Windows 10でイベントログ

はじめに

• Windowsはユーザが多いのでセキュリティ的にも狙われがちだけれど，その防衛手段として監査ログが充実している模様．
• ログオン・ログオフの成功と失敗の監査はWindows NTの時代からあったと思うけれど，今現在はどのプログラムいつ起動したかまで取れる模様．
• ということで，ログを取って見る．
• 今回は，ドメインに所属していないWindows 10 Professional(Windows 8.1からのアップグレード版)を用いている．

ローカルセキュリティポリシーツールの起動

• 監査ログを残すには，ポリシーの設定が必要．今回はドメイン運用してないので，ローカルセキュリティポリシーを設定する．

• 歯車アイコンの[設定]ではなく，[コントーロールパネル]を探して開く．

• 表示方法を[大きいアイコン]にすると[管理ツール]がでてくる．

• [ローカルセキュリティポリシー]があるので起動する．

セキュリティの設定

• ローカルセキュリティポリシーので，ローカルポリシーを設定する．

• 初期状態では全て[監査しない]となっている．

• 各監査項目のプロパティを開いて，設定を行う．今回は，成功も失敗も記録する感じで．

• 今回はドメインに参加してないので，ディレクトリサービスのところ以外は監査ログを残すことにした．

イベントビューアを確認

• 監査ログを有効にしたら，イベントビューアを使ってログを確認．

• この例では，コマンドプロンプトを起動した結果がこれで出ている．

• 次に，ログオフ／ログオンを行い，ログオンの監査を確認．

• イベントID 4624が対象となる模様．