4776(S, F) コンピューターがアカウントの資格情報を検証しようとしました。

4776(S, F): コンピューターがアカウントの資格情報を検証しようとしました。

サブカテゴリ: 資格情報検証の監査

イベントの説明:

このイベントは、NTLM 認証を使用して資格情報の検証が行われるたびに生成されます。

このイベントは、提供された資格情報に対して権限を持つコンピューターでのみ発生します。ドメイン アカウントの場合、ドメイン コントローラーが権限を持ちます。ローカル アカウントの場合、ローカル コンピューターが権限を持ちます。

成功した資格情報の検証試行と失敗した資格情報の検証試行の両方が表示されます。

認証試行が行われたコンピューター名 (ソース ワークステーション) のみが表示されます (認証ソース)。たとえば、ドメイン アカウントを使用して CLIENT-1 から SERVER-1 に認証する場合、ソース ワークステーション フィールドには CLIENT-1 が表示されます。宛先コンピューター (SERVER-1) に関する情報はこのイベントには表示されません。

資格情報の検証試行が失敗した場合、エラー コード パラメーターの値が “0x0” 以外の失敗イベントが表示されます。

このイベントの主な利点は、ドメイン コントローラーで NTLM 認証が使用されたドメイン アカウントのすべての認証試行を確認できることです。

ローカル アカウントのログオン試行を監視するには、より詳細で情報量が多いイベント “4624: アカウントが正常にログオンしました” を使用する方が良いです。

このイベントは、ワークステーションのロック解除イベントが発生したときにも生成されます。

このイベントは、ドメインアカウントがドメインコントローラーにローカルでログオンしたときには生成されません。

注  推奨事項については、このイベントのセキュリティ監視の推奨事項を参照してください。

イベント XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
 <EventID>4776</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>14336</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8010000000000000</Keywords> 
 <TimeCreated SystemTime="2015-07-25T04:38:11.003163100Z" /> 
 <EventRecordID>165437</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="500" ThreadID="532" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.contoso.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="PackageName">MICROSOFT\_AUTHENTICATION\_PACKAGE\_V1\_0</Data> 
 <Data Name="TargetUserName">dadmin</Data> 
 <Data Name="Workstation">WIN81</Data> 
 <Data Name="Status">0xc0000234</Data> 
 </EventData>
 </Event>

必要なサーバーロール: 特定の要件はありません。

最小 OS バージョン: Windows Server 2008, Windows Vista。

イベントバージョン: 0。

フィールドの説明:

• 認証パッケージ [タイプ = UnicodeString]: 資格情報の検証に使用された認証パッケージの名前。 4776 イベントの場合、常に “MICROSOFT_AUTHENTICATION_PACKAGE_V1_0” です。

注  認証パッケージは、ユーザーのログオンを許可するかどうかを決定するための認証ロジックをカプセル化するDLLです。ローカルセキュリティ機関 (LSA) は、認証パッケージにリクエストを送信することでユーザーログオンを認証します。認証パッケージはログオン情報を調べ、ユーザーログオンの試行を認証または拒否します。

• ログオンアカウント [タイプ = UnicodeString]: 認証パッケージによって資格情報が検証されたアカウントの名前。ユーザー名、コンピューターアカウント名、またはよく知られたセキュリティプリンシパルアカウント名である可能性があります。例:

  • ユーザー例: dadmin

  • コンピューターアカウント例: WIN81$

  • ローカルシステムアカウント例: Local

  • ローカルサービスアカウント例: Local Service

• ソースワークステーション [タイプ = UnicodeString]: ログオン試行が発生したコンピューターの名前。

• エラーコード [タイプ = HexInt32]: 失敗イベントのエラーコードを含みます。成功イベントの場合、このパラメーターは “0x0” の値を持ちます。以下の表は、このイベントの最も一般的なエラーコードを含みます:

表1. Winlogon エラーコード。

セキュリティ監視の推奨事項

4776(S, F): コンピューターがアカウントの資格情報を検証しようとしました。

• 特定のアカウントに対してNTLM認証を使用しない場合、そのアカウントを監視してください。アカウントがそのユーザーアカウントが保存されているデバイスにログオンする場合、ローカルログオンは常にNTLM認証を使用することを忘れないでください。

• 必要に応じて、このイベントを使用してドメイン内のすべてのNTLM認証試行を収集できます。アカウントがそのユーザーアカウントが保存されているデバイスにログオンする場合、ローカルログオンは常にNTLM認証を使用することを忘れないでください。

• ローカルアカウントがローカルでのみ使用されるべき場合（例えば、ネットワークログオンやターミナルサービスログオンが許可されていない場合）、Source Workstation と Computer（イベントが生成された場所と資格情報が保存されている場所）の値が異なるすべてのイベントを監視する必要があります。

• 以下のエラーを追跡することを検討してください。理由は以下の通りです：