必须从4624事件的“详细信息→EventData→IpAddress”字段提取IP，且仅Logon Type=3/10/11等网络类登录才有效；空值或“-”表示本地交互式或服务登录，不记录IP。
当你需要确认某台Windows 11电脑是否被远程登录过，或者想验证某个登录行为是否来自可信网络，必须从4624事件中准确提取源IP地址——但很多用户点开日志后找不到IP字段，是因为它藏在“详细信息”标签页的深层结构里，且仅对特定登录类型有效。
先确认4624事件里有没有IP
打开事件查看器 → Windows 日志 → 安全 → 筛选事件ID为4624 → 双击任意一条记录 → 切换到“详细信息”选项卡 → 展开“EventData”节点 → 拉动右侧滚动条查找“IpAddress”字段。如果该字段为空或显示“-”，说明这次登录不携带网络来源信息，比如交互式本地登录（Logon Type=2）、服务启动登录（Logon Type=5）或系统内部登录（Logon Type=7）根本不会记录IP。
只有Logon Type为3（网络登录）、10（远程桌面）、11（远程桌面重新连接）等类型，才可能填入真实IP。所以看到空值不用反复刷新，【Logon Type决定IP是否存在】。
快速定位带IP的4624事件
方法一：用筛选器直接过滤远程登录类型
在安全日志右键 → “筛选当前日志” → 在“XML”选项卡勾选“按XML筛选事件” → 点击“编辑查询” → 粘贴以下内容并确定：
*[System[(EventID=4624) and (EventData[Data[@Name='LogonType']='3' or Data[@Name='LogonType']='10' or Data[@Name='LogonType']='11'])]]
方法二：用PowerShell一步导出含IP的最近20条
以管理员身份运行终端 → 执行：
Get-WinEvent -LogName Security -FilterXPath "*[System[(EventID=4624) and (EventData[Data[@Name='LogonType']='3' or Data[@Name='LogonType']='10' or Data[@Name='LogonType']='11'])]]" -MaxEvents 20 | ForEach-Object { $e = $_; $ip = ($e.Properties[18].Value); [PSCustomObject]@{Time=$e.TimeCreated; User=$e.Properties[5].Value; LogonType=$e.Properties[8].Value; IP=$ip} } | Format-Table -AutoSize
这一步输出清晰列出了时间、用户名、登录类型和IP，比手动翻日志快得多，也避免漏看隐藏字段。
读懂IP字段的真实含义
第一步：找到“IpAddress”字段值，常见形态有三种——
纯IPv4（如192.168.1.105）：表示真实客户端出口IP，可信度高；
IPv6地址（如::1）：代表本机回环，等同于本地操作；
“-”或“::ffff:127.0.0.1”：多数是服务进程调用、计划任务触发或某些远程管理工具未透传源地址所致。
第二步：对照“WorkstationName”字段交叉验证。如果IP是192.168.1.105，而WorkstationName显示“LAPTOP-ABC”，基本可确认是该设备主动发起的RDP连接；若WorkstationName为空，IP却存在，则大概率是跨网段代理或NAT后的真实终端。
第三步：警惕“源端口”字段。双击事件 → “详细信息” → 查找“IpPort”。若端口是随机高位端口（如54217），说明是标准TCP客户端行为；若固定为3389，反而要怀疑是否为攻击者伪造日志或使用了特殊隧道工具——因为正常RDP客户端不会用3389作为源端口。
