ドメインのユーザーがいつ、どこで認証に成功したか、失敗したかを記録しておくと、不正なログオンの試みに気づいたり、トラブルの原因を追ったりできます。この記事では、グループポリシーで「アカウント ログオン イベントの監査」を有効にし、ドメインコントローラのイベントログで認証の失敗を確認します。
- Default Domain Policy で「アカウント ログオン イベントの監査」の成功と失敗を有効にする
- 認証の記録は、ドメインコントローラのセキュリティ ログに残る
- パスワードを間違えたときのイベント（4771）を確認する
アカウント ログオンとログオンの違い
監査ポリシーには、名前の似た「アカウント ログオン イベントの監査」と「ログオン イベントの監査」があります。ドメインのアカウントの場合、パスワードが正しいかを確かめる（認証する）のはドメインコントローラです。この認証の記録がアカウント ログオン イベントで、ドメインコントローラのセキュリティ ログに残ります。
一方、ログオン イベントは、ユーザーがログオンしたコンピューター（ファイル共有なら共有を持つサーバ）のセキュリティ ログに残ります。ドメインのユーザーの認証をまとめて追うなら、アカウント ログオン イベントの監査を使います。
| 監査ポリシー | 記録されるもの | 記録される場所 | 主なイベント ID |
|---|---|---|---|
| アカウント ログオン イベントの監査 | ドメインのアカウントの認証（資格情報の確認） | ドメインコントローラ | 4768、4771、4776 など |
| ログオン イベントの監査 | コンピューターへのログオン | ログオンしたコンピューター | 4624、4625 など |
監査ポリシーを有効にする
ここでは、ドメインにリンクされている Default Domain Policy で監査ポリシーを設定します。ドメインにリンクした GPO は、Domain Controllers OU にあるドメインコントローラにも適用されます。Default Domain Policy については 【Active Directory】デフォルトドメインポリシーについて で紹介しています。
Default Domain Policy を編集する
スタートメニューから Windows 管理ツール ›› グループ ポリシーの管理 を開き、ドメイン（hirotanoblog.local）の下の Default Domain Policy を選びます。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
▾ フォレスト: hirotanoblog.local ▾ ドメイン ▾ hirotanoblog.local1 Default Domain Policy （リンクの場所：hirotanoblog.local） › Domain Controllers › sales › 営業部 › グループ ポリシー オブジェクト
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Default Domain Policy | ドメイン（hirotanoblog.local）にリンクされた GPO。右クリックして「編集」を選ぶ |
Default Domain Policy を右クリックして 編集 を選ぶと、グループ ポリシー管理エディターが開きます。
アカウント ログオン イベントの監査を設定する
コンピューターの構成 ›› ポリシー ›› Windows の設定 ›› セキュリティの設定 ›› ローカル ポリシー ›› 監査ポリシー を開き、「アカウント ログオン イベントの監査」をダブルクリックします。
| ポリシー | ポリシー設定 |
|---|---|
| 1アカウント ログオン イベントの監査 | 未定義 |
| アカウント管理の監査 | 未定義 |
| オブジェクト アクセスの監査 | 未定義 |
| システム イベントの監査 | 未定義 |
| ディレクトリ サービスのアクセスの監査 | 未定義 |
| プロセス追跡の監査 | 未定義 |
| ポリシーの変更の監査 | 未定義 |
| ログオン イベントの監査 | 未定義 |
| 特権使用の監査 | 未定義 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | アカウント ログオン イベントの監査 | 既定では未定義。ダブルクリックしてプロパティを開く |
「これらのポリシーの設定を定義する」にチェックを入れ、「成功」と「失敗」の両方にチェックを入れて「OK」をクリックします。成功と失敗の両方を記録するので、認証の試みがすべて監査されます。
| 1ポリシーの定義 | ☑ これらのポリシーの設定を定義する(D) |
| 2次の場合に監査する | ☑ 成功(S) ☑ 失敗(F) |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | これらのポリシーの設定を定義する | チェックを入れる |
| 2 | 成功、失敗 | 両方にチェックを入れる。失敗だけを記録したい場合は失敗だけでもよい |
| 3 | OK | 設定を保存する |
設定は、グループポリシーの更新でドメインコントローラに反映されます。すぐに反映させたい場合は、ドメインコントローラで gpupdate を実行します。反映されたかどうかは、auditpol /get /category:* で確かめられます。
- Default Domain Policy はドメインのすべてのコンピューターに適用されます。ドメインコントローラだけを監査したい場合は、Domain Controllers OU にリンクした GPO（Default Domain Controllers Policy や監査用に作った GPO）で設定します。
- 監査ポリシーには、ここで使った基本の監査ポリシーのほかに、
セキュリティの設定 ›› 監査ポリシーの詳細な構成があります。詳細な構成では、Kerberos 認証サービスや資格情報の確認など、サブカテゴリごとに設定できます。基本と詳細を同じコンピューターに混ぜて設定すると、意図しない結果になるので、どちらかに統一します。
ログオン イベントを確認する
アカウント ログオン イベントは、ドメインコントローラのセキュリティ ログに記録されます。ドメインコントローラで Windows + R キーを押して「ファイル名を指定して実行」を開き、eventvwr.msc を入力してイベント ビューアーを開きます。Windows ログ ›› セキュリティ を見ます。イベント ビューアーの使い方は 【Windows】イベントログ/イベントビューアー 起動とフィルター で紹介しています。
今回は、ドメインのユーザー（ユーザー名は伏せています）で、わざとパスワードを間違えてログオンしました。ドメインコントローラ（AD-1）のセキュリティ ログに、「失敗の監査」としてイベント ID 4771 が記録されています。
アカウント情報： セキュリティ ID HIROTANOBLOG\（伏せています） ／ アカウント名 （伏せています）
| ログの名前(M) | セキュリティ |
| ソース(S) | Microsoft Windows security auditing. |
| 2イベント ID(E) | 4771 |
| タスクのカテゴリ(Y) | Kerberos Authentication Service |
| 3キーワード(K) | 失敗の監査 |
| ログの日付(D) | 2023/04/16 23:27:20 |
| 4コンピューター(R) | AD-1.hirotanoblog.local |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Kerberos 事前認証に失敗しました | ログオンしようとしたアカウントの、Kerberos の事前認証（パスワードの確認）が失敗した |
| 2 | イベント ID 4771 ／ Kerberos Authentication Service | アカウント ログオンのうち、Kerberos 認証サービスのイベント |
| 3 | 失敗の監査 | 失敗の監査を有効にしたので記録された |
| 4 | AD-1.hirotanoblog.local | 認証したドメインコントローラで記録されている |
イベントの説明を下にスクロールすると、どのコンピューターから認証を試みたか（クライアント アドレス）や、失敗の理由を表すエラー コードを確認できます。エラー コード 0x18 は、パスワードの誤りによる事前認証の失敗です。
アカウント ログオンでよく見るイベントは次のとおりです。
| イベント ID | 意味 | サブカテゴリ |
|---|---|---|
| 4768 | Kerberos 認証チケット（TGT）が要求された | Kerberos 認証サービス |
| 4771 | Kerberos 事前認証に失敗した | Kerberos 認証サービス |
| 4769 | Kerberos サービス チケットが要求された | Kerberos サービス チケット操作 |
| 4776 | ドメインコントローラがアカウントの資格情報を確認した（NTLM など） | 資格情報の確認 |
セキュリティ ログは、イベントが多くなると古いものから上書きされます。ログオンの記録を長く残したい場合は、ログの最大サイズを大きくしたり、ログを収集するしくみ（SIEM など）に送ったりします。
まとめ
| 項目 | 内容 |
|---|---|
| 設定する場所 | コンピューターの構成 ›› ポリシー ›› Windows の設定 ›› セキュリティの設定 ›› ローカル ポリシー ›› 監査ポリシー ›› アカウント ログオン イベントの監査 |
| 設定値 | これらのポリシーの設定を定義する、成功、失敗 |
| 記録される場所 | 認証したドメインコントローラのセキュリティ ログ |
| パスワードの誤り | イベント ID 4771（Kerberos 事前認証の失敗、失敗の監査） |
コメント