Windowsのユーザーアクティビティを追跡する方法【ブラウザ履歴・イベントビューアー・監査ポリシー】

Windowsのユーザーアクティビティを追跡する理由はさまざまです。子どものインターネット利用の見守り、不正アクセスへの対策、セキュリティ問題の改善、内部脅威（インサイダー脅威）の軽減などが挙げられます。

この記事では、家庭用PC、サーバーネットワークのユーザー追跡、ワークグループなど、さまざまなWindows環境における追跡方法を解説します。

ブラウザの履歴を確認する

自分のパソコンを誰か（たとえば子ども）が使っていて、どのサイトを閲覧したのかを知りたい場合は、ブラウザの履歴から確認できます。ITに詳しいユーザーは履歴を隠す方法を知っているかもしれませんが、確認してみる価値は十分にあります。

• Google Chromeの場合：画面右上の「⋮」（3点リーダー）をクリックし、「履歴」を選択します。

• Chromeで履歴を開くもう一つの方法は、ショートカットキー「Ctrl + H」を使うことです。
• Firefoxの場合：上部バーにある下の画像のようなアイコンを探してクリックします。

• 次に「履歴」をクリックします。

• Microsoft Edgeの場合：ウィンドウ右上の流れ星のアイコンを探してクリックし、「履歴」を選択します。

Windowsイベントを確認する

Windowsは、パソコン上のユーザーアクティビティをすべて記録しています。他の人が自分のパソコンを使っていないかを調べる第一歩は、パソコンが使用された時間帯を特定することです。

• スタートメニューから「event viewer（イベントビューアー）」と入力し、表示された項目をクリックして開きます。

• 「Event Viewer (ローカル)」をクリックして、Windowsログフォルダーを展開します。

• 「Windowsログ」をクリックして展開し、「System」を右クリックします。
• 「現在のログをフィルター」をダブルクリックし、「イベントソース」のドロップダウンメニューを開きます。
• 下にスクロールして「Power-Troubleshooter」を見つけ、チェックボックスにチェックを入れて「OK」をクリックします。

• Windowsイベントビューアーには、パソコンがスリープモードから復帰した、または電源が入った日時が表示されます。その時間帯に自分が使用していなかったのであれば、他の誰かが使っていたことになります。

Windowsサーバーで不審なアクティビティを特定する方法

複数のWindowsサーバーで構成される環境を運用している場合、セキュリティは極めて重要です。不審なアクティビティを特定するためにWindowsのアクティビティを監査・追跡することは、以下のような理由から不可欠です。

• Windows OSではマルウェアやウイルスが蔓延している
• 一部のアプリケーションやプログラムは、アンチウイルスやローカルファイアウォールの無効化を要求する場合がある
• ユーザーはリモートデスクトップのセッションを切断しないままにすることが多く、システムが不正アクセスに対して脆弱になる

インシデントが発生するのを待つのではなく、予防策を講じることが重要です。誰がいつサーバーにログオンしているのかを把握できる、堅牢なセキュリティ監視プロセスを整備しましょう。これにより、Windowsサーバーのセキュリティレポートで不審なイベントを特定できるようになります。

Windowsレポートで注意すべきポイント

サーバー管理者としては、悪意のあるWindowsユーザーアクティビティからネットワークを守るために、以下のようなイベントに注目する必要があります。

• リモートデスクトップセッションの成功・失敗の試行
• パスワードロックアウトにつながる繰り返しのログイン試行
• 自分が実施していないグループポリシーや監査ポリシーの変更
• Windowsネットワーク、メンバーサービス、ドメインコントローラーへのログインの成功・失敗
• 既存サービスの削除・停止、または新規サービスの追加
• レジストリ設定の変更
• イベントログのクリア
• Windowsファイアウォールやそのルールの無効化・変更

前述のとおり、イベントはWindowsのイベントログに記録されます。ネイティブログの主な種類は次の3つです。

• セキュリティ
• アプリケーション
• システム

XpoLog7

XpoLog7は自動ログ管理ツールで、以下の機能を提供します。

• ログデータの分析
• 問題の自動検出
• ルールとイベントのプロアクティブな監視

基本プランは0.5GB/日まで永久無料です。さらに多くの機能が必要な場合は、XpoLog7では複数の段階的な価格プランも用意されています。

ワークグループでユーザーアクティビティを追跡する方法

ワークグループとは、コンピューターで構成される組織的なネットワークのことです。ストレージ、ファイル、プリンターをユーザー間で共有できます。

共同作業に便利で、使いやすく管理も簡単です。しかし、適切な管理を行わないと、ワークグループのすべての参加者に影響を及ぼしうるセキュリティリスクにネットワークをさらすことになります。

以下に、ネットワークセキュリティを強化するためのユーザーアクティビティの追跡方法を紹介します。

Windows監査ポリシーを活用する

以下の手順に従って、ワークグループの参加者がネットワーク上で何をしているのかを追跡しましょう。

1. Windowsキーを押しながらRを押して「ファイル名を指定して実行」を開きます。
2. 「名前」の横のボックスにsecpol.mscと入力し、「OK」をクリックします。

これで「ローカルセキュリティポリシー」ウィンドウが開きます。

• 左側の列で「セキュリティの設定」をダブルクリックし、「ローカルポリシー」をクリックして展開します。
• 「監査ポリシー」を開くと、右側のペインのメニューに「定義されていない」状態の監査エントリが多数表示されます。

• 最初のエントリを開きます。「ローカル セキュリティの設定」タブで、「これらの試行を監査する」の下の「成功」と「失敗」にチェックを入れ、「適用」をクリックしてから「OK」をクリックします。

ワークグループ内のユーザーアクティビティを追跡するには、上記の手順をすべてのエントリに対して繰り返します。ワークグループ内のすべてのコンピューターが適切に保護されている必要があることに注意してください。1台でも感染すると、同じネットワークに接続されている他のすべてのコンピューターが危険にさらされます。

キーロガー

キーロガープログラムはキーボードの操作を監視し、入力されたすべての内容をログとして記録します。誰かがプライバシーを侵害していないかを確認するための、Windowsユーザーアクティビティ監視の有効な手段です。

キーロガープログラムを使用する人の多くは悪意のある目的で使用しています。そのため、アンチマルウェアプログラムがキーロガーを隔離する可能性が高いです。使用するには、隔離から除外する必要があります。

必要であれば、選択できる無料のキーロガーソフトウェアもいくつかあります。