AD域查看DC认证记录

安全日志（首选）：查看 4768（TGT）、4769（服务票据）、4776（NTLM），能够确认认证请求是否到达这台 DC。

$event = Get-WinEvent -FilterHashtable @{
LogName='Security'
ID=4768
} -MaxEvents 1

for ($i = 0; $i -lt $event.Properties.Count; $i++) {
"{0}: {1}" -f $i, $event.Properties[$i].Value
}

Get-WinEvent -FilterHashtable @{
LogName='Security'
ID=4768
} -MaxEvents 100 |
Select-Object TimeCreated,
@{Name='User';Expression={$_.Properties[0].Value}}

查看那个是user 和 ip，然后下面输入对应想要过滤的字段

Get-WinEvent -FilterHashtable @{LogName='Security';ID=4768} -MaxEvents 100 | Select-Object TimeCreated,@{Name='User';Expression={$_.Properties[0].Value}},@{Name='ClientIP';Expression={$_.Properties[9].Value}}