ItemBox

ログオンイベントの監査

ログオンイベントの監査

ユーザーがデバイスにログオンまたはログオフするたびに監査するかどうかを決定します。

アカウントログオンイベントは、ドメインアカウントのアクティビティに対してはドメインコントローラーで、ローカルアカウントのアクティビティに対してはローカルデバイスで生成されます。アカウントログオンとログオン監査ポリシーカテゴリの両方が有効になっている場合、ドメインアカウントを使用したログオンは、ワークステーションまたはサーバーでログオンまたはログオフイベントを生成し、ドメインコントローラーでアカウントログオンイベントを生成します。さらに、メンバーサーバーまたはワークステーションへのインタラクティブログオンは、ユーザーがログオンするときにログオンスクリプトとポリシーが取得されるため、ドメインコントローラーでログオンイベントを生成します。アカウントログオンイベントの詳細については、アカウントログオンイベントの監査を参照してください。

このポリシー設定を定義する場合、成功の監査、失敗の監査、またはイベントタイプをまったく監査しないかを指定できます。成功の監査は、ログオン試行が成功したときに監査エントリを生成します。失敗の監査は、ログオン試行が失敗したときに監査エントリを生成します。

この値を監査なしに設定するには、このポリシー設定のプロパティダイアログボックスで、これらのポリシー設定を定義するチェックボックスを選択し、成功および失敗チェックボックスをクリアします。

ログオンイベントの高度なセキュリティポリシー設定については、高度なセキュリティ監査ポリシー設定のログオン/ログオフセクションを参照してください。

この監査設定を構成する

このセキュリティ設定は、コンピューターの構成\Windowsの設定\セキュリティの設定\ローカルポリシー\監査ポリシーの下にある適切なポリシーを開いて構成できます。

ログオンイベント説明
4624ユーザーがコンピューターに正常にログオンしました。ログオンの種類については、以下のログオンタイプの表を参照してください。
4625ログオン失敗。未知のユーザー名または既知のユーザー名と不正なパスワードでログオン試行が行われました。
4634ユーザーのログオフプロセスが完了しました。
4647ユーザーがログオフプロセスを開始しました。
4648別のユーザーとして既にログオンしている状態で、明示的な資格情報を使用してコンピューターに正常にログオンしました。
4779ユーザーがログオフせずにターミナルサーバーセッションを切断しました。

イベント4624（レガシーWindowsイベントID528）が記録されると、イベントログにログオンタイプも表示されます。以下の表は各ログオンタイプを説明しています。

ログオンタイプログオンタイトル説明
2インタラクティブユーザーがこのコンピューターにログオンしました。
3ネットワークユーザーまたはコンピューターがネットワークからこのコンピューターにログオンしました。
4バッチバッチログオンタイプはバッチサーバーで使用され、ユーザーの直接の介入なしにプロセスが実行される場合があります。
5サービスサービスコントロールマネージャーによってサービスが開始されました。
7ロック解除このワークステーションのロックが解除されました。
8ネットワーククリアテキストユーザーがネットワークからこのコンピューターにログオンしました。ユーザーのパスワードはハッシュされていない形式で認証パッケージに渡されました。組み込みの認証パッケージはすべて、ネットワークを介して送信する前に資格情報をハッシュします。資格情報はプレーンテキスト（クリアテキストとも呼ばれる）でネットワークを通過しません。
9新しい資格情報呼び出し元が現在のトークンをクローンし、アウトバウンド接続のために新しい資格情報を指定しました。新しいログオンセッションは同じローカルIDを持ちますが、他のネットワーク接続には異なる資格情報を使用します。
10リモートインタラクティブユーザーがターミナルサービスまたはリモートデスクトップを使用してリモートでこのコンピューターにログオンしました。
11キャッシュされたインタラクティブユーザーがローカルに保存されたネットワーク資格情報を使用してこのコンピューターにログオンしました。資格情報を確認するためにドメインコントローラーに接続されませんでした。

関連トピック