Event ID 4803 в Windows: экранная заставка закрыта (возврат к работе)
Что означает Event ID 4803?
Событие с кодом 4803 генерируется в журнале безопасности Windows, когда работающая ранее экранная заставка была закрыта из-за активности пользователя (нажатие любой клавиши на клавиатуре, перемещение мыши или касание сенсорного экрана).
Анализ событий активности экрана через PowerShell
Вы можете проанализировать последовательность пробуждений экрана на рабочей станции сотрудника:
Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = @(4802, 4803)
StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Id, Message | Format-Table -WrapПолезно знать: Если заставка была защищена паролем, вслед за событием 4803 (заставка закрыта) обязательно последует событие 4801 (экран разблокирован) или 4625 (ошибка ввода пароля).
Частые вопросы (FAQ)
Означает ли событие 4803, что пользователь уже получил доступ к файлам?
Нет, если скринсейвер был защищен паролем, пользователь увидит экран блокировки и должен будет сначала ввести свои учетные данные.
Может ли случайная вибрация стола сгенерировать 4803?
Да, чувствительные оптические мыши могут среагировать на вибрацию и вывести систему из режима заставки.
Где сохраняются события заставки?
В локальном журнале Security на той рабочей станции, где произошел запуск и закрытие скринсейвера.
Как полностью отключить экраны блокировки на серверах?
Через групповые политики персонализации или параметры реестра NoLockScreen, однако это резко снижает безопасность физического доступа.