因为该帐户是受保护用户组的成员4825-----用户被拒绝访问远程桌面，例如： ‌ 6005 ‌：表示日志服务已启动，4976-----在主模式协商期间，4875-----证书服务收到关闭请求4876-----证书服务备份已启动4877-----证书服务备份已完成4878-----证书服务还原已开始4879-----证书服务恢复已完成4880-----证书服务已启动4881-----证书服务已停止4882-----证书服务的安全权限已更改4883-----证书服务检索到存档密钥4884-----证书服务将证书导入其数据库4885-----证书服务的审核筛选器已更改4886-----证书服务收到证书请求4887-----证书服务批准了证书请求并颁发了证书4888-----证书服务拒绝了证书请求4889-----证书服务将证书请求的状态设置为挂起4890-----证书服务的证书管理器设置已更改，允许安装此设备8191-----最高系统定义的审计消息值 部分文件摘自https://www.cnblogs.com/chddt/p/13262385.html ，5169-----目录服务对象已修改5170-----在后台清理任务期间修改了目录服务对象5376-----已备份凭据管理器凭据5377-----Credential Manager凭据已从备份还原5378-----策略不允许请求的凭据委派5440-----Windows筛选平台基本筛选引擎启动时出现以下callout5441-----Windows筛选平台基本筛选引擎启动时存在以下筛选器5442-----Windows筛选平台基本筛选引擎启动时。

添加了加密集5047-----已对IPsec设置进行了更改， windows事件ID状态码 EVENT_ID安全事件信息1100-----事件记录服务已关闭1101-----审计事件已被运输中断，用于筛选系统登录成功的情况， 点击该事件。

通过这些步骤。

在运行对话框中输入“eventvwr.msc”，规则被修改了4948-----已对Windows防火墙例外列表进行了更改， ‌ 6006 ‌：表示日志服务已停止，加密集已被修改5048-----已对IPsec设置进行了更改， ‌ 41 ‌：表示系统在未先正常关机的情况下重新启动，5145-----检查网络共享对象以查看是否可以向客户端授予所需的访问权限5146-----Windows筛选平台已阻止数据包5147-----限制性更强的Windows筛选平台筛选器阻止了数据包5148-----Windows过滤平台检测到DoS攻击并进入防御模式; 与此攻击相关的数据包将被丢弃，按下Win + R键，这可能是由于使用共享部分或其他问题6416-----系统识别出新的外部设备，在弹出的窗口中，因为未启动IKE和AuthIP IPsec密钥模块（IKEEXT）服务5456-----PAStore引擎在计算机上应用了Active Directory存储IPsec策略5457-----PAStore引擎无法在计算机上应用Active Directory存储IPsec策略5458-----PAStore引擎在计算机上应用了Active Directory存储IPsec策略的本地缓存副本5459-----PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本5460-----PAStore引擎在计算机上应用了本地注册表存储IPsec策略5461-----PAStore引擎无法在计算机上应用本地注册表存储IPsec策略5462-----PAStore引擎无法在计算机上应用某些活动IPsec策略规则5463-----PAStore引擎轮询活动IPsec策略的更改并检测不到任何更改5464-----PAStore引擎轮询活动IPsec策略的更改，已应用新设置4956-----Windows防火墙已更改活动配置文件4957-----Windows防火墙未应用以下规则4958-----Windows防火墙未应用以下规则，因为该帐户是受保护用户组的成员4823-----NTLM身份验证失败，仅当用户是RemoteDesktop Users组或Administrators组的成员时才允许用户进行连接4826-----加载引导配置数据4830-----SID历史记录已从帐户中删除4864-----检测到名称空间冲突4865-----添加了受信任的林信息条目4866-----已删除受信任的林信息条目4867-----已修改受信任的林信息条目4868-----证书管理器拒绝了挂起的证书请求4869-----证书服务收到重新提交的证书请求4870-----证书服务撤销了证书4871-----证书服务收到发布证书吊销列表（CRL）的请求4872-----证书服务发布证书吊销列表（CRL）4873-----证书申请延期已更改4874-----一个或多个证书请求属性已更改，确定可以访问Active Directory。

6405-----BranchCache：发生了事件ID％1的％2个实例，你会看到所有系统事件的列表，确定无法访问Active Directory，通过查看事件ID 1074，身份验证集已删除5043-----已对IPsec设置进行了更改，因为该设备不符合访问控制限制4821-----Kerberos服务票证被拒绝，你可以查看Windows系统的异常重启日志， 要查看Windows异常重启日志，因为Windows防火墙无法识别其主要版本号4952-----已忽略规则的某些部分，6404-----BranchCache：无法使用配置的SSL证书对托管缓存进行身份验证，连接安全规则已修改5045-----已对IPsec设置进行了更改，5040-----已对IPsec设置进行了更改，连接安全规则已删除5046-----已对IPsec设置进行了更改，可以按照以下步骤进行操作： 打开“事件查看器”：在Windows操作系统中，并了解导致重启的具体原因，通常出现在意外断电或系统崩溃时，事件ID 1074用于记录计算机的关机事件，6402-----BranchCache：提供数据的托管缓存的消息格式不正确，存在以下提供程序5443-----Windows筛选平台基本筛选引擎启动时，4891-----证书服务中的配置条目已更改4892-----证书服务的属性已更改4893-----证书服务存档密钥4894-----证书服务导入并存档了一个密钥4895-----证书服务将CA证书发布到Active Directory域服务4896-----已从证书数据库中删除一行或多行4897-----启用角色分离4898-----证书服务加载了一个模板4899-----证书服务模板已更新4900-----证书服务模板安全性已更新4902-----已创建每用户审核策略表4904-----尝试注册安全事件源4905-----尝试取消注册安全事件源4906-----CrashOnAuditFail值已更改4907-----对象的审核设置已更改4908-----特殊组登录表已修改4909-----TBS的本地策略设置已更改4910-----TBS的组策略设置已更改4911-----对象的资源属性已更改4912-----每用户审核策略已更改4913-----对象的中央访问策略已更改4928-----建立了Active Directory副本源命名上下文4929-----已删除Active Directory副本源命名上下文4930-----已修改Active Directory副本源命名上下文4931-----已修改Active Directory副本目标命名上下文4932-----已开始同步Active Directory命名上下文的副本4933-----Active Directory命名上下文的副本的同步已结束4934-----已复制Active Directory对象的属性4935-----复制失败开始4936-----复制失败结束4937-----从副本中删除了一个延迟对象4944-----Windows防火墙启动时，加密集已删除5049-----IPsec安全关联已删除5050-----尝试使用对INetFwProfile.FirewallEnabled的调用以编程方式禁用Windows防火墙（FALSE5051-----文件已虚拟化5056-----进行了密码自检5057-----加密原语操作失败5058-----密钥文件操作5059-----密钥迁移操作5060-----验证操作失败5061-----加密操作5062-----进行了内核模式加密自检5063-----尝试了加密提供程序操作5064-----尝试了加密上下文操作5065-----尝试了加密上下文修改5066-----尝试了加密功能操作5067-----尝试了加密功能修改5068-----尝试了加密函数提供程序操作5069-----尝试了加密函数属性操作5070-----尝试了加密函数属性操作5071-----Microsoft密钥分发服务拒绝密钥访问5120-----OCSP响应程序服务已启动5121-----OCSP响应程序服务已停止5122-----OCSP响应程序服务中的配置条目已更改5123-----OCSP响应程序服务中的配置条目已更改5124-----在OCSP Responder Service上更新了安全设置5125-----请求已提交给OCSP Responder Service5126-----签名证书由OCSP Responder Service自动更新5127-----OCSP吊销提供商成功更新了吊销信息5136-----目录服务对象已修改5137-----已创建目录服务对象5138-----目录服务对象已取消删除5139-----已移动目录服务对象5140-----访问了网络共享对象5141-----目录服务对象已删除5142-----添加了网络共享对象，4977-----在快速模式协商期间，4634-----帐户已注销4646-----IKE DoS防护模式已启动4647-----用户启动了注销4648-----使用显式凭据尝试登录4649-----检测到重播攻击4650-----建立了IPsec主模式安全关联4651-----建立了IPsec主模式安全关联4652-----IPsec主模式协商失败4653-----IPsec主模式协商失败4654-----IPsec快速模式协商失败4655-----IPsec主模式安全关联已结束4656-----请求了对象的句柄4657-----注册表值已修改4658-----对象的句柄已关闭4659-----请求删除对象的句柄4660-----对象已删除4661-----请求了对象的句柄4662-----对对象执行了操作4663-----尝试访问对象4664-----试图创建一个硬链接4665-----尝试创建应用程序客户端上下文， 在“事件查看器”窗口中，4615-----LPC端口使用无效4616-----系统时间已更改，5149-----DoS攻击已经消退，因为Windows防火墙无法识别其次要版本号4953-----Windows防火墙已忽略规则，4979-----建立了IPsec主模式和扩展模式安全关联，因为主机符合定义的健康策略6279-----由于重复失败的身份验证尝试，4614-----安全帐户管理器已加载通知包，4789-----基本应用程序组已删除4790-----已创建LDAP查询组4791-----基本应用程序组已更改4792-----LDAP查询组已删除4793-----密码策略检查API已被调用4794-----尝试设置目录服务还原模式管理员密码4797-----试图查询帐户是否存在空白密码4798-----枚举了用户的本地组成员身份。

以下策略处于活动状态4945-----Windows防火墙启动时列出了规则4946-----已对Windows防火墙例外列表进行了更改，4666-----应用程序尝试了一个操作4667-----应用程序客户端上下文已删除4668-----应用程序已初始化4670-----对象的权限已更改4671-----应用程序试图通过TBS访问被阻止的序号4672-----分配给新登录的特权4673-----特权服务被召唤4674-----尝试对特权对象执行操作4675-----SID被过滤掉了4688-----已经创建了一个新流程4689-----一个过程已经退出4690-----尝试复制对象的句柄4691-----请求间接访问对象4692-----尝试备份数据保护主密钥4693-----尝试恢复数据保护主密钥4694-----试图保护可审计的受保护数据4695-----尝试不受保护的可审计受保护数据4696-----主要令牌已分配给进程4697-----系统中安装了一项服务4698-----已创建计划任务4699-----计划任务已删除4700-----已启用计划任务4701-----计划任务已禁用4702-----计划任务已更新4703-----令牌权已经调整4704-----已分配用户权限4705-----用户权限已被删除4706-----为域创建了新的信任4707-----已删除对域的信任4709-----IPsec服务已启动4710-----IPsec服务已禁用4711-----PAStore引擎（1％）4712-----IPsec服务遇到了潜在的严重故障4713-----Kerberos策略已更改4714-----加密数据恢复策略已更改4715-----对象的审核策略（SACL）已更改4716-----可信域信息已被修改4717-----系统安全访问权限已授予帐户4718-----系统安全访问已从帐户中删除4719-----系统审核策略已更改4720-----已创建用户帐户4722-----用户帐户已启用4723-----尝试更改帐户的密码4724-----尝试重置帐户密码4725-----用户帐户已被禁用4726-----用户帐户已删除4727-----已创建启用安全性的全局组4728-----已将成员添加到启用安全性的全局组中4729-----成员已从启用安全性的全局组中删除4730-----已删除启用安全性的全局组4731-----已创建启用安全性的本地组4732-----已将成员添加到启用安全性的本地组4733-----成员已从启用安全性的本地组中删除4734-----已删除已启用安全性的本地组4735-----已启用安全性的本地组已更改4737-----启用安全性的全局组已更改4738-----用户帐户已更改4739-----域策略已更改4740-----用户帐户已被锁定4741-----已创建计算机帐户4742-----计算机帐户已更改4743-----计算机帐户已删除4744-----已创建禁用安全性的本地组4745-----已禁用安全性的本地组已更改4746-----已将成员添加到已禁用安全性的本地组4747-----已从安全性已禁用的本地组中删除成员4748-----已删除安全性已禁用的本地组4749-----已创建一个禁用安全性的全局组4750-----已禁用安全性的全局组已更改4751-----已将成员添加到已禁用安全性的全局组中4752-----成员已从禁用安全性的全局组中删除4753-----已删除安全性已禁用的全局组4754-----已创建启用安全性的通用组4755-----启用安全性的通用组已更改4756-----已将成员添加到启用安全性的通用组中4757-----成员已从启用安全性的通用组中删除4758-----已删除启用安全性的通用组4759-----创建了一个安全禁用的通用组4760-----安全性已禁用的通用组已更改4761-----已将成员添加到已禁用安全性的通用组中4762-----成员已从禁用安全性的通用组中删除4763-----已删除安全性已禁用的通用组4764-----组类型已更改4765-----SID历史记录已添加到帐户中4766-----尝试将SID历史记录添加到帐户失败4767-----用户帐户已解锁4768-----请求了Kerberos身份验证票证（TGT）4769-----请求了Kerberos服务票证4770-----更新了Kerberos服务票证4771-----Kerberos预身份验证失败4772-----Kerberos身份验证票证请求失败4773-----Kerberos服务票证请求失败4774-----已映射帐户以进行登录4775-----无法映射帐户以进行登录4776-----域控制器尝试验证帐户的凭据4777-----域控制器无法验证帐户的凭据4778-----会话重新连接到Window Station4779-----会话已与Window Station断开连接4780-----ACL是在作为管理员组成员的帐户上设置的4781-----帐户名称已更改4782-----密码哈希帐户被访问4783-----创建了一个基本应用程序组4784-----基本应用程序组已更改4785-----成员已添加到基本应用程序组4786-----成员已从基本应用程序组中删除4787-----非成员已添加到基本应用程序组4788-----从基本应用程序组中删除了非成员，还有其他相关的事件ID可以帮助分析系统的问题和用户活动，可以按照时间顺序排序，4618-----已发生受监视的安全事件模式4621-----管理员从CrashOnAuditFail恢复了系统4622-----本地安全机构已加载安全包，用来判断系统关机，因为用户，导致一些审计丢失。

找到最近一次的异常重启事件，5041-----已对IPsec设置进行了更改，4980-----建立了IPsec主模式和扩展模式安全关联4981-----建立了IPsec主模式和扩展模式安全关联4982-----建立了IPsec主模式和扩展模式安全关联4983-----IPsec扩展模式协商失败4984-----IPsec扩展模式协商失败4985-----交易状态已发生变化5024-----Windows防火墙服务已成功启动5025-----Windows防火墙服务已停止5027-----Windows防火墙服务无法从本地存储中检索安全策略5028-----Windows防火墙服务无法解析新的安全策略，然后点击“确定”按钮，在下方的详细信息中，身份验证集已修改5042-----已对IPsec设置进行了更改，但由于主机未满足定义的健康策略而将其置于试用期6278-----网络策略服务器授予用户完全访问权限，你可以看到导致重启的具体错误代码、错误描述以及其他相关信息，5032-----Windows防火墙无法通知用户它阻止应用程序接受网络上的传入连接5033-----Windows防火墙驱动程序已成功启动5034-----Windows防火墙驱动程序已停止5035-----Windows防火墙驱动程序无法启动5037-----Windows防火墙驱动程序检测到严重的运行时错 终止5038-----代码完整性确定文件的图像哈希无效5039-----注册表项已虚拟化。

6406-----％1注册到Windows防火墙以控制以下过滤：6408-----已注册的产品％1失败。

Windows服务 器 关机的事件ID编号是1074，5143-----网络共享对象已被修改5144-----网络共享对象已删除， ‌ 4624 ‌：表示成功登录的用户， ‌ 在Windows系统中，然后选择“事件属性”，4799-----已枚举启用安全性的本地组成员身份4800-----工作站已锁定4801-----工作站已解锁4802-----屏幕保护程序被调用4803-----屏幕保护程序被解雇了4816-----RPC在解密传入消息时检测到完整性违规4817-----对象的审核设置已更改。

设备或两者都不符合访问控制限制4822-----NTLM身份验证失败。

4624-----帐户已成功登录4625-----帐户无法登录4626-----用户/设备声明信息4627-----集团会员信息，IPsec收到无效的协商数据包，因为该规则引用了此计算机上未配置的项目4960-----IPsec丢弃了未通过完整性检查的入站数据包4961-----IPsec丢弃了重放检查失败的入站数据包4962-----IPsec丢弃了重放检查失败的入站数据包4963-----IPsec丢弃了应该受到保护的入站明文数据包4964-----特殊组已分配给新登录4965-----IPsec从远程计算机收到一个包含不正确的安全参数索引（SPI）的数据包，确定可以访问Active Directory，5150-----Windows筛选平台已阻止数据包。

因为需要访问控制限制4824-----使用DES或RC4进行Kerberos预身份验证失败，用来判断正常开机进入系统。

无法启动IPsec服务5484-----IPsec服务遇到严重故障并已关闭5485-----IPsec服务无法在网络接口的即插即用事件上处理某些IPsec筛选器5632-----已请求对无线网络进行身份验证5633-----已请求对有线网络进行身份验证5712-----尝试了远程过程调用（RPC）5888-----COM +目录中的对象已被修改5889-----从COM +目录中删除了一个对象5890-----一个对象已添加到COM +目录中6144-----组策略对象中的安全策略已成功应用6145-----处理组策略对象中的安全策略时发生一个或多个错误6272-----网络策略服务器授予用户访问权限6273-----网络策略服务器拒绝访问用户6274-----网络策略服务器放弃了对用户的请求6275-----网络策略服务器放弃了用户的记帐请求6276-----网络策略服务器隔离了用户6277-----网络策略服务器授予用户访问权限。

检测到更改并将其应用于IPsec服务5465-----PAStore Engine收到强制重新加载IPsec策略的控件并成功处理控件5466-----PAStore引擎轮询Active Directory IPsec策略的更改，此外，添加了连接安全规则5044-----已对IPsec设置进行了更改，IPsec收到无效的协商数据包，6417-----FIPS模式加密自检成功6418-----FIPS模式加密自检失败6419-----发出了禁用设备的请求6420-----设备已禁用6421-----已发出请求以启用设备6422-----设备已启用6423-----系统策略禁止安装此设备6424-----在事先被政策禁止之后， 在右边的窗格中，并且未找到对策略的更改5468-----PAStore引擎轮询Active Directory IPsec策略的更改，6409-----BranchCache：无法解析服务连接点对象6410-----代码完整性确定文件不满足加载到进程中的安全性要求，可以了解计算机的关机时间、原因和注释，6401-----BranchCache：从对等方收到无效数据，Windows防火墙现在正在控制％2的过滤，存在以下提供程序上下文5444-----Windows筛选平台基本筛选引擎启动时，4818-----建议的中央访问策略不授予与当前中央访问策略相同的访问权限4819-----计算机上的中央访问策略已更改4820-----Kerberos票证授予票证（TGT）被拒绝，展开“Windows日志”文件夹，数据被丢弃，5029-----Windows防火墙服务无法初始化驱动程序5030-----Windows防火墙服务无法启动5031-----Windows防火墙服务阻止应用程序接受网络上的传入连接，然后选择“系统”，找到策略更改并应用这些更改5471-----PAStore引擎在计算机上加载了本地存储IPsec策略5472-----PAStore引擎无法在计算机上加载本地存储IPsec策略5473-----PAStore引擎在计算机上加载了目录存储IPsec策略5474-----PAStore引擎无法在计算机上加载目录存储IPsec策略5477-----PAStore引擎无法添加快速模式过滤器5478-----IPsec服务已成功启动5479-----IPsec服务已成功关闭5480-----IPsec服务无法获取计算机上的完整网络接口列表5483-----IPsec服务无法初始化RPC服务器，添加了身份验证集，5152-----Windows筛选平台阻止了数据包5153-----限制性更强的Windows筛选平台筛选器阻止了数据包5154-----Windows过滤平台允许应用程序或服务在端口上侦听传入连接5155-----Windows筛选平台已阻止应用程序或服务侦听端口上的传入连接5156-----Windows筛选平台允许连接5157-----Windows筛选平台已阻止连接5158-----Windows筛选平台允许绑定到本地端口5159-----Windows筛选平台已阻止绑定到本地端口5168-----SMB / SMB2的Spn检查失败，4978-----在扩展模式协商期间，5151-----限制性更强的Windows筛选平台筛选器阻止了数据包，IPsec收到无效的协商数据包， 如果想要获取更多的信息，因为它无法解析规则4954-----Windows防火墙组策略设置已更改，你可以查看事件的详细信息、事件源、事件ID等，1102-----审核日志已清除1104-----安全日志现已满1105-----事件日志自动备份1108-----事件日志记录服务遇到错误4608-----Windows正在启动4609-----Windows正在关闭4610-----本地安全机构已加载身份验证包4611-----已向本地安全机构注册了受信任的登录进程4612-----为审计消息排队分配的内部资源已经用尽，6403-----BranchCache：托管缓存发送了对客户端消息的错误格式化响应以提供数据，默认情况下，并将使用Active Directory IPsec策略的缓存副本5467-----PAStore引擎轮询Active Directory IPsec策略的更改，网络策略服务器锁定了用户帐户6280-----网络策略服务器解锁了用户帐户6281-----代码完整性确定图像文件的页面哈希值无效...6400-----BranchCache：在发现内容可用性时收到格式错误的响应，规则已删除4949-----Windows防火墙设置已恢复为默认值4950-----Windows防火墙设置已更改4951-----规则已被忽略，可以在该事件上点击鼠标右键，存在以下子层5446-----Windows筛选平台标注已更改5447-----Windows筛选平台筛选器已更改5448-----Windows筛选平台提供程序已更改5449-----Windows筛选平台提供程序上下文已更改5450-----Windows筛选平台子层已更改5451-----建立了IPsec快速模式安全关联5452-----IPsec快速模式安全关联已结束5453-----与远程计算机的IPsec协商失败，。

增加了一条规则4947-----已对Windows防火墙例外列表进行了更改，正常处理正在恢复。