Windows 11/10のワークグループモードでユーザーの操作履歴を追跡する方法|監査ポリシーとイベントビューアーの使い方

Windowsのマルチユーザー機能のおかげで、学校や大学、オフィスといった公共の場でも、1台のPCを複数人で快適に利用できるようになっています。こうした環境では通常、管理者がユーザーの操作状況を見守る体制を敷いています。しかし中には、権限を超えてワークグループモードで構成されたアカウントを勝手に変更してしまうユーザーもおり、それがセキュリティ上の問題につながることもあります。

そこで本記事では、Windowsに監査ポリシー(Audit Policy)を設定して、ユーザーのアクティビティを記録・追跡できるようにする方法を解説します。監査ポリシーを有効化しておけば、管理の安全性が高まるだけでなく、万一不正操作が発生した際にもログをもとに該当ユーザーを特定し、適切に対処できるようになります。紹介する手順はWindows 11/10/8.1/8/7で共通して使えます。

監査ポリシーでユーザーアクティビティの追跡を有効にする

手順1. Windowsキー + Rを押して「ファイル名を指定して実行」ダイアログを開き、secpol.mscと入力してEnterキーを押します。「ローカル セキュリティ ポリシー」が起動します。

手順2. 「ローカル セキュリティ ポリシー」ウィンドウの左側で、セキュリティの設定 > ローカル ポリシー > 監査ポリシーの順に展開します。以下のような画面が表示されるはずです。

手順3. 右側のペインには、既定で「監査しない」に設定された9つの監査ポリシーが並んでいます。各ポリシーを順番にダブルクリックし、「成功」と「失敗」の両方にチェックを入れて、「適用」→「OK」の順にクリックしてください。すべてのポリシーに対して同じ操作を行います。

これで、Windowsがユーザーの操作を記録するようになります。
なお、設定を確実に反映させたい場合は、コマンドプロンプトでgpupdate /forceを実行するか、PCを再起動しておくと安心です。

イベントビューアーで記録された操作履歴を確認する

手順1. Windowsキー + Rを押して「ファイル名を指定して実行」を開き、eventvwrと入力してEnterキーを押すと、「イベントビューアー」が起動します。

手順2. 左側のペインから「Windowsログ」 > 「セキュリティ」を選択します。セキュリティに関するすべてのイベントがここに記録されています。

手順3. 中央のペインで任意のイベントをクリックすると、その詳細情報が下部に表示されます。

ワークグループモードのユーザー操作に対応する主なイベントID一覧

以下は、ワークグループモードのアカウントに対するユーザー操作をカバーするイベントIDの一覧です。「成功の監査」として記録されます。

1. ユーザーの作成

2. ユーザーの削除

3. ユーザーアカウントの無効化

4. ユーザーアカウントの有効化

5. パスワードのリセット

6. プロファイル パスの設定

7. アカウント名の変更

8. ローカル グループの作成

9. ローカル グループへのユーザー追加

10. ローカル グループからのユーザー削除

11. ローカル グループの削除

12. ローカル グループ名の変更

まとめ・注意点

以上の手順により、誰が・いつ・どんなアカウント操作を行ったのかをログとして追跡できるようになります。本記事の手順は、ワークグループモードのWindows 11/10/8.1に適用されるものであり、Active Directoryドメイン環境の場合はグループポリシー経由で監査設定を行うなど、手順が異なる点にご注意ください。

また、セキュリティログには保存容量の上限があるため、長期間の記録が必要な場合は、イベントビューアーのプロパティからログの最大サイズや上書きポリシーを調整しておくことをおすすめします。