关于禁用Guest账户登录尝试及Event ID 4625字段差异的技术咨询

嘿，我来帮你梳理这两个问题——我之前排查过不少这类事件日志，应该能给你实用的思路：

为什么禁用的Guest账户会出现登录尝试？ #

这类情况很常见，主要有这几个可能的原因：

• 自动化攻击/扫描：这是最普遍的情况。很多黑客工具或者自动化扫描脚本会默认针对Windows系统的Guest账户发起试探（毕竟它是系统默认存在的账户），哪怕账户已经禁用，它们也会批量尝试，尤其是你的机器开放了RDP、SMB这类对外服务时，更容易被盯上。
• 服务/应用误配置：有些老旧的应用程序或者系统服务，可能被错误配置为使用Guest账户作为运行身份。哪怕账户已经禁用，服务启动或者执行任务时，还是会尝试验证这个账户的凭据，从而触发日志。
• 遗留的计划任务/脚本：如果之前创建过计划任务、PowerShell脚本或者批处理文件，指定了Guest账户作为执行身份，哪怕账户禁用了，当任务触发或者脚本运行时，依然会发起对Guest账户的验证请求。
• 罕见的系统组件异常：极少数情况下，Windows身份验证子系统可能出现小bug，导致误触发对禁用账户的验证，但这种概率极低，优先排查前面几种场景。

Event ID 4625中Subject User Name和Target User Name的区别？ #

这两个字段的定位完全不同，我给你直白解释下：

• Target User Name：就是这次登录尝试的目标账户——也就是你看到的Guest，是发起尝试的一方想要登录/验证的那个账户。
• Subject User Name：是发起这次登录尝试的发起者账户，简单说就是“谁在试登Target账户”。举几个例子：
  • 如果是本地某个系统服务（比如Local System、Network Service）发起对Guest的验证，Subject就是这个服务对应的账户；
  • 如果是远程机器上的攻击者试探你的Guest账户，Subject可能是远程机器的本地账户，或者是发起连接的上下文账户；
  • 如果是本地用户用runas命令尝试切换到Guest账户，Subject就是这个本地用户的用户名。

备注：内容来源于stack exchange，提问作者Nina G