Что означает Event ID 4800?

Событие Event ID 4800 фиксируется в журнале безопасности Windows, когда пользователь или операционная система блокирует экран рабочей станции или сервера (например, нажатием клавиш Win + L, через меню «Пуск» или по таймауту автоматической блокировки).

Для чего используется это событие:

• Учет рабочего времени сотрудников (точное время ухода с рабочего места).
• Контроль соблюдения политик информационной безопасности (блокируют ли сотрудники ПК при отлучении).
• Расследование инцидентов физического доступа к оборудованию.

Как настроить аудит и просмотреть события блокировки

1. Включение аудита через GPO: перейдите в Конфигурация компьютера -> Политики -> Параметры Windows -> Параметры безопасности -> Расширенная конфигурация политики аудита -> Аудит входа в систему -> Аудит других событий входа/выхода (Audit Other Logon/Logoff Events) и включите Успех (Success).
2. Поиск блокировок пользователя через PowerShell:

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4800
} -MaxEvents 10 | Select-Object TimeCreated, @{N='User';E={$_.Properties[1].Value}}