打开Windows自带的“事件查看器”，通过“事件查看器”将安全日志保存到勘验U盘，以便之后导入到取证电脑进行分析。

通过“事件查看器”，打开保存的安全日志，再通过“筛选当前日志”的功能，对安全日志进行筛查。

打开“筛选当前日志”后，表示登录记录的事件ID有4个，分别如下：

（1）事件ID 4624：表示成功登录，即用户已经通过身份验证成功登录到系统。这个事件记录了登录成功的详细信息，如登录账户、登录类型、登录时间等。

（2）事件ID 4625：表示登录失败，即用户尝试登录但未通过身份验证。这个事件记录了登录失败的详细信息，如登录账户、登录类型、登录失败原因等。

（3）事件ID 4648：表示已使用另一个帐户登录。当用户在已经登录的会话中使用其他凭据进行登录时，会生成此事件。这个事件记录了原始登录和新登录的详细信息。

（4）事件ID 4776：表示帐户登录的尝试失败。这个事件记录了帐户登录失败的详细信息，但与事件ID 4625不同，该事件主要用于远程(网络)登录的尝试。

筛选出事件id为4624的登录成功的安全日志文件：

筛查出登录成功的日志记录后，将筛选的日志文件另存为csv格式的文本文件。

保存的登录成功的日志记录，其格式为csv文件，如图所示，并不方便分析异常的登录IP地址。

可以利用一些python编程技术，将登录成功的安全日志中的关键字段，如进程名称、账户名称、工作站名称、源网络地址（远程登录IP）、源端口以及时间等数据提取出来保存为excle表格，python的部分核心代码如图所示。

转化完成的日志文件的excle表格如图所示，此时即可很方便对异常登录的IP地址进行分析。