Windows audit failure, event 4625, much ado about nothing
อัปเดต: 27 มีนาคม 2026
สวัสดีครับ Internetians ชอบปัญหาแปลกๆ ไหม ผมชอบ Lo and behold ขณะใช้ Windows 10 host อยู่อย่างสนุกสนาน ผมสังเกต audit failure ใน Event Viewer เปิด utility นี้เพื่อเช็คอย่างอื่น แล้วมันอยู่ที่นั่น Event ID 4625 category Logon ระบบบอกว่ามี logon request failure ข้อความ: an account failed to log on What what
ถามอีกอย่าง: คุณรู้สึกยังไงถ้าค้นพบ failed logon attempt บนระบบของคุณ แต่เป็นอันที่คุณแน่ใจว่าไม่ได้ initiate เอง? หลีกไม่ได้แน่ๆ แต่เร็วๆ นี้ผมเข้าใจว่ามันคืออะไร และทำไมจึงไม่ต้องกังวล มาอธิบายกัน
ปัญหาในรายละเอียด
มาวิเคราะห์ audit failure text ให้ละเอียด:
An account failed to log on.
Subject:
Security ID: HOST\Dedoimedo
Account Name: Dedoimedo
Account Domain: HOST
Logon ID: 0x3F3B7
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name: Guest
Account Domain: HOST
Failure Information:
Failure Reason: Account currently disabled.
Status: 0xC000006E
Sub Status: 0xC0000072
Process Information:
Caller Process ID: 0x1854
Caller Process Name: C:\Windows\explorer.exe
Extra text:
This event is generated when a logon request fails. It is generated on the computer where access was attempted. The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe. The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network). The Process Information fields indicate which account and process on the system requested the logon ...
จาก audit failure นี้ ดูเหมือน Guest account พยายาม logon แต account disabled กิจกรรมเกิดจาก explorer.exe process ตัวมันดู sinister แต่จริงๆ ไม่มีอะไรเกิดขึ้นบนเครื่องที่ได้รับผลกระทบ ไม่ entirely correct ผมทำงานอยู่ และทำบางอย่าง อาจไม่ related to logon แล้วมันส่องสว่าง
Solution หรือแทนจะเป็น reason not to worry
เกิดขึ้นที่ผมทำอย่างหนึ่งพร้อมกับ event นี้ขึ้น ผม right-click folder ใน Windows Explorer เลือก Properties แล้วไป 5 tabs ที่แสดงไว้ ผมคิดว่า อาจเป็น trigger ระบุ audit failure ให้ narrow ไปที่การ access Sharing tab under Properties Windows พยายาม check ว่า folder path accessible จากระบบอื่น (over network) หรือไม่ และสำหรับนั้น มันพยายามใช้ Guest account หาก account นั้น disabled บนเครื่องคุณ (ซึ่งควรเป็น) คุณจะได้ error ซึ่งจะถูก log เป็น failed audit เพื่อ verify assumption ผมลอง Properties > Sharing สำหรับ multiple folders บน two separate hosts พฤติกรรมเหมือนกัน และ audit failure timestamp ตรงกับ folder access นั่นคือทั้งหมด
Conclusion
นี่คือ no-problem problem แต error เองค่อนข้าง alarming ผมคิดระบบต้องมีวิธี check shared folder accessible แต่ไม่สามารถ check จริงได้ error จึง meaningless สิ่งตลกคือ คุณหลีกเลี่ยง error นี้ได้หมด หากใช้ Advanced Sharing option ใน right-click menu ไม่แน่ใจว่ายังมีใน Windows 11 (และ crippled context menu) แต่ทำงานใน Windows 10
หากเจอ logon audit failures จำไว้ว่าคุณอาจมี real logon issues จริงๆ แต่ใน home environment โดยเฉพาะหาก local systems อยู่ behind firewall และ/หรือ router นี่ most likely เป็น false positive จากการ access Sharing tab ดังนั้นคุณสามารถวาง mild paranoia ลง และเพลิดเพลินใช้เครื่อง ได้แล้ว enjoy คำที่สูงเกินไป mildly suffer แล้วกัน ดูแลตัวเองนะ
Cheers.
