Como posso saber se alguém fez login na minha conta no Windows 7?

Question

No Windows 7, existe uma maneira de saber se alguém fez login na minha conta quando eu estava ausente?

Especificamente, é possível saber se uma pessoa com privilégios de administrador de alguma forma entrou em minha conta (ou seja, para entrar no meu e-mail, etc.)?

    

Answer 1

Método Recomendado EDITED (Por favor, revele Susan Cannon abaixo):

1. Pressione o botão Windows + R e digite eventvwr.msc .

2. No visualizador de eventos, expanda Registros do Windows e selecione Sistema.

3. No meio, você verá uma lista com Data e hora, Origem, ID do evento e Categoria da tarefa. A categoria da tarefa praticamente explica o evento, o logon, o logon especial, o logoff e outros detalhes.

Os eventos serão chamados de Winlogon , com o ID de evento 7001 .

Os detalhes do evento conterão o UserSid de log da conta, que você pode combinar com uma lista obtida a partir do prompt de comando usando:

wmic useraccount 

Espero que isso ajude!

Para ver uma lista, execute o "PowerShell" e cole o seguinte script em sua janela:

Get-EventLog system -Source Microsoft-Windows-Winlogon '
    | ? { $_.InstanceId -eq 7001 } '
    | ? {
            $sid = $_.ReplacementStrings[1]
            $objSID = New-Object System.Security.Principal.SecurityIdentifier ($sid)
            $objUser = $objSID.Translate( [System.Security.Principal.NTAccount])
            $_ | Add-Member -Force -type NoteProperty -name User -value $objUser.Value
            return $true
        } '
    | ft -Property TimeGenerated,User

Você terá vários logins de sistema; eles são normais.

O que você estará procurando: ID do evento 7001 - Winlogon.

Na guia Detalhes, procure UserSid

Uma indicação de um login será assim: (win 8.1) Isso provavelmente será diferente no win 7

+ System
- EventData
   TSId        1
   User Sid    A-2-8-46-234435-6527-754372-3445

Em seguida, abra o prompt de comando clicando com o botão direito do mouse e selecionando-o.

Digite "wmic useraccount" e combine o SID com o nome de usuário anterior na lista longa que aparece.

C:\Users\Superuser>wmic useraccount
AccountType  Caption  Description Disabled  Domain  FullName InstallDate
LocalAccount  Lockout  Name PasswordChangeable  PasswordExpires 
PasswordRequired  SID   SIDType  Status
512  ComputerName\Administrator   Built-in account for administering the
computer/domain  TRUE  ComputerName TRUE   FALSE  Administrator   TRUE
FALSE  TRUE A-2-8-46-234435-6527-754372-3447   1  Degraded

512  ComputerName\Superuser TRUE  ComputerName TRUE   FALSE  Superuser   TRUE
FALSE  TRUE **A-2-8-46-234435-6527-754372-3445**   1  Degraded

Vemos na lista que Superusuário é a conta que corresponde ao SID.

    

Answer 2

A resposta do Pathfinder ao verificar o log de eventos permitirá que você saiba se alguém fez login no seu computador. No entanto, isso não informará se eles fizeram login em outro computador com sua conta. Você teria que verificar essa máquina ou um controlador de domínio para ver logins de outras máquinas.

Quanto aos e-mails, isso é outra história. Como administrador do Exchange, eu posso ler os emails de qualquer pessoa em nossa organização. Honestamente, não sei se esse acesso está registrado em algum lugar. Tenho certeza que seria, mas isso só estaria disponível para administradores do Exchange.

    

Answer 3

Se você estiver em uma rede corporativa, isso não funcionará. As corporações possuem todos os tipos de logins automáticos. Eu olhei para qualquer evento 4648 ou 4624, e os logons são registrados com sucesso mesmo quando as pessoas não estão no escritório (e não, ninguém está entrando para entrar nos PCs). Há milhares deles. Eu acabei de entrar no PC uma vez, e existem 10 fontes de atividades abaixo de 4624. Eu não entrei 10 vezes. Havia 12 logins ontem com menos de 4648, mas ninguém tocou no PC naquele dia. Então, essa não é uma lista precisa de logins de pessoas reais.

Se você quiser as informações de login REAL, vá para System em Logs do Windows e filtre o evento 7001 . Isso é bem sucedido WINLOGONS . Isso corresponde aos logins do usuário e exclui logins do sistema nos bastidores. Usando isso, eu encontrei a lista correta de logins reais de usuários ao vivo para o PC.

Mas, infelizmente, ainda não me diz quem fez o login. Nossa empresa não guarda esses registros, pois teria uma milha de comprimento todos os dias. Eu olho para UserID nos detalhes, e o UserID para me logar agora corresponde a todos os outros UserID sob cada login mostrado. E este não é meu PC, então alguns dos logins definitivamente não são meus. Então eu não sei sobre essa parte.

    

Answer 4

O Windows 7 Ultimate está conectado a um domínio, mas faz login localmente.

Acabei de passar pelo log de eventos de segurança e percebi que a única vez em que consegui encontrar logons "legítimos" foi para o ID 4648 . Isso funcionou para mim.