-PackageName = MICROSOFT_AUTHENTICATION_PACKAGE_V1_0-TargetUserName = my-admin-Workstation = USER-WS-Status = 0x00000000Command: `psexec.exe \\admin-ws cmd.exe`Comment: The domain controller attempted to validate the credentials for an accountTime: 06:33:37Event: 4776Event content:-PackageName = MICROSOFT_AUTHENTICATION_PACKAGE_V1_0-TargetUserName = my-admin-Workstation = USER-WS-Status = 0x00000000Command: robocopy.exe c:\goodies\sch \\admin-ws\c$Comment: The domain controller attempted to validate the credentials for an accountTime: 06:34:16Event: 4776Event content:-PackageName = MICROSOFT_AUTHENTICATION_PACKAGE_V1_0-TargetUserName = my-admin-Workstation = USER-WS-Status = 0x00000000Command: at.exe \\admin-ws 06:35 c:\schedule.batComment: The domain controller attempted to validate the credentials for an account

Time: 06:32:44Event: 4624Event content:-SubjectUserSid = S-1-5-18 SubjectUserName = USER-WS$-SubjectDomainName = CORP-SubjectLogonId = 0x00000000000003e7 TargetUserSid = S-1-5-18 TargetUserName = SYSTEM TargetDomainName = NT AUTHORITY TargetLogonId = 0x00000000001046e9-LogonType = 9-LogonProcessName = seclogo-AuthenticationPackageName = Negotiate-WorkstationName =  LogonGuid = {00000000-0000-0000-0000-000000000000}-TransmittedServices = - LmPackageName = - KeyLength = 0 ProcessId = 0x00000000000003b4-ProcessName = C:/Windows/System32/svchost.exe IpAddress = ::1 IpPort = 0Command: sekurlsa::pth /user:my-admin /domain:corp /ntlm:[nt hash] /run:cmd.exeComment: Succesful logon, TargetLogonId = 0x00000000001046e9Time: 06:32:44Event: 4672Event content:-SubjectUserSid = S-1-5-18 SubjectUserName = SYSTEM SubjectDomainName = NT AUTHORITY-SubjectLogonId = 0x00000000001046e912-PrivilegeList = SeCreateTokenPrivilege SeAssignPrimaryTokenPrivilege SeTcbPrivilege SeSecurityPrivilege SeTakeOwnershipPrivilege SeLoadDriverPrivilege SeBackupPrivilegeSeRestorePrivilege   SeDebugPrivilege   SeAuditPrivilege   SeSystemEnvironmentPrivilegeSeImpersonatePrivilegeComment: Special privileges assigned to new logon, as above. LogonId = 0x00000000001046e9Time: 06:32:55Event: 4648Event content:-SubjectUserSid = S-1-5-18 SubjectUserName = SYSTEM SubjectDomainName = NT AUTHORITY-SubjectLogonId = 0x00000000001046e9 LogonGuid = {00000000-0000-0000-0000-000000000000}-TargetUserName = -------- TargetDomainName = ---- TargetLogonGuid = {00000000-0000-0000-0000-000000000000}-TargetServerName = admin-ws.corp.pass.thehash TargetInfo = admin-ws.corp.pass.thehash-ProcessId = 0x0000000000000004 ProcessName =-IpAddress = - IpPort = -Command: psexec.exe \\admin-ws cmd.exeComment: A logon was attempted using explicit credentials. This event is generated when a process attempts to log on an account by explicitly specifying that accounts credentials. This most commonly occurs in batch-type configurations such as scheduled tasks, or when using the RUNAS command. SubjectLogonId = 0x00000000001046e9Time: 06:32:55Event: 4648Event content:-SubjectUserSid = S-1-5-18 SubjectUserName = SYSTEM SubjectDomainName = NT AUTHORITY-SubjectLogonId = 0x00000000001046e9 LogonGuid = {00000000-0000-0000-0000-000000000000}-TargetUserName = -------- TargetDomainName = ---- TargetLogonGuid = {00000000-0000-0000-0000-000000000000}-TargetServerName = admin-ws.corp.pass.thehash TargetInfo = admin-ws.corp.pass.thehash ProcessId = 0x0000000000000998-ProcessName = C:/goodies/PsExec.exe-IpAddress = - IpPort = -Comment: LogonId = 0x00000000001046e9Time: 06:33:35Event: 4648Event content:-SubjectUserSid = S-1-5-18 SubjectUserName = SYSTEM SubjectDomainName = NT AUTHORITY-SubjectLogonId = 0x00000000001046e9 LogonGuid = {00000000-0000-0000-0000-000000000000}-TargetUserName = -------- TargetDomainName = ---- TargetLogonGuid = {00000000-0000-0000-0000-000000000000}-TargetServerName = admin-ws.corp.pass.thehash TargetInfo = admin-ws.corp.pass.thehash-ProcessId = 0x0000000000000004 ProcessName =-IpAddress = - IpPort = -Command: robocopy.exe c:\goodies\sch \\admin-ws\c$Comment: A logon was attempted using explicit credentials. LogonId = 0x00000000001046e9Time: 06:34:15Event: 4648Event content:-SubjectUserSid = S-1-5-18 SubjectUserName = SYSTEM SubjectDomainName = NT AUTHORITY-SubjectLogonId = 0x00000000001046e9 LogonGuid = {00000000-0000-0000-0000-000000000000}-TargetUserName = -------- TargetDomainName = ---- TargetLogonGuid = {00000000-0000-0000-0000-000000000000}-TargetServerName = admin-ws.corp.pass.thehash TargetInfo = admin-ws.corp.pass.thehash-ProcessId = 0x0000000000000004 ProcessName =-IpAddress = - IpPort = -Command: at.exe \\admin-ws 08:00 c:\schedule.batComment: A logon was attempted using explicit credentials.LogonId = 0x00000000001046e9

Time: 06:32:55Event: 4672Event content:-SubjectUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-SubjectUserName = my-admin-SubjectDomainName = CORP SubjectLogonId = 0x00000000000f133c PrivilegeList = SeSecurityPrivilege SeBackupPrivilege SeRestorePrivilege SeTakeOwnershipPrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeLoadDriverPrivilegeSeImpersonatePrivilegeComment: Special privileges assigned to new logon.Time: 06:32:55Event: 4624Event content:-SubjectUserSid = S-1-0-0 SubjectUserName = - SubjectDomainName = - SubjectLogonId = 0x0000000000000000 TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-TargetUserName = my-admin-TargetDomainName = CORP-TargetLogonId = 0x00000000000f133c-LogonType = 3-LogonProcessName = NtLmSsp-AuthenticationPackageName = NTLM WorkstationName = USER-WS-LogonGuid = {00000000-0000-0000-0000-000000000000} TransmittedServices = - LmPackageName =NTLM V1 KeyLength = 128 ProcessId = 0x0000000000000000 ProcessName = - IpAddress = 192.168.89.101 IpPort = 49286Command: psexec.exe \\admin-ws cmd.exeComment: Succesful logon. TargetLogonId = 0x00000000000f133cTime: 06:33:32Event: 4634Event content:-TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-TargetUserName = my-admin-TargetDomainName = CORP-TargetLogonId = 0x00000000000f133c-LogonType = 3Comment: TargetLogonId = 0x00000000000f133cTime: 06:33:35Event: 4672Event content:-SubjectUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-SubjectUserName = my-admin-SubjectDomainName = CORP-SubjectLogonId = 0x00000000000f2736-PrivilegeList = SeSecurityPrivilege SeBackupPrivilege SeRestorePrivilege SeTakeOwnershipPrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeLoadDriverPrivilege SeImpersonatePrivilegeTime: 06:33:35Event: 4624Event content:-SubjectUserSid = S-1-0-0 SubjectUserName = - SubjectDomainName = - SubjectLogonId = 0x0000000000000000 TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-TargetUserName = my-admin-TargetDomainName = CORP-TargetLogonId = 0x00000000000f273614-LogonType = 3-LogonProcessName = NtLmSsp-AuthenticationPackageName = NTLM-WorkstationName = USER-WS-LogonGuid = {00000000-0000-0000-0000-000000000000} TransmittedServices = - LmPackageName = NTLM V1 KeyLength = 128 ProcessId = 0x0000000000000000 ProcessName = --IpAddress = 192.168.89.101 IpPort = 49298Command: robocopy.exe c:\goodies\sch \\admin-ws\c$Time: 06:34:02Event: 4634Event content:-TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-TargetUserName = my-admin-TargetDomainName = CORP-TargetLogonId = 0x00000000000f2736-LogonType = 3Time: 06:34:15Event: 4672Event content:-SubjectUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-SubjectUserName = my-admin SubjectDomainName = CORP-SubjectLogonId = 0x00000000000f309b-PrivilegeList = SeSecurityPrivilege   SeBackupPrivilege   SeRestorePrivilegeSeTakeOwnershipPrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeLoadDriverPrivilege SeImpersonatePrivilege LogonId = 0x00000000000f309bTime: 06:34:15Event: 4624Event content:-SubjectUserSid = S-1-0-0 SubjectUserName = - SubjectDomainName = - SubjectLogonId = 0x0000000000000000 TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-TargetUserName = my-admin-TargetDomainName = CORP-TargetLogonId = 0x00000000000f309b-LogonType = 3-LogonProcessName = NtLmSsp-AuthenticationPackageName = NTLM-WorkstationName = USER-WS-LogonGuid = {00000000-0000-0000-0000-000000000000} TransmittedServices = - LmPackageName = NTLM V1 KeyLength = 128 ProcessId = 0x0000000000000000 ProcessName = --IpAddress = 192.168.89.101 IpPort = 49299Command: at.exe \\admin-ws 08:00 c:\schedule.batComment: LogonId = 0x00000000000f309bTime: 06:34:26Event: 4634Event content:-TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-1105-TargetUserName = my-admin-TargetDomainName = CORP-TargetLogonId = 0x00000000000f309b-LogonType = 3Comment: LogonId = 0x00000000000f309b

Time: 14:11:12Event: 4769Event content:-TargetUserName = [email protected] = corp-ServiceName = ADMIN-WS$-ServiceSid = S-1-5-21-2976932740-3244455291-537790045-1107-TicketOptions = 0x40810000-TicketEncryptionType = 0x00000012-IpAddress = ::ffff:192.168.89.101 IpPort = 49407-Status = 0x00000000-LogonGuid = {B757831E-D810-CDCC-C1C2-804BB3A2FB2C}-TransmittedServices = -Command: net use \\admin-ws

Time: 14:11:12Event: 4624Event content:-SubjectUserSid = S-1-0-0 SubjectUserName = - SubjectDomainName = - SubjectLogonId = 0x0000000000000000-TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-500 TargetUserName = myadmin TargetDomainName = corp-TargetLogonId = 0x000000000051f916-LogonType = 3 LogonProcessName = Kerberos AuthenticationPackageName = Kerberos-WorkstationName =-LogonGuid = {A0706C8D-9BC6-F4D5-1226-FA2A48BB58D9} TransmittedServices = - LmPackageName = - KeyLength = 0 ProcessId = 0x0000000000000000 ProcessName = --IpAddress = 192.168.89.101 IpPort = 49406Command: net use \\admin-wsTime: 14:11:12Event: 4672Event content:-SubjectUserSid = S-1-5-21-2976932740-3244455291-537790045-500 SubjectUserName = myadmin-SubjectDomainName =-SubjectLogonId = 0x000000000051f916-PrivilegeList = SeSecurityPrivilege SeBackupPrivilege SeRestorePrivilegeSeTakeOwnershipPrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeLoadDriverPrivilege SeImpersonatePrivilegeCommand: net use \\admin-wsTime: 14:11:3916Event: 4624Event content:-SubjectUserSid = S-1-0-0 SubjectUserName = - SubjectDomainName = - SubjectLogonId = 0x0000000000000000-TargetUserSid = S-1-5-21-2976932740-3244455291-537790045-500 TargetUserName = myadmin TargetDomainName = corp-TargetLogonId = 0x00000000005204ad-LogonType = 3 LogonProcessName = Kerberos AuthenticationPackageName = Kerberos-WorkstationName =-LogonGuid = {B504E2E8-3007-1C03-F480-011559C08D34} TransmittedServices = - LmPackageName = - KeyLength = 0 ProcessId = 0x0000000000000000 ProcessName = --IpAddress = 192.168.89.101 IpPort = 49409Command: psexec.exe \\admin-ws cmd.exeTime: 14:11:39Event: 4672Event content:-SubjectUserSid = S-1-5-21-2976932740-3244455291-537790045-500 SubjectUserName = myadmin SubjectDomainName =-SubjectLogonId = 0x00000000005204ad-PrivilegeList = SeSecurityPrivilege SeBackupPrivilege SeRestorePrivilege SeTakeOwnershipPrivilege SeDebugPrivilege SeSystemEnvironmentPrivilege SeLoadDriverPrivilegeSeImpersonatePrivilegeCommand: psexec.exe \\admin-ws cmd.exe

Subject:Security ID:	%1Account Name:	%2Account Domain:	%3Logon ID:	%4Logon Type:	%9New Logon:Security ID:	%5Account Name:	%6Account Domain:	%7Logon ID:	%8Logon GUID:	%13Process Information:Process ID:	%17Process Name:	%18Network Information:Workstation Name: %12Source Network Address: %19Source Port:	%20Detailed Authentication Information:Logon Process:	%1017Authentication Package: %11Transited Services: %14Package Name (NTLM only): %15Key Length:	%16This event is generated when a logon session is created. It is generated on the computer that was accessed.The subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.The logon type field indicates the kind of logon that occurred. The most common types are 2 (interactive) and 3 (network).The New Logon fields indicate the account for whom the new logon was created, i.e. the account that was logged on.The network fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.The authentication information fields provide detailed information about this specific logon request.-Logon GUID is a unique identifier that can be used to correlate this event with a KDC event.-Transited services indicate which intermediate services have participated in this logon request.-Package name indicates which sub-protocol was used among the NTLM protocols.-Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

Subject:Security ID:	%1Account Name:	%2Account Domain:	%3Logon ID:	%4Logon Type:	%11Account For Which Logon Failed:Security ID:	%5Account Name:	%6Account Domain:	%7Failure Information:Failure Reason:	%9Status:	%8Sub Status:	%10Process Information:Caller Process ID: %18Caller Process Name: %19Network Information:Workstation Name: %14Source Network Address: %20Source Port:	%21Detailed Authentication Information:Logon Process:	%12Authentication Package: %13Transited Services: %15Package Name (NTLM only): %1618Key Length:	%17This event is generated when a logon request fails. It is generated on the computer where access was attempted.The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).The Process Information fields indicate which account and process on the system requested the logon.The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.The authentication information fields provide detailed information about this specific logon request.-Transited services indicate which intermediate services have participated in this logon request.-Package name indicates which sub-protocol was used among the NTLM protocols.-Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

Subject:Security ID:	%1Account Name:	%2Account Domain:	%3Logon ID:	%4Logon Type:	%5This event is generated when a logon session is destroyed. It may be positively correlated with a logon event using the Logon ID value. Logon IDs are only unique between reboots on the same computer.Event ID: 4647User initiated logoff.Subject:Security ID:	%1Account Name:	%2Account Domain:	%3Logon ID:	%4This event is generated when a logoff is initiated but the token reference count is not zero and the logon session cannot be destroyed. No further user-initiated activity can occur. This event can be interpreted as a logoff event.

Subject:Security ID:	%1Account Name:	%2Account Domain:	%319Logon ID:	%4Logon GUID:	%5Account Whose Credentials Were Used:Account Name:	%6Account Domain:	%7Logon GUID:	%8Target Server:Target Server Name: %9Additional Information: %10Process Information:Process ID:	%11Process Name:	%12Network Information:Network Address: %13Port:	%14This event is generated when a process attempts to log on an account by explicitly specifying that accounts credentials. This most commonly occurs in batch-type configurations such as scheduled tasks, or when using the RUNAS command.

Subject:Security ID:	%1Account Name:	%2Account Domain:	%3Logon ID:	%4Privileges:	%5

Account Information:Account Name:	%1Supplied Realm Name: %2User ID:	%3Service Information:Service Name:	%4Service ID:	%5Network Information:Client Address:	%10Client Port:	%11Additional Information:Ticket Options:	%6Result Code:	%7Ticket Encryption Type: %8Pre-Authentication Type: %9Certificate Information:Certificate Issuer Name:	%12Certificate Serial Number: %13Certificate Thumbprint:	%1420Certificate information is only provided if a certificate was used for pre-authentication.Pre-authentication types, ticket options, encryption types and result codes are defined in RFC 4120.

Account Information:Account Name:	%1Account Domain:	%2Logon GUID:	%10Service Information:Service Name:	%3Service ID:	%4Network Information:Client Address:	%7Client Port:	%8Additional Information:Ticket Options:	%5Ticket Encryption Type: %6Failure Code:	%9Transited Services: %11This event is generated every time access is requested to a resource such as a computer or a Windows service.  The service name indicates the resource to which access was requested.This event can be correlated with Windows logon events by comparing the Logon GUID fields in each event. The logon event occurs on the machine that was accessed, which is often a different machine than the domain controller which issued the service ticket.Ticket options, encryption types, and failure codes are defined in RFC 4120.

Authentication Package: %1Logon Account: %2Source Workstation: %3Error Code: %4