Windows 11/10で「保護されたイベントログ」を有効または無効にする方法

Windows 11やWindows 10で保護されたイベントログ(Protected Event Logging)を有効または無効にしたい場合、この記事ではその手順をステップバイステップで詳しく解説します。なお、保護されたイベントログを有効にするには、暗号化証明書の指定が必須となる点に注意してください。

この設定は、「ローカルグループポリシーエディター」と「レジストリエディター」のいずれかを使用してオン/オフを切り替えることができます。レジストリエディター(REGEDIT)を使用する場合は、作業前に必ずレジストリファイルのバックアップを取っておくことをおすすめします。

グループポリシーを使って保護されたイベントログを有効/無効にする

ローカルグループポリシーエディターを使用して、Windows 11/10で保護されたイベントログを有効または無効にするには、以下の手順に従います。

1. Win + Rキーを押して「ファイル名を指定して実行」ダイアログを開きます。
2. gpedit.mscと入力し、Enterキーを押します。
3. コンピューターの構成内のイベント ログ サービスへ移動します。
4. [保護されたイベント ログを有効にする]をダブルクリックします。
5. [有効]を選択します。
6. 暗号化証明書を入力します。
7. [OK]ボタンをクリックします。

それでは、各ステップの詳細を見ていきましょう。

まず、ローカルグループポリシーエディターを開く必要があります。Win + Rキーを押して「ファイル名を指定して実行」を開き、gpedit.mscと入力してEnterキーを押してください。

エディターが開いたら、以下のパスへ移動します。

コンピューターの構成 > 管理用テンプレート > Windows コンポーネント > イベント ログ サービス

右側のペインに[保護されたイベント ログを有効にする]という設定項目がありますので、これをダブルクリックし、[有効]を選択します。

次に、指定のボックスに暗号化キー(暗号化証明書)を入力し、[OK]ボタンをクリックします。

これ以降、ログデータは暗号化されて保存されるようになります。逆に、保護されたイベントログを無効にしたい場合は、同じ設定画面を開き、[無効]または[未構成]を選択してください。

レジストリを使って保護されたイベントログをオン/オフする

レジストリエディターを使用して、Windows 11/10で保護されたイベントログをオンまたはオフにするには、以下の手順を実行します。

1. Win + Rキーを押して「ファイル名を指定して実行」を表示します。
2. regeditと入力 > Enterキーを押す > [はい]をクリックします。
3. HKEY_LOCAL_MACHINE(HKLM)配下のWindowsキーへ移動します。
4. Windowsキーを右クリック > [新規] > [キー]を選択します。
5. 新しいキーにEventLogという名前を付けます。
6. EventLogキーを右クリック > [新規] > [キー]を選択します。
7. 新しいキーにProtectedEventLoggingという名前を付けます。
8. ProtectedEventLoggingキーを右クリック > [新規] > [DWORD (32ビット) 値]を選択します。
9. 値の名前をEnableProtectedEventLoggingに設定します。
10. ダブルクリックして値のデータを1に変更します。
11. ProtectedEventLoggingキーを右クリック > [新規] > [複数文字列値]を選択します。
12. 値の名前をEncryptionCertificateに設定します。
13. ダブルクリックして暗号化証明書を入力します。
14. [OK]ボタンをクリックします。
15. パソコンを再起動します。

続いて、これらの手順を詳しく確認していきます。

まず、レジストリエディターを開きます。Win + Rキーを押して「ファイル名を指定して実行」を表示し、regeditと入力してEnterキーを押し、表示されたUACの確認画面で[はい]をクリックしてください。

レジストリエディターが開いたら、以下のパスへ移動します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows

Windowsキーを右クリックして[新規] > [キー]を選択し、新しいキーにEventLogという名前を付けます。さらに、EventLogキーを右クリックして[新規] > [キー]を選択し、今度はProtectedEventLoggingという名前を付けます。

ここで、REG_DWORD値と複数文字列値を1つずつ作成します。ProtectedEventLoggingキーを右クリックして[新規] > [DWORD (32ビット) 値]を選択し、名前をEnableProtectedEventLoggingに設定しましょう。

作成したDWORD値をダブルクリックし、値のデータを1に変更して[OK]をクリックします。

次に、ProtectedEventLoggingキーを右クリックして[新規] > [複数文字列値]を選択し、名前をEncryptionCertificateに設定します。

この値をダブルクリックして、暗号化証明書を入力してください。

すべての入力が完了したら、[OK]ボタンをクリックし、パソコンを再起動すれば設定は完了です。

なお、レジストリエディターを使って保護されたイベントログを無効にしたい場合は、作成したREG_DWORD値(EnableProtectedEventLogging)と複数文字列値(EncryptionCertificate)を削除してください。

イベントログを保護するにはどうすればよいですか?

Windows 11/10のPCでイベントログを保護するには、上記で紹介した2つの方法のいずれかを使用します。「ローカルグループポリシーエディター」と「レジストリエディター」のどちらでも設定可能です。暗号化キー(証明書)さえ準備できていれば、どちらの方法でも簡単に実施できます。

イベントログには5つの種類がある?

参考までに、イベントログには主に5つの種類があります。「情報」「エラー」「成功の監査」「警告」「失敗の監査」です。上記のチュートリアルの手順を使えば、これらすべての種類のイベントログを暗号化して保護することができます。GPEDIT方式とREGEDIT方式のどちらを選んでも問題ありません。

以上です!このガイドがお役に立てば幸いです。