؟

یکی از مهم‌ترین قسمت‌های Event 4624 و 4625:

Logon Type

است.

Logon Type مشخص می‌کند کاربر از چه روشی Login کرده است.

برای بررسی ورود از طریق Remote Desktop معمولاً باید به:

Logon Type: 10

توجه کنید. جدول Logon Typeها در مستند رسمی Event 4624 Microsoft نیز تعریف شده است.

مثال: بررسی ورود RDP

فرض کنید می‌خواهید بررسی کنید چه کسی از طریق Remote Desktop وارد Server شده است.

ابتدا:

Event Viewer
Windows Logs
Security

را باز کنید.

سپس Event ID:

4624

را Filter کنید.

Event را باز کرده و بررسی کنید:

Account Name
Logon Type
Source Network Address
Workstation Name
Time Created

اگر:

Logon Type: 10

باشد، Logon از نوع RemoteInteractive بوده است که معمولاً برای RDP استفاده می‌شود.

بررسی Login ناموفق با Event ID 4625

یکی از مهم‌ترین Eventها برای بررسی امنیت Server:

4625

است.

این Event هنگام Logon Failure ثبت می‌شود.

اطلاعات مهم:

Account Name
Account Domain
Failure Reason
Status
Sub Status
Logon Type
Workstation Name
Source Network Address
Process Name

مثال بررسی تلاش ناموفق RDP

فرض کنید تعداد زیادی Event 4625 مشاهده می‌کنید.

یکی از Eventها را باز کنید و موارد زیر را بررسی کنید:

Account Name: Administrator
Logon Type: 10
Source Network Address: 203.0.113.25

اگر تعداد زیادی تلاش ناموفق از یک IP ناشناس در مدت کوتاه مشاهده شود، باید احتمال مواردی مانند:

Brute Force
Password Guessing
Unauthorized access attempt

بررسی شود.

Microsoft نیز تکرار برخی Failure Statusها در Event 4625 را از مواردی می‌داند که می‌تواند برای شناسایی فعالیت غیرعادی یا تلاش برای حدس Username و Password مورد بررسی قرار گیرد.

Failure Reason، Status و Sub Status

در Event 4625 فقط متن:

An account failed to log on.

را بررسی نکنید.

بخش مهم‌تر:

Failure Information

است.

ممکن است مواردی مانند:

Failure Reason
Status
Sub Status

وجود داشته باشند.

چند Status رایج:

این Statusها در مستند رسمی Event 4625 Microsoft تشریح شده‌اند.

بررسی Account Lockout با Event ID 4740

برای بررسی قفل شدن Account:

Event ID:
4740

را Filter کنید.

این Event مشخص می‌کند کدام Account Lock شده است.

اطلاعات مهم:

Account Name
Security ID
Caller Computer Name
Time Created

فیلد:

Caller Computer Name

می‌تواند در پیدا کردن سیستمی که Login Failureهای منجر به Lockout از آن دریافت شده‌اند بسیار مفید باشد.

بررسی ورود با Privilegeهای مدیریتی

Event:

4672

با عنوان:

Special privileges assigned to new logon

برای Logon Sessionهایی ثبت می‌شود که Privilegeهای حساس دریافت می‌کنند.

برای مثال:

SeBackupPrivilege
SeDebugPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeRestorePrivilege

Microsoft توضیح می‌دهد که مشاهده Event 4672 برای Accountهایی مانند SYSTEM بسیار رایج است؛ بنابراین وجود این Event به‌تنهایی به معنی نفوذ نیست. باید Account و Privilegeهای اختصاص‌یافته بررسی شوند.

بررسی ایجاد User جدید

برای بررسی اینکه User جدیدی روی Server ساخته شده است:

Event ID:
4720

را جستجو کنید.

Event 4720 هر زمان یک User Object جدید ایجاد شود ثبت می‌شود، به شرط فعال بودن Audit مربوطه.

اطلاعات مهم:

Subject Account Name
New Account Name
Account Domain
Security ID
Time Created

با استفاده از این Event می‌توان مشخص کرد:

Who created the account?
Which account was created?
When was it created?

بررسی حذف User

برای حذف User:

Event ID:
4726

را بررسی کنید.

Microsoft اعلام می‌کند Event 4726 هنگام حذف User Object ثبت می‌شود.

اطلاعات مهم:

Subject Account Name
Target Account Name
Account Domain
Time Created

بررسی اضافه شدن User به Administrators

یکی از Eventهای مهم:

4732

است.

این Event هنگام اضافه شدن Member به یک:

Security-enabled local group

ثبت می‌شود.

برای مثال اضافه شدن User به:

Administrators

می‌تواند با Event 4732 قابل بررسی باشد.

اطلاعات مهم:

Member Name
Member ID
Group Name
Subject Account Name

تغییرات گروه‌های مدیریتی مانند Administrators باید با دقت بررسی شوند.

بررسی تغییر Audit Policy

Event:

4719

نشان‌دهنده تغییر:

System Audit Policy

است.

Microsoft اعلام می‌کند Event 4719 هنگام تغییر Audit Policy سیستم ایجاد می‌شود.

این Event برای بررسی تغییرات امنیتی مهم است، زیرا غیرفعال کردن Auditing می‌تواند باعث شود Eventهای موردنظر دیگر ثبت نشوند.

بررسی پاک شدن Security Log

یکی از حساس‌ترین Eventها:

1102

است.

عنوان:

The audit log was cleared

Microsoft اعلام می‌کند این Event هر بار که Windows Security Audit Log پاک شود ایجاد می‌شود و توصیه می‌کند وقوع آن بررسی شود، زیرا در بیشتر محیط‌ها نیازی به پاک کردن دستی Security Log نیست.

اطلاعات مهم:

Account Name
Account Domain
Security ID
Logon ID
Time Created

اگر Event 1102 بدون یک عملیات مدیریتی برنامه‌ریزی‌شده مشاهده شود، باید علت آن بررسی شود.

بررسی Process Creation با Event ID 4688

اگر Audit Process Creation فعال باشد، Windows می‌تواند هنگام اجرای Process جدید Event زیر را ثبت کند:

4688

عنوان:

A new process has been created

Microsoft اعلام می‌کند Event 4688 برای هر Process جدید در صورت فعال بودن Audit Process Creation ایجاد می‌شود.

اطلاعات مفید:

New Process Name
New Process ID
Creator Process ID
Creator Process Name
Token Elevation Type
Process Command Line

چرا Process Command Line خالی است؟

ممکن است در Event 4688 قسمت:

Process Command Line

خالی باشد.

برای ثبت Command Line باید Policy مربوط به:

Include command line in process creation events

فعال شده باشد.

Microsoft به‌طور رسمی اعلام می‌کند Command Line به‌صورت پیش‌فرض در Event 4688 نمایش داده نمی‌شود مگر این Policy فعال شده باشد.

فیلتر کردن Security Log

در:

Event Viewer
Windows Logs
Security

از سمت راست گزینه:

Filter Current Log...

را انتخاب کنید.

می‌توانید Filter را براساس موارد زیر ایجاد کنید:

Logged
Event level
Event sources
Event IDs
Task category
Keywords
User
Computer

مثال: نمایش Loginهای موفق و ناموفق

در قسمت:

<All Event IDs>

وارد کنید:

4624,4625

سپس روی:

OK

کلیک کنید.

اکنون فقط Loginهای موفق و ناموفق نمایش داده می‌شوند.

مثال: بررسی Login و Lockout

برای بررسی Login Failure و Account Lockout:

4625,4740

را Filter کنید.

این روش برای Troubleshooting Accountهایی که مرتب Lock می‌شوند مفید است.

مثال: بررسی تغییرات User

برای Account Management می‌توانید:

4720,4726,4732

را Filter کنید.

این Filter می‌تواند مواردی مانند:

User created
User deleted
User added to local group

را سریع‌تر مشخص کند.

بررسی Eventهای 24 ساعت اخیر با PowerShell

PowerShell را با Permission مناسب باز کنید.

آخرین Eventهای Security:

Get-WinEvent -LogName Security -MaxEvents 50

برای نمایش اطلاعات مهم:

Get-WinEvent -LogName Security -MaxEvents 50 |
Select-Object TimeCreated, Id, ProviderName, Message

بررسی Login ناموفق با PowerShell

برای نمایش Eventهای 4625:

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4625
} -MaxEvents 50 |
Select-Object TimeCreated, Id, Message |
Format-List

Login Failureهای 24 ساعت اخیر

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4625
    StartTime = (Get-Date).AddHours(-24)
} |
Select-Object TimeCreated, Id, Message |
Format-List

بررسی Loginهای موفق

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4624
    StartTime = (Get-Date).AddHours(-24)
} |
Select-Object TimeCreated, Id, Message |
Format-List

بررسی Lockoutها

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4740
    StartTime = (Get-Date).AddDays(-1)
} |
Select-Object TimeCreated, Id, Message |
Format-List

بررسی تغییرات مهم Accountها

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4720,4726,4732
    StartTime = (Get-Date).AddDays(-7)
} |
Select-Object TimeCreated, Id, Message |
Format-List

بررسی پاک شدن Security Log

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 1102
} |
Select-Object TimeCreated, Id, Message |
Format-List

وجود Event 1102 باید با فعالیت‌های Administrator تطبیق داده شود.

بررسی Security Log با wevtutil

نمایش آخرین 20 Event:

wevtutil qe Security /c:20 /rd:true /f:text

برای نمایش فقط Login Failure:

wevtutil qe Security /q:"*[System[(EventID=4625)]]" /c:20 /rd:true /f:text

Microsoft تأیید می‌کند wevtutil روی Windows Server 2025 برای Query، Export، Archive و مدیریت Event Logها قابل استفاده است.

بررسی تنظیمات Security Log

دستور:

wevtutil gl Security

اطلاعاتی مانند موارد زیر را نمایش می‌دهد:

enabled
retention
maxSize
logFileName

مسیر فایل Security Log

مسیر پیش‌فرض:

C:\Windows\System32\winevt\Logs\Security.evtx

برای بررسی یا Backup بهتر است از Event Viewer یا ابزارهایی مانند wevtutil استفاده کنید و فایل فعال EVTX را مستقیماً حذف یا تغییر ندهید.

Export گرفتن از Security Log

در Event Viewer روی:

Security

Right Click کنید.

سپس:

Save All Events As...

را انتخاب کنید.

فرمت پیشنهادی:

.evtx

برای مثال:

Security-2026-09-13.evtx

فرمت EVTX برای بررسی تخصصی بسیار مناسب‌تر از Screenshot است، زیرا جزئیات کامل Eventها را حفظ می‌کند.

Export با Command Line

ابتدا Folder ایجاد کنید:

New-Item -ItemType Directory -Path C:\EventLogs -Force

سپس:

wevtutil epl Security C:\EventLogs\Security.evtx

پاک کردن Security Log

Security Log را بدون دلیل پاک نکنید.

پاک کردن این Log می‌تواند اطلاعات مهم مربوط به:

Logon attempts
Account changes
Privilege usage
Security incidents

را از بین ببرد.

Microsoft نیز توصیه می‌کند Event 1102 که نشان‌دهنده پاک شدن Security Log است بررسی شود.

اگر در یک سناریوی مدیریتی واقعاً نیاز به Clear کردن Log وجود دارد، ابتدا Backup تهیه کنید:

wevtutil cl Security /bu:C:\EventLogs\Security-Before-Clear.evtx

اگر Event موردنظر ثبت نمی‌شود چه کنیم؟

همه Security Eventها به‌صورت پیش‌فرض الزاماً ثبت نمی‌شوند.

ابتدا Audit Policy را بررسی کنید.

Command Prompt یا PowerShell را با دسترسی Administrator باز کرده و اجرا کنید:

auditpol /get /category:*

auditpol در Windows Server 2025 امکان مشاهده و مدیریت System Audit Policy را فراهم می‌کند.

بررسی Audit Policy مربوط به Logon

برای مثال:

auditpol /get /subcategory:"Logon"

نتیجه مشخص می‌کند Audit مربوط به Logon روی چه حالتی است:

Success
Failure
Success and Failure
No Auditing

مسیر Advanced Audit Policy

برای بررسی از GUI می‌توانید:

secpol.msc

را اجرا کنید.

سپس:

Security Settings
Advanced Audit Policy Configuration
System Audit Policies

را باز کنید.

در محیط Domain نیز مسیر Group Policy به شکل زیر است:

Computer Configuration
Windows Settings
Security Settings
Advanced Audit Policy Configuration
System Audit Policies

Microsoft همین مسیر را برای Advanced Audit Policy Configuration در Windows Server 2025 مستند کرده است.

Audit Categoryهای مهم

دسته‌های مهم شامل:

Account Logon
Account Management
Detailed Tracking
Logon/Logoff
Object Access
Policy Change
Privilege Use
System

هستند.

فعال کردن بیش از حد Audit می‌تواند حجم Security Log را به‌شدت افزایش دهد؛ بنابراین Policy باید متناسب با نقش Server و نیاز امنیتی تنظیم شود. Microsoft نیز توصیه می‌کند Audit Policy براساس نیاز سازمان طراحی و قبل از Production آزمایش شود.

تفاوت Security Log روی Member Server و Domain Controller

در محیط Active Directory باید توجه کنید که تمام Eventها الزاماً روی Member Server موردنظر ثبت نمی‌شوند.

برای مثال بعضی رویدادهای مربوط به:

Kerberos
Domain authentication
Domain account management
Domain group changes

ممکن است لازم باشد روی Domain Controller بررسی شوند.

بنابراین هنگام بررسی مشکل Authentication در Domain Environment ممکن است نیاز باشد Security Log هر دو بخش زیر بررسی شود:

Affected Server
Domain Controller

سناریو: چه کسی وارد Server شده است؟

ابتدا Security Log را با:

4624

Filter کنید.

سپس در Event موردنظر بررسی کنید:

Account Name
Logon Type
Source Network Address
Workstation Name
Time Created

اگر:

Logon Type: 10

باشد، ورود RemoteInteractive بوده است.

سناریو: چه کسی Password اشتباه وارد کرده است؟

Event:

4625

را بررسی کنید.

اطلاعات مهم:

Account Name
Failure Reason
Status
Sub Status
Source Network Address
Logon Type

برای Password اشتباه ممکن است Status یا Sub Status مرتبط با:

0xC000006A

مشاهده شود.

سناریو: چرا User مرتب Lock می‌شود؟

ابتدا:

4740

را بررسی کنید.

سپس:

Caller Computer Name

را پیدا کنید.

بعد روی سیستم مربوطه به دنبال Credential قدیمی یا Password اشتباه در مواردی مانند زیر باشید:

Windows Service
Scheduled Task
Mapped Drive
Application
Saved Credential
RDP session
Mobile or mail client

همچنین Eventهای 4625 همان بازه زمانی را بررسی کنید.

سناریو: آیا User جدیدی ساخته شده است؟

Filter:

4720

را اجرا کنید.

سپس:

Subject

را بررسی کنید تا مشخص شود چه Accountی عملیات را انجام داده است.

و:

New Account

را بررسی کنید تا User ایجادشده مشخص شود.

سناریو: آیا کسی به Administrators اضافه شده است؟

Event:

4732

را بررسی کنید.

در Event به این موارد توجه کنید:

Subject
Member
Group Name

اگر:

Group Name: Administrators

باشد، مشخص می‌شود یک Member به Local Administrators Group اضافه شده است.

سناریو: آیا Auditing تغییر کرده است؟

Event:

4719

را جستجو کنید.

اگر Audit Policy بدون Change Request یا عملیات مدیریتی مشخص تغییر کرده باشد، باید علت آن بررسی شود.

فقط یک Event را بررسی نکنید

برای تحلیل Security Incident معمولاً باید چند Event را کنار یکدیگر قرار دهید.

برای مثال:

4625
4625
4625
4624
4672

می‌تواند نشان دهد چند Login Failure رخ داده و سپس یک Login موفق با Privilegeهای خاص ایجاد شده است.

این الگو به‌تنهایی اثبات نفوذ نیست، اما قطعاً ارزش بررسی دارد.

به موارد زیر نیز توجه کنید:

Timeline
Account Name
Source IP
Logon Type
Logon ID
Process
Related Events

Logon ID برای Correlation

بسیاری از Security Eventها دارای:

Logon ID

هستند.

Microsoft توضیح می‌دهد که می‌توان از Logon ID برای ارتباط دادن Eventهای مختلف مربوط به یک Logon Session استفاده کرد. برای مثال Event 4672 را می‌توان با Event 4624 دارای همان Logon ID مقایسه کرد.

این روش برای Troubleshooting دقیق بسیار مفید است.

چه اطلاعاتی برای پشتیبانی ذخیره کنیم؟

در زمان بررسی Security Event بهتر است اطلاعات زیر ثبت شوند:

Server Name
Date and Time
Event ID
Source
Account Name
Account Domain
Logon Type
Source Network Address
Workstation Name
Failure Reason
Status
Sub Status
Logon ID
Full Event Message
Security.evtx

برای Incidentهای مهم، فایل EVTX را قبل از هرگونه تغییر روی Server ذخیره کنید.

چک‌لیست بررسی Security Log

مطالعات بیشتر

مستند رسمی Microsoft درباره Advanced Audit Policy در Windows Server 2025:

Advanced Audit Policy Configuration — Microsoft Learn

مستند رسمی Microsoft درباره پیشنهادهای Audit Policy:

System Audit Policy Recommendations — Microsoft Learn

مستند رسمی Microsoft درباره auditpol:

auditpol — Microsoft Learn

مستند رسمی Microsoft درباره Get-WinEvent:

Get-WinEvent — Microsoft Learn

مستند رسمی Microsoft درباره wevtutil:

wevtutil — Microsoft Learn

جمع‌بندی

برای بررسی Security Log در Windows Server 2025 مسیر اصلی:

Server Manager
Tools
Event Viewer
Windows Logs
Security

است.

یا می‌توانید Event Viewer را مستقیماً اجرا کنید:

eventvwr.msc

برای بررسی Loginها مهم‌ترین Eventها:

4624 = Successful Logon
4625 = Failed Logon
4740 = Account Lockout

برای تغییرات Account:

4720 = User Created
4726 = User Deleted
4732 = Member Added to Local Security Group

و برای رخدادهای حساس مدیریتی:

4672 = Special Privileges Assigned
4719 = Audit Policy Changed
1102 = Security Log Cleared

هستند.

هنگام تحلیل یک Event فقط به شماره آن اکتفا نکنید. مواردی مانند:

Account Name
Logon Type
Source Network Address
Failure Reason
Status
Sub Status
Logon ID
Time Created

را نیز بررسی کنید و Eventهای قبل و بعد از رخداد را کنار هم قرار دهید.

اگر Event موردنظر اصلاً ثبت نمی‌شود، ابتدا Audit Policy را بررسی کنید:

auditpol /get /category:*

زیرا بسیاری از Security Eventها تنها زمانی ثبت می‌شوند که Audit Subcategory مربوطه فعال باشد.