4739(S) ドメインポリシーが変更されました。

4739(S): ドメインポリシーが変更されました。

サブカテゴリ: 認証ポリシー変更の監査

イベントの説明:

このイベントは、ローカルコンピューターのセキュリティポリシーに次のいずれかの変更が加えられたときに生成されます:

• コンピューターの「\セキュリティ設定\アカウントポリシー\アカウントロックアウトポリシー」設定が変更されました。

• コンピューターの「\セキュリティ設定\アカウントポリシー\パスワードポリシー」設定が変更されました。

• 「ネットワークセキュリティ: ログオン時間が切れたときに強制ログオフする」グループポリシー設定が変更されました。

• ドメイン機能レベルが変更されたか、その他の属性が変更されました（詳細はイベントの説明を参照してください）。

注  推奨事項については、このイベントのセキュリティ監視の推奨事項を参照してください。

イベント XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
 <EventID>4739</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>13569</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8020000000000000</Keywords> 
 <TimeCreated SystemTime="2015-10-02T00:45:37.587380900Z" /> 
 <EventRecordID>1049781</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="500" ThreadID="1648" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.contoso.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="DomainPolicyChanged">Password Policy</Data> 
 <Data Name="DomainName">CONTOSO</Data> 
 <Data Name="DomainSid">S-1-5-21-3457937927-2839227994-823803824</Data> 
 <Data Name="SubjectUserSid">S-1-5-18</Data> 
 <Data Name="SubjectUserName">DC01$</Data> 
 <Data Name="SubjectDomainName">CONTOSO</Data> 
 <Data Name="SubjectLogonId">0x3e7</Data> 
 <Data Name="PrivilegeList">-</Data> 
 <Data Name="MinPasswordAge">-</Data> 
 <Data Name="MaxPasswordAge">-</Data> 
 <Data Name="ForceLogoff">-</Data> 
 <Data Name="LockoutThreshold">-</Data> 
 <Data Name="LockoutObservationWindow">-</Data> 
 <Data Name="LockoutDuration">-</Data> 
 <Data Name="PasswordProperties">-</Data> 
 <Data Name="MinPasswordLength">-</Data> 
 <Data Name="PasswordHistoryLength">13</Data> 
 <Data Name="MachineAccountQuota">-</Data> 
 <Data Name="MixedDomainMode">-</Data> 
 <Data Name="DomainBehaviorVersion">-</Data> 
 <Data Name="OemInformation">-</Data> 
 </EventData>
 </Event>

必要なサーバーロール: なし。

最小 OS バージョン: Windows Server 2008, Windows Vista。

イベントバージョン: 0。

フィールドの説明:

変更タイプ [タイプ = UnicodeString]: 変更が加えられたタイプ。形式は「policy_name が変更されました」。以下は policy_name のいくつかの可能な値です:

件名:

• セキュリティ ID [タイプ = SID]: 特定のローカルポリシーに変更を加えたアカウントのSID。イベントビューアーは自動的にSIDを解決し、アカウント名を表示しようとします。SIDが解決できない場合、イベントにソースデータが表示されます。

注  セキュリティ識別子 (SID) は、トラスティ (セキュリティプリンシパル) を識別するために使用される可変長の一意の値です。各アカウントには、Active Directory ドメインコントローラーなどの権限によって発行され、セキュリティデータベースに保存される一意のSIDがあります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーのSIDを取得し、そのユーザーのアクセス トークンに配置します。システムは、以降のすべてのWindowsセキュリティとのやり取りでユーザーを識別するために、アクセス トークン内のSIDを使用します。ユーザーまたはグループの一意の識別子としてSIDが使用された場合、それは他のユーザーまたはグループを識別するために再利用されることはありません。SIDの詳細については、セキュリティ識別子を参照してください。

• アカウント名 [タイプ = UnicodeString]: 特定のローカルポリシーに変更を加えたアカウントの名前。

• アカウント ドメイン [タイプ = UnicodeString]: 件名のドメインまたはコンピューター名。形式はさまざまで、以下を含みます:

  • ドメイン NETBIOS 名の例: CONTOSO

  • 小文字の完全なドメイン名: contoso.local

  • 大文字の完全なドメイン名: CONTOSO.LOCAL

  • LOCAL SERVICE や ANONYMOUS LOGON などのよく知られたセキュリティプリンシパルの場合、このフィールドの値は「NT AUTHORITY」となります。

  • ローカルユーザーアカウントの場合、このフィールドにはこのアカウントが属するコンピューターまたはデバイスの名前が含まれます。例: 「Win81」。

• ログオン ID [タイプ = HexInt64]: このイベントを、同じログオンIDを含む可能性のある最近のイベントと関連付けるのに役立つ16進数の値。例: 「4624: アカウントが正常にログオンされました。」

ドメイン:

• ドメイン名 [タイプ = UnicodeString]: ポリシー変更が行われたドメインの名前。

• ドメインID [タイプ = SID]: ポリシー変更が行われたドメインのSID。イベントビューアーは自動的にSIDを解決してアカウント名を表示しようとします。SIDが解決できない場合、イベントにソースデータが表示されます。

変更された属性: 変更されなかった属性の値は「-」になります。

• 最小パスワード年齢 [タイプ = UnicodeString]: “\セキュリティ設定\アカウントポリシー\パスワードポリシー\最小パスワード年齢” グループポリシー。数値。

• 最大パスワード年齢 [タイプ = UnicodeString]: “\セキュリティ設定\アカウントポリシー\パスワードポリシー\最大パスワード年齢” グループポリシー。数値。

• 強制ログオフ [タイプ = UnicodeString]: “\セキュリティ設定\ローカルポリシー\セキュリティオプション\ネットワークセキュリティ: ログオン時間が切れたときに強制ログオフ” グループポリシー。

• ロックアウトしきい値 [タイプ = UnicodeString]: “\セキュリティ設定\アカウントポリシー\アカウントロックアウトポリシー\アカウントロックアウトしきい値” グループポリシー。数値。

• ロックアウト観察ウィンドウ [タイプ = UnicodeString]: “\セキュリティ設定\アカウントポリシー\アカウントロックアウトポリシー\アカウントロックアウトカウンターのリセット時間” グループポリシー。数値。

• ロックアウト期間 [タイプ = UnicodeString]: “\セキュリティ設定\アカウントポリシー\アカウントロックアウトポリシー\アカウントロックアウト期間” グループポリシー。数値。

• パスワードプロパティ [タイプ = UnicodeString]:

• 最小パスワード長 [タイプ = UnicodeString]: “\Security Settings\Account Policies\Password Policy\Minimum password length” グループポリシー。数値。

• パスワード履歴の長さ [タイプ = UnicodeString]: “\Security Settings\Account Policies\Password Policy\Enforce password history” グループポリシー。数値。

• マシンアカウントクォータ [タイプ = UnicodeString]: ms-DS-MachineAccountQuota ドメイン属性が変更されました。数値。

• 混合ドメインモード [タイプ = UnicodeString]: このフィールドに関する情報はこのドキュメントにはありません。

• ドメイン動作バージョン [タイプ = UnicodeString]: msDS-Behavior-Version ドメイン属性が変更されました。数値。可能な値:

• OEM Information [Type = UnicodeString]: このドキュメントにはこのフィールドに関する情報はありません。

追加情報:

• 特権 [Type = UnicodeString]: 操作中に使用されたユーザー特権のリスト。例えば、SeBackupPrivilege。このパラメータはイベントでキャプチャされない場合があり、その場合は「-」として表示されます。ユーザー特権の完全なリストは以下の表を参照してください:

セキュリティ監視の推奨事項

4739(S): ドメインポリシーが変更されました。

• 「アカウントロックアウトポリシー」、「パスワードポリシー」、または「ネットワークセキュリティ: ログオン時間が終了したときに強制ログオフ」の設定変更、およびこのイベントによって報告されるドメイン機能レベルと属性の変更はすべて監視され、アラートがトリガーされる必要があります。この変更が計画されていなかった場合は、変更の理由を調査してください。