Ciaranfi AI Land
LoginRegistrati
Ultime news

Accessi falliti: leggere il registro di sicurezza

10 Ottobre 2026 · 2 min di lettura
Sola letturaPowerShellRichiede amministratore

Sola lettura: Mostra informazioni e non modifica nulla.

Il registro di sicurezza di Windows tiene traccia dei tentativi di accesso falliti. Qualche errore di digitazione è normale; un numero alto di tentativi, magari di notte o su un account che non usi, può indicare qualcuno che prova a indovinare la password, per esempio attraverso il Desktop remoto esposto su internet. Il registro è visibile solo a un amministratore.

Ultimi accessi falliti (prompt come amministratore)

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Select-Object TimeCreated, Id

L’evento 4625 indica un accesso fallito. Se il comando risponde che non ci sono eventi corrispondenti, non ci sono stati tentativi falliti oppure la registrazione non è attiva (vedi sotto).

Account, origine e tipo di accesso

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50 | ForEach-Object {
    $d = ([xml]$_.ToXml()).Event.EventData.Data
    [PSCustomObject]@{
        Ora     = $_.TimeCreated
        Account = ($d | Where-Object Name -eq 'TargetUserName').'#text'
        Origine = ($d | Where-Object Name -eq 'IpAddress').'#text'
        Tipo    = ($d | Where-Object Name -eq 'LogonType').'#text'
    }
}

Il campo Tipo dice come è avvenuto il tentativo:

  • 2: accesso dalla tastiera del PC.
  • 3: accesso dalla rete, per esempio a una cartella condivisa.
  • 10: accesso tramite Desktop remoto.

Come interpretare i risultati

  • Pochi tentativi con il tuo nome utente dalla tastiera: probabilmente password digitata male.
  • Molti tentativi con nomi generici come administrator, admin o user, da indirizzi IP esterni: attacco automatico. Disattiva il Desktop remoto se non serve o proteggilo con una VPN.
  • Tentativi su un account che esiste davvero: cambia subito la password e verifica che sia lunga e unica.

Attivare la registrazione

Il registro registra questi eventi solo se il controllo degli accessi è attivo. Per verificarlo e attivarlo, indipendentemente dalla lingua di Windows:

auditpol /get /subcategory:{0CCE9215-69AE-11D9-BED3-505054503030}
auditpol /set /subcategory:{0CCE9215-69AE-11D9-BED3-505054503030} /failure:enable

Il codice tra parentesi graffe identifica la sottocategoria Accesso. Nei PC aziendali questa impostazione è di solito gestita dai criteri di gruppo.

Guide collegate