هل تركت حاسوبك ثم عدت لتجد نافذة مفتوحة أو نشاطًا لا تتذكر أنك قمت به؟ إذا كنت تستخدم Windows 11، فيمكنك مراجعة بعض آثار تسجيل الدخول دون تثبيت برنامج خارجي، باستخدام أداة Event Viewer المدمجة في النظام. لكن تسجيل جلسة دخول لا يعني تلقائيًا أن شخصًا آخر استخدم الجهاز.
ماذا تكشف سجلات Windows، وما حدودها؟
قد تتضمن سجلات الأمان أوقات إنشاء جلسات الدخول، ومحاولات المصادقة الفاشلة، وأحداث قفل الشاشة وفتحها. ويمكن الاستفادة منها لمعرفة اسم الحساب المرتبط بحدث معين وما إذا كان نوع الجلسة محليًا أو شبكيًا أو عن بُعد.
في المقابل، لا تثبت هذه الأحداث الهوية الفعلية للشخص الموجود أمام الشاشة، ولا تعرض كل ما فعله على الجهاز. كما أن غياب حدث معين لا يثبت عدم وقوع نشاط؛ فالأحداث المتاحة تعتمد على إعدادات التدقيق ومدة الاحتفاظ بالسجل.
كيفية معرفة آخر تسجيل دخول على Windows 11
ابدأ بالطريقة المدمجة في Windows، ولا تحتاج إلى تنزيل أي برنامج.
- اضغط Win + R لفتح نافذة Run.
- اكتب
eventvwr.mscثم اضغط Enter. - من القائمة الجانبية افتح Windows Logs ثم اختر Security.
- من لوحة Actions اختر Filter Current Log.
- في خانة Event IDs اكتب
4624ثم اضغط OK. - افتح أحد الأحداث وراجع الوقت وقسم New Logon والحقل Logon Type.
إذا كنت تبحث عن حدث وقع أثناء غيابك، قارن وقت التسجيل بالفترة المعنية، ثم اقرأ نوع الدخول. من الطبيعي أن تظهر أحداث عديدة لا تعني أن مستخدمًا فتح شاشة الكمبيوتر.
أهم Event IDs لفحص سجل الدخول
هذه الرموز هي نقطة البداية المناسبة للمستخدم العادي:
| Event ID | معنى الحدث |
|---|---|
4624 | إنشاء جلسة تسجيل دخول ناجحة. |
4625 | محاولة تسجيل دخول فاشلة. |
4800 | قفل محطة العمل، إذا كان التدقيق المناسب مفعلًا. |
4801 | فتح قفل محطة العمل، إذا كان التدقيق المناسب مفعلًا. |
للبحث عن عدة رموز معًا، يمكنك كتابة 4624,4625,4800,4801 في خانة Event IDs. لكن لا تتوقع ظهور جميعها على كل جهاز؛ فتسجيل بعض الأحداث يعتمد على سياسة التدقيق.
كيف تفهم Logon Type وتتجنب النتائج المضللة؟
داخل الحدث 4624 ابحث عن Logon Type. هذا الحقل يصف نوع الجلسة، وهو أساسي للتمييز بين استخدام الجهاز وتشغيل خدمة أو اتصال شبكي.
| النوع | ماذا يعني؟ |
|---|---|
2 | Interactive: تسجيل دخول تفاعلي على هذا الكمبيوتر. |
3 | Network: تسجيل دخول عبر الشبكة، ولا يعني وحده التحكم في الشاشة. |
5 | Service: جلسة مرتبطة بخدمة بدأ تشغيلها. |
7 | Unlock: فتح قفل محطة العمل. |
10 | RemoteInteractive: دخول تفاعلي عن بُعد، مثل Remote Desktop. |
11 | CachedInteractive: دخول باستخدام بيانات اعتماد مخزنة محليًا. |
إذا وجدت Logon Type 5 أثناء نومك، فقد يكون السبب خدمة تعمل في الخلفية. أما Logon Type 10 مع حساب وتوقيت غير متوقعين فيستدعي تحقيقًا إضافيًا، لكنه لا يثبت الاختراق بمفرده. كذلك فإن Logon Type 3 قد يرتبط بالوصول إلى مورد شبكي دون فتح سطح المكتب.
كيف تعرف الحساب الذي سُجل دخوله؟
افتح الحدث من تبويب General أو Details وراجع الحقول الآتية:
Date and Time- وقت تسجيل الحدث. قارنه بالفترة التي كنت غائبًا فيها.
New Logon > Account Name- اسم الحساب الذي أُنشئت له الجلسة الجديدة.
Account Domain- الجهاز أو النطاق الذي ينتمي إليه الحساب.
Logon Type- نوع الجلسة: تفاعلية، شبكية، خدمة، أو عن بُعد.
Source Network Address- عنوان مصدر الاتصال عندما تسمح آلية المصادقة بتوفيره؛ وقد يظهر فارغًا أو على هيئة
-بصورة طبيعية. Logon ID- معرّف يفيد في الربط بين الأحداث المرتبطة بجلسة واحدة عند التحقيق المتقدم.
كيفية اكتشاف محاولات تسجيل الدخول الفاشلة
ارجع إلى Filter Current Log واكتب 4625 ثم افتح الأحداث التي تهمك. افحص الوقت واسم الحساب ونوع الدخول وسبب الفشل ومعلومات المصدر إن توفرت.
قد تنتج محاولات الفشل عن كلمة مرور أُدخلت خطأً، أو خدمة تستعمل بيانات اعتماد قديمة، أو محاولات غير مصرح بها. كما لا يمكن افتراض أن كل محاولة باستخدام PIN أو Windows Hello ستظهر بالشكل نفسه؛ يختلف الأمر بحسب طريقة المصادقة وإعدادات النظام.
كيف تعرف وقت قفل الشاشة وفتحها؟
قد تجد 4800 عند قفل الجهاز و4801 عند فتح قفله. يرتبط تسجيلهما بإعداد Audit Other Logon/Logoff Events، الذي قد لا يكون مفعلًا؛ لذلك عدم وجودهما ليس دليلًا على حذف السجلات أو حدوث اختراق.
إذا كان هدفك معرفة ما حدث عند مغادرتك المكتب، فقارن الوقت مع 4624 و4625 ومع أي أحداث قفل وفتح متاحة بدل الاعتماد على رمز واحد.
فحص سجل الدخول باستخدام PowerShell
لمراجعة ما يصل إلى 50 حدثًا من أحداث الدخول الناجح والفاشل خلال آخر سبعة أيام، افتح Windows PowerShell بصلاحيات Administrator وشغّل:
Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = 4624, 4625
StartTime = (Get-Date).AddDays(-7)
} -MaxEvents 50 |
Select-Object TimeCreated, Id, Message |
Format-Listالأمر للقراءة فقط؛ لا يحذف السجلات ولا يغير إعدادات النظام. قد يكون الناتج طويلًا لأن Message يتضمن تفاصيل كل حدث. وإذا ظهر Access is denied، فتحقق من الصلاحيات. أما عدم وجود نتائج فيعني أنه لم تُسترجع أحداث مطابقة ضمن النطاق المطلوب، وليس بالضرورة أن الجهاز آمن أو مخترق.
أمثلة توضيحية: حدث تسجيل دخول في الساعة الثانية صباحًا
افترض أنك لم تستخدم الكمبيوتر بعد منتصف الليل، ومع ذلك وجدت حدثًا الساعة الثانية صباحًا:
- 4624 مع النوع 5: قد يكون تشغيل خدمة. راجع الحساب والسياق، ولا تنسبه مباشرة إلى شخص.
- 4624 مع النوع 2: توجد جلسة تفاعلية. راجع الحساب، ومن يملك حق استخدام الجهاز، والأحداث المحيطة بالتوقيت.
- 4624 مع النوع 10: توجد جلسة تفاعلية عن بُعد. إذا لم تكن تتوقعها، افحص الحساب والمصدر وإعدادات Remote Desktop والأدلة الأخرى.
تجربة آمنة يمكنك تنفيذها بنفسك
أفضل طريقة لفهم النتائج هي مقارنة السجل بعمل تعرف أنك نفذته. جرّب التالي على جهازك الشخصي:
- افتح Event Viewer > Windows Logs > Security وسجّل الوقت.
- احفظ عملك واضغط Win + L لقفل الشاشة.
- افتح القفل بالطريقة المعتادة على جهازك.
- ارجع إلى السجل واضغط Refresh وابحث عن أحداث قريبة من وقت التجربة.
- دوّن Event ID وLogon Type إن وُجدا، وقارن النتائج بالفعل الذي قمت به.
قد تختلف الأحداث بحسب نوع الحساب وطريقة المصادقة وسياسة التدقيق؛ لذلك لا تحتاج إلى تغيير إعدادات الأمان لمجرد إنجاز التمرين.
ماذا تفعل إذا وجدت نشاطًا مشبوهًا؟
إذا لاحظت حسابًا غير معروف، أو جلسة دخول عن بُعد لا تتوقعها، أو أحداثًا متكررة يصعب تفسيرها، فلا تعتمد على سجل واحد للحكم على الاختراق. اتبع هذه الخطوات:
- وثّق المعلومات: احتفظ بوقت الحدث ورقمه والحساب ونوع الجلسة، وصدّر السجلات إذا احتجت إلى تحقيق.
- راجع الحسابات: تحقق من المستخدمين المصرح لهم بالوصول إلى الجهاز.
- افحص أدوات الوصول عن بُعد: راجع Remote Desktop والبرامج المخصصة للتحكم عن بُعد عند الحاجة.
- حدّث وافحص: استخدم Microsoft Defender للفحص وتأكد من تحديث النظام والبرامج.
- أمّن الحسابات: عند وجود مؤشرات قوية على اختراق، استخدم جهازًا موثوقًا لتغيير كلمات المرور المتأثرة وفعّل المصادقة متعددة العوامل.
إذا كان الجهاز تابعًا لمؤسسة، تواصل مع فريق الدعم أو الأمن قبل حذف الأدلة أو إجراء تغييرات كبيرة.
أخطاء شائعة عند قراءة سجل الدخول
- اعتبار كل حدث
4624دليلًا على استخدام شخص للجهاز. - تجاهل
Logon Typeوالتركيز على الوقت فقط. - الخلط بين حساب Subject وحساب New Logon.
- تفسير غياب عنوان المصدر على أنه نشاط مشبوه.
- افتراض أن عدم ظهور
4801يعني أن السجل مُسح عمدًا. - الاعتقاد بأن سجلات تسجيل الدخول تكشف وحدها جميع أشكال التجسس.
أسئلة شائعة
كيف أعرف آخر من فتح الكمبيوتر في غيابي؟
ابدأ بالبحث عن 4624، ثم افحص الوقت والحساب وLogon Type. قد يساعد 4801 في تتبع فتح قفل الشاشة إذا كان تسجيله مفعّلًا، لكن هذه الأحداث لا تثبت الهوية الحقيقية للشخص.
هل ظهور Event ID 4624 أثناء نومي يعني أن الكمبيوتر مخترق؟
لا. قد ينشئ النظام الحدث عند تشغيل خدمة أو إنشاء جلسة أخرى مشروعة. لا تتخذ قرارًا قبل قراءة نوع الدخول والحساب.
لماذا لا أجد أحداث 4800 أو 4801؟
قد لا تكون سياسة التدقيق الخاصة بقفل الشاشة وفتحها مفعّلة، أو قد لا تكون السجلات القديمة محتفظًا بها.
هل تعمل Event Viewer على Windows 11 Home؟
نعم. تتوفر أداة Event Viewer على Windows 11 Home، لكن إدارة بعض سياسات الأمان المتقدمة تختلف حسب إصدار النظام.
هل يعرض PowerShell كلمة المرور التي استُخدمت للدخول؟
لا. الأمر الموجود هنا يعرض معلومات الأحداث المسجلة، وليس كلمات مرور الحسابات.
الخلاصة
إذا أردت معرفة ما إذا كانت جلسات دخول غير مألوفة قد حدثت على Windows 11، فابدأ بأداة Event Viewer وسجل Security. افحص 4624 و4625، ثم اقرأ Logon Type والحساب والوقت والأحداث المرتبطة بها. السجل قرينة تحتاج إلى تفسير وسياق، وليس دليلًا قاطعًا على حدوث اختراق.
ولفهم دور نظام التشغيل وحسابات المستخدمين والشبكات قبل الانتقال إلى التحليل الأمني المتقدم، راجع دليل أساسيات الكمبيوتر والإنترنت للمبتدئين.