Windows บันทึกข้อมูลการเข้าสู่ระบบของผู้ใช้ทุกครั้ง สามารถตรวจสอบได้ผ่าน Event Viewer บทความนี้แนะนำขั้นตอนการดูประวัติ Login แบบละเอียด
ขั้นตอนตรวจสอบ User Login History
- เปิด Event Viewer
- ไปที่ Login History (Security Log)
- ค้นหา User Login (Event ID 4624)
- ดูรายละเอียด
1. เปิด Event Viewer
- ค้นหา "Event Viewer" จาก Start Menu
- หรือ Win + R > พิมพ์
eventvwr.msc> Enter
2. ไปที่ Login History
ใน Event Viewer: ขยาย Windows Logs > คลิก Security
3. ค้นหา User Login
มองหา Event ID 4624 (Logon Success) ในรายการ จะแสดงเวลา, ชื่อผู้ใช้, ประเภท Logon (Local/Remote/RDP), IP Address (ถ้าเป็น Remote)
4. ดูรายละเอียด
คลิกขวาที่ Event ID 4624 ที่ต้องการ > Event Properties > แท็บ Details จะเห็นข้อมูลครบ: User SID, Logon Type, Authentication Package, Workstation Name, v.v.
กรองข้อมูล (Filter) ให้เห็นเฉพาะ Event ID 4624
- ใน Event Viewer > คลิกขวา Custom Views > Create Custom View
- By Log: เลือก Security
- Event IDs: พิมพ์ 4624 (แทน <All Event IDs>)
- OK > ตั้งชื่อ View (เช่น "User Logins") > OK
ตอนนี้จะเห็นเฉพาะรายการ Login สำเร็จ
เปิดใช้งาน Logon Auditing Policy (กรณีไม่เห็น Event 4624)
บางครั้ง Policy ปิดอยู่ (โดยเฉพาะ Windows Pro) ต้องเปิดเอง:
- เปิด Group Policy Editor (Win + R >
gpedit.msc) - ไปที่:
Computer Configuration > Windows Settings > Security Settings > Local Policies > Audit Policy - ดับเบิลคลิก Audit logon events
- ติ๊ก Success และ Failure > OK
- Restart คอมพิวเตอร์
บทความเกี่ยวข้อง
- How to clear the Event Log in Windows
- Use Event Viewer to check unauthorized use of a computer
