Event ID 4801: рабочая станция разблокирована в Windows Server и Windows 10/11
Что означает Event ID 4801?
Событие Event ID 4801 генерируется в журнале безопасности в момент, когда заблокированный ранее компьютер успешно разблокирован пользователем путем ввода пароля, PIN-кода, смарт-карты или биометрии Windows Hello.
Как вычислить общее время блокировки компьютера
Сопоставив время между предшествующим событием 4800 и текущим событием 4801, можно точно рассчитать время отсутствия пользователя на рабочем месте.
# Скрипт PowerShell для анализа событий разблокировки за сегодня:
Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = @(4800, 4801)
StartTime = (Get-Date).Date
} | Select-Object TimeCreated, Id, @{N='User';E={$_.Properties[1].Value}} | Format-Table -AutoSizeОбратите внимание: Если перед событием 4801 в журнале зафиксированы события с кодом Event ID 4625 (неудачный вход), это означает, что кто-то пытался подобрать пароль к заблокированному компьютеру во время отсутствия владельца!
Частые вопросы (FAQ)
Что означает появление события 4801 в нерабочее ночное время?
Это признак того, что кто-то физически подошел к компьютеру и успешно ввел пароль, либо выполнил удаленное подключение к активной консоли.
Фиксируется ли разблокировка по смарт-карте кодом 4801?
Да, метод аутентификации не меняет код события — любая успешная разблокировка фиксируется как 4801.
Какой ID фиксирует неудачную попытку ввода пароля при разблокировке?
Неудачный ввод пароля на заблокированном экране регистрируется стандартным событием 4625 (Logon Failure).
Где настроить ведение этих журналов?
В групповой политике: Security Settings -> Advanced Audit Policy Configuration -> System Audit Policies -> Logon/Logoff -> Audit Other Logon/Logoff Events.
