로그온 유형 코드 이해하기

윈도우 보안감사 로그를 분석하다보면 많은 코드들이 나와 혼란스럽습니다.


이중 중요한 코드가 로그온 유형 코드인데요, 이를 통해서 침입자가 어떤 방식으로 접근했는지를 확인할 수 있습니다.

1. 로그온 유형 2 (Logon Type 2) : 대화식
   
   
   
   • 콘솔에서 키보드로 로그인 (LogMeIn, TeamView, KVM 포함)
   
   


2. 로그온 유형 3 (Logon Type 3) : 네트워크
   
   
   
   • 네트워크를 통한 원격 로그인. (파일 공유, IIS 접속 등)
   
   
   
   
3. 로그온 유형 4 (Logon Type 4) : 자동실행(스케줄)
   
   
   
   • 스케줄에 등록된 배치 작업 실행시 미리 설정된 계정 정보로 로그인
   
   
   
   
4. 로그온 유형 5 (Logon Type 5) : 서비스
   
   
   
   • 서비스가 실행될때 미리 설정된 계정 정보로 로그인
   
   


5. 로그온 유형 7 (Logon Type 7) : 잠금해제
   
   
   
   • 화면보호기 잠금 해제시
   
   


6. 로그온 유형 8 (Logon Type 8) : 네트워크 (평문암호)
   
   
   
   • 유형 3과 비슷하지만 계정 정보를 평문으로 전송시 발생 (ASP 기본 암호설정)
   
   
   
   
7. 로그온 유형 9 (Logon Type 9) : 새 자격
   
   
   
   • 실행(RunAs)에서 프로그램 실행시 /netonly 옵션을 줄때
   
   
   
   
8. 로그온 유형 10 (Logon Type 10) : 원격 대화식
   
   
   
   • 터미널 서비스, 원격 접속, 원격지원으로 로그인
   
   
   
   
9. 로그온 유형 11 (Logon Type 11) : 캐쉬된 대화식
   
   
   
   • PC에 캐쉬로 저장된 암호로 자동 입력 로그인시