要查看域环境下登录失败的安全日志，必须先启用登录失败审核策略，否则事件ID 4625不会生成；该策略需在域控制器上通过GPO配置“审核登录事件→失败”，并强制刷新组策略，之后在事件查看器中筛选Security日志的4625事件，或用PowerShell导出近24小时失败详情。
要查看域环境下登录失败的安全日志，必须先确保系统已启用登录失败审核策略，否则事件ID 4625根本不会生成——Windows Server默认关闭该审计，不是日志“找不到”，而是压根没记录。
确认登录失败审核是否已启用
打开组策略编辑器（gpedit.msc 或通过域控制器上的GPMC）→ 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略 → 双击“审核登录事件” → 勾选“失败”（成功可选）→ 确定。
若为域环境，该策略需在域控制器上通过“Default Domain Controllers Policy”或自定义GPO下发至域控制器OU，并运行 gpupdate /force 强制刷新。仅在客户端配无效，因为4625事件由域控制器生成并写入其Security日志。
注意：本地安全策略（secpol.msc）对域控制器无效，此处必须用组策略对象（GPO）配置。
在域控制器上定位并筛选4625事件
以管理员身份打开事件查看器（eventvwr.msc）→ 展开“Windows 日志” → 右键“安全” → “筛选当前日志”。
用于设计、审查、生成或重构使用Effector、effector-react、Farfetched、AtomicRouter、@effector/next等库的React应用。
在“事件ID”框中输入 4625，点击确定。
筛选后列表即为所有登录失败记录。关键字段包括：任务类别（Logon）、登录类型（Logon Type）、源网络地址（IP）、帐户名称、失败原因（Status + Sub Status）。其中Sub Status为0xc000006d表示密码错误，0xc0000064表示用户不存在，0xc000015b表示账户被禁用。
用PowerShell快速导出近24小时的失败登录详情
以管理员身份运行PowerShell：
第一步：执行命令获取最近一天内全部4625事件
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddHours(-24)} | ForEach-Object {
$event = $_
$props = [ordered]@{
Time = $event.TimeCreated
User = $event.Properties[5].Value
Domain = $event.Properties[6].Value
LogonType = $event.Properties[8].Value
IPAddress = $event.Properties[18].Value
Status = $event.Properties[19].Value
SubStatus = $event.Properties[20].Value
}
[PSCustomObject]$props
} | Export-Csv D:\4625_failures_$(Get-Date -fyyyyMMdd_HHmm).csv -NoTypeInformation -Encoding UTF8
这一步会生成带时间戳的CSV文件，字段顺序固定，可直接用Excel打开分析。注意路径D:\需提前存在且有写入权限；若提示“拒绝访问”，说明当前账户无Security日志读取权，需加入“Event Log Readers”组。
