在我们的环境中，我发现了一些事件 ID 4776 The computer attempted to validate the credentials for an account。下面显示的是该事件日志的输出，似乎有问题的用户是Guest，这是一个禁用的帐户：
我还发现了来自同一时间和同一用户的相应事件 ID 4625，如下所示Guest。但是，对于此事件 ID，我可以看到我试图为其寻找用户的主题用户名。
我的问题是：
- 有人可以提供有关禁用来宾帐户为何尝试登录的见解吗？
- 对于事件 ID 4625，主题用户名和目标用户名有什么区别？我有一个想法，但我不想假设。
即使 Guest 帐户被禁用，仍然可以尝试使用它登录。尝试显然会失败（就像这里的情况一样），从而导致事件 4625。
Subject 和 Target 之间的区别很简单。主题是报告失败的帐户（例如，这可能是计算机帐户，或类似 IIS 的进程），而目标是登录失败的相关帐户。
看起来您的问题是本地进程尝试以来宾帐户身份登录，PID 为 5744 (0x1670)。所以你应该在任务管理器中看到那个进程。
您可以在此处查看更多信息：https ://system32.eventsentry.com/security/event/4625