ログオン監査を有効にしてWindowsユーザーのログオンアクティビティを追跡する方法

「誰が、いつWindowsにログインしたのか」を記録として残せたら便利だと感じたことはありませんか?実は、Windowsに標準搭載されている「ログオン監査(Logon Auditing)」機能を使えば、これが簡単に実現できます。機密データを扱うサーバーや企業環境ではもちろん、「自分のPCで誰が何をしたのか」を把握したい場合にも非常に役立つ機能です。

ただし、ログオン監査はデフォルトでは無効になっています。この記事では、ログオン監査を有効化する手順と、記録されたイベントを確認する方法を詳しく解説します。

注意: ログオン監査は、Windows 8のPro、Ultimate、Enterpriseエディションでのみ利用可能です。Homeエディションにはグループポリシーエディターが搭載されていないためご注意ください。

ログオン監査とは

ログオン監査は、Windowsのグループポリシー設定の一つで、ローカルコンピューターまたはネットワーク上でのユーザーのログイン・ログオフ操作をすべて記録・監査できるようにするものです。さらに、ログインに失敗した試みも検出できるため、ブルートフォース攻撃などの不正アクセスの兆候を早期に発見し、分析する際にも大きな助けになります。

ログオン監査を有効にする手順

ログオン監査を有効にするには、Windowsのグループポリシー設定を変更します。「Win + R」キーを押して「ファイル名を指定して実行」を開き、gpedit.mscと入力してEnterキーを押しましょう。これでローカルグループポリシーエディターが起動します。

グループポリシーエディターが開いたら、左側のツリーから「コンピューターの構成 → Windowsの設定 → セキュリティの設定 → ローカルポリシー」と移動し、「監査ポリシー」を選択します。

右側のペインに複数のポリシーが表示されます。ここで「ログオン イベントの監査」をダブルクリックして開きます。「アカウント ログオン イベントの監査」と混同しないよう注意してください。こちらはまったく別の目的のための設定です。

設定画面が開いたら、「成功」と「失敗」の両方のチェックボックスにチェックを入れます。その後、「適用」→「OK」ボタンをクリックして変更を保存します。

以上で設定完了です。以降、すべてのログイン・ログオフ、そしてログイン失敗の試みが、イベントビューアーにイベントとして記録されるようになります。

ログオン監査イベントを確認する方法

記録されたログイン・ログオフ・ログイン失敗のイベントは、Windowsのイベントビューアーで確認できます。スタートメニューで「イベントビューアー」と検索して起動するか、Windows 8の場合はパワーユーザーメニュー(Win + X)からも起動できます。

イベントビューアーを起動したら、左側のツリーから「Windowsログ」→「セキュリティ」を選択します。

ここには、Windowsシステムで発生したセキュリティ関連のイベントがすべて表示されます。「監査成功(Audit Success)」というキーワードのイベントをダブルクリックすると、ログインまたはログオフしたユーザー名、タイムスタンプなどの詳細情報を確認できます。

イベント数が多い場合は、「イベントID」や「タスクのカテゴリ」でフィルタリングすると目的のログを見つけやすくなります。下の画像のとおり、ログオン監査はログイン失敗の試みもきちんと記録しています。

以上の手順で、Windowsシステムにおけるユーザーのログオン状況を簡単に追跡できるようになります。

この記事がお役に立てば幸いです。ログオン監査の有効化で問題が発生した場合は、ぜひコメントでお知らせください。