4625는 계정 로그온 실패, 4624는 로그온 성공 이벤트입니다. 두 이벤트를 비교할 때는 계정명뿐 아니라 대상 호스트, 로그온 유형, 상태·하위 상태, 원본 주소, 시간과 공통 인증 맥락을 함께 봅니다. 성공 이벤트의 TargetLogonId는 성공 뒤 만들어진 세션을 추적하는 값이며 앞선 실패 이벤트와의 공통 연결 키는 아닙니다.
실패 이벤트 뒤에 같은 계정의 성공 이벤트가 나타나도 둘이 같은 원격 행위라고 자동으로 결론 내릴 수 없습니다. 이벤트 필드와 기록 버전은 Windows 버전·정책에 따라 달라질 수 있습니다.
이벤트 번호는 결과를 가리키지만 행위 전체는 아닙니다
Microsoft의 4624(S) 설명은 계정 로그온 성공을, 4625(F) 설명은 로그온 실패를 다룹니다. 4624는 대상 컴퓨터에서 로그온 세션이 만들어졌음을 기록합니다. 실패 이벤트의 Status와 SubStatus는 실패 원인을 좁히는 데 도움이 되지만, 그 값 하나가 공격 여부나 사용자의 의도를 알려 주지는 않습니다. 아래 필드 설명은 Microsoft의 Windows 10 이전 버전 감사 문서에 기초한 것으로, 모든 Windows 빌드의 이벤트 스키마가 같다고 가정하지 않습니다.
Logon Type은 어떤 종류의 로그온인지 구분하는 필드입니다. 예를 들어 Microsoft 문서에서 3은 네트워크 로그온, 5는 서비스 로그온을 뜻합니다. 그러므로 같은 계정에서 Type 3 실패가 난 뒤 Type 5 성공이 있었다고 해서 같은 네트워크 인증 시도가 성공으로 바뀐 것은 아닙니다. 대상 호스트와 기록 필드가 다르면 서로 다른 경로를 비교하고 있을 수 있습니다.
실패 한 건과 성공 두 건을 직접 분류합니다
| 이벤트 | 주요 필드 | 판독 |
|---|---|---|
| 4625 실패 | host=FS-01, 계정=svc-report, Type=3, 주소=192.0.2.40, Status=0xC000006D | 네트워크 로그온 실패 기록. 이 상태는 잘못된 사용자 이름 또는 인증 정보를 나타낼 수 있음 |
| 4624 성공 | host=APP-02, 계정=svc-report, Type=5, 주소 없음, Logon ID=0x31A | 다른 호스트의 서비스 로그온 성공. 앞선 원격 실패와 직접 연결할 근거가 아님 |
| 4624 성공 | host=FS-01, 계정=svc-report, Type=3, 주소=192.0.2.40, Logon ID=0x410 | 계정·호스트·유형·주소가 맞아 후보 관계가 강해짐. 시간·정책·후속 세션도 확인 |
첫 번째 실패의 0xC000006D는 일반적으로 잘못된 사용자 이름 또는 인증 정보를 뜻합니다. 하위 상태가 함께 기록되면 세부 원인 분류에 보탬이 될 수 있으나, 해당 코드가 어느 제품 버전·감사 설정에서 나온 것인지 원본 이벤트의 XML과 문서를 맞춰 확인합니다. 세 번째 행은 같은 대상 호스트와 유형, 주소가 맞아도 단지 상관 후보일 뿐입니다. 시간 창, 계정 사용 방식, 방화벽·VPN·서비스 기록을 추가로 맞춰야 합니다.
이벤트를 비교하는 순서
- 이벤트가 생성된 컴퓨터 이름과 수집 시각, 원본 이벤트 시각을 구분하고 시간대를 통일합니다.
- 4625의 계정, Logon Type, Status·SubStatus, 작업 스테이션과 원본 주소가 실제 XML에 있는지 확인합니다.
- 성공 이벤트 4624에서 TargetUserName, Logon Type, TargetLogonId, 대상 호스트, 원본 네트워크 정보가 채워졌는지 봅니다.
- 같은 계정의 이벤트라도 Logon Type이나 대상 호스트가 다르면 별개의 인증 경로로 분류합니다.
- 공통 주소·시간·서비스 요청 ID 같은 연결값을 추가 로그와 대조하고, 없으면 실패와 성공의 직접 관계를 미확정으로 둡니다.
- 추가 조사가 필요한 경우 원본 XML과 해당 Windows 버전의 공식 이벤트 설명을 함께 보존합니다.
성공 이벤트가 실패를 지우지는 않습니다
같은 계정으로 성공한 기록이 나중에 보여도 앞선 실패가 해소되었다고 삭제하거나 무시하지 않습니다. 공격자가 반복해서 실패한 뒤 다른 방식으로 성공했을 수도 있고, 정상 서비스가 별도 인증을 했을 수도 있습니다. 반대로 실패 횟수만으로 계정 공격을 단정할 수도 없습니다. 실패와 성공은 각각의 이벤트로 남겨 두고, 동일 행위인지 검증한 근거와 미확인 필드를 분리해 기록합니다.
복습: 같은 계정이면 한 흐름인가요?
문제: 서버 A에서 계정 svc-report의 4625 Type 3이 기록됐고, 2분 뒤 서버 B에서 같은 계정의 4624 Type 5가 보입니다. 이 둘을 하나의 실패 후 성공으로 묶어도 될까요?
정답: 아직 묶을 수 없습니다. 대상 호스트와 로그온 유형이 다릅니다. 네트워크·서비스 로그와 원본 주소, 시간, 세션 식별자를 더 확인하고 직접 연결 근거가 없으면 별도 사건으로 남깁니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 이벤트에서 같은 호스트·계정·원본 주소의 4625 Type 3 뒤 4624 Type 3이 기록됐습니다. 공통 인증 맥락을 더 비교할 필드 두 가지와 성공 이벤트의 TargetLogonId가 알려 주는 범위를 쓰세요.
정답과 해설 확인
시간 창과 LogonProcessName·AuthenticationPackageName 등 공통 인증 맥락을 추가 대조합니다. 4624 TargetLogonId는 성공 후 세션 활동을 추적하는 값이며, 이 값만으로 앞선 4625와 동일 시도임을 증명하지 않습니다.4625의 SubjectLogonId와 4624의 새 성공 세션 TargetLogonId를 같은 연결 키로 취급하지 않습니다. 공통 인증 필드·시간·호스트와 추가 요청 기록을 대조해도, 같은 사용자의 의도나 정상 여부까지 자동으로 증명되지는 않습니다.