Note

① 登录虚拟机（Win7_x64），提取2021.09.12 05:15:00—2021.09.12 05:20:00时间段的远程桌面登录日志，将过滤的日志存储为evtx格式日志，记录详细提取过程，并描述该时间段内的用户认证成功日志记录条目数。
② 分析系统安全日志文件，请描述：
1）哪位用户在该机器上新建了用户share？
2）哪个IP通过新用户share成功地远程登录过本系统？

一、提取远程桌面登录日志

1. 打开事件查看器

  1. 按 Win + R。
  2. 输入 eventvwr.msc。
  3. 点击“确定”。

2. 找到远程桌面日志

3. 筛选指定时间段日志

  1. 点击右侧“筛选当前日志”。
  2. “记录时间”选择“自定义范围”。
  3. 设置开始时间：2021-09-12 05:15:00。
  4. 设置结束时间：2021-09-12 05:20:00。
  5. “事件ID”输入 1149。
  6. 点击“确定”。

4. 统计认证成功日志数量

  1. 查看筛选后的事件列表。
  2. 统计事件ID为 1149 的日志条数。
  3. 记录筛选得到的事件总数。

5. 导出EVTX日志

  1. 点击右侧“将筛选的日志文件另存为”。
  2. 选择保存位置为“桌面”。
  3. 文件名称填写 RDP.evtx。
  4. 保存类型选择“事件文件（*.evtx）”。
  5. 点击“保存”。

二、查看谁创建了share用户

1. 打开安全日志

在事件查看器中依次点击：

Windows 日志 → 安全

2. 筛选创建用户事件

  1. 点击右侧“筛选当前日志”。
  2. “记录时间”选择“任何时间”。
  3. “事件ID”输入 4720。
  4. 点击“确定”。

3. 查看用户创建记录

  1. 双击事件ID为 4720 的日志。
  2. 找到“新账户”。
  3. 确认账户名称为 share。
  4. 找到“主体”。
  5. 查看“主体”中的“账户名称”。
  6. 记录该账户名称，即创建share用户的账户。

三、查看share用户远程登录的IP

1. 打开安全日志

Windows 日志 → 安全

2. 筛选登录成功事件

  1. 点击右侧“筛选当前日志”。
  2. “记录时间”选择“任何时间”。
  3. “事件ID”输入 4624。
  4. 点击“确定”。

3. 查找share用户登录记录

  1. 双击事件ID为 4624 的日志。
  2. 找到“新登录”中的“账户名称”。
  3. 确认账户名称为 share。
  4. 查看“登录类型”，确认数值为 10（远程桌面登录）。
  5. 找到“网络信息”。
  6. 查看“源网络地址”。
  7. 记录源IP地址。