Windowsイベントログ調査メモ｜Securityログ・権限・Get-WinEventの確認ポイント

この記事はSmart IT & AI Hubが公開しているコンテンツです。
他の記事は目的別インデックスからどうぞ。

Windows Serverの調査では、ApplicationログやSystemログだけでなく、Securityログを見る場面があります。

ただしSecurityログは、Application/Systemログと同じ感覚で扱うと詰まりやすいです。

たとえば、以下のようなケースです。

• イベントビューアーでは見えるがPowerShellでは取れない

• Get-WinEventでUnauthorizedAccessExceptionが出る

• Application/Systemは取れるがSecurityだけ失敗する

• リモート取得だけ失敗する

• Event Log Readersに入っているのにSecurityログが取れない

• ログ保持期間が足りず、必要な期間のログが残っていない

この記事では、Windowsイベントログの基礎ではなく、実務でよく詰まるSecurityログ、権限、Get-WinEvent、リモート取得、保持期間の確認ポイントを整理します。

はじめに

Windows Serverの調査では、イベントログを確認する場面が多くあります。

特に、以下のような調査ではイベントログが重要です。

• サービス停止

• サーバー再起動

• ログオン失敗

• アカウントロック

• 権限変更

• ファイルやオブジェクトへのアクセス

• アプリケーション異常

• セキュリティ監査

ApplicationログやSystemログは比較的確認しやすいですが、Securityログは権限や取得方法で詰まりやすいです。

MicrosoftのGet-WinEventは、SystemやApplicationなどのイベントログを取得できるPowerShellコマンドです。ただし、Securityログは権限の影響を受けやすく、環境によってはGUIで見える場合でもPowerShell取得で失敗することがあります。

この記事では、Windowsイベントログの基礎ではなく、実務で困りやすい確認ポイントを整理します。

本記事で分かること

この記事では、以下を整理します。

• Securityログが見られないときに見る場所

• Event Log Readersでできること・できないこと

• 「監査とセキュリティログの管理」権限の考え方

• Get-WinEventでエラーが出る場合の切り分け

• Event Viewerでは見えるがPowerShellでは失敗する場合の見方

• リモート取得時の確認ポイント

• よく見るイベントIDと調査観点

• ログ容量と保持期間の見方

• 顧客向けの説明文テンプレ

深い仕様解説ではなく、現場で使う確認メモとして読める内容にしています。

想定する調査シーン

本記事では、以下のような調査シーンを想定します。

• Securityログを確認したい

• Get-WinEventでSecurityログを取得したい

• リモートサーバーのイベントログを取得したい

• ログオン失敗やアカウントロックを確認したい

• サーバー再起動やサービス停止の履歴を確認したい

• 顧客に「なぜログが取れないか」を説明したい

• ログ保持期間やログ容量を見直したい

Web公開系のトラブル調査でも、Windowsイベントログは役立ちます。

たとえば、Front Door / AppGW / IISの切り分けでは、IISログだけでなく、Windowsイベントログを見る場合があります。

• IISサービスの停止

• アプリケーションプールの異常

• Windowsサービス再起動

• 認証エラー

• アカウントロック

• OS再起動

Web系トラブルとWindowsイベントログ調査は、別物ではなくつながっています。

まず見るポイント

イベントログ調査では、最初に以下を確認します。

• どのログを見るのか

  • Application

  • System

  • Security

  • Setup

  • Forwarded Events

• どの方法で見るのか

  • Event Viewer

  • PowerShell

  • リモート取得

  • wevtutil

• どの権限で見るのか

  • ローカル管理者

  • Event Log Readers

  • 監査とセキュリティログの管理

  • リモート取得用の資格情報

• どの期間を見るのか

  • 直近

  • 障害発生時刻前後

  • 過去数日

  • 保持期間内

ログ種別ごとの確認ポイント

Event Viewer と PowerShell の違い

Event ViewerとGet-WinEventは、どちらもイベントログ確認に使います。

ただし、使いどころが違います。

項目Event ViewerGet-WinEvent操作方法GUIで確認PowerShellで取得確認しやすさ画面で見やすい絞り込み・出力に向く抽出・集計手作業になりやすいコマンドで自動化しやすいリモート取得GUI操作で確認可能-ComputerNameなどで取得可能エラー時の見方画面のエラーを確認例外メッセージを確認権限の影響影響を受ける影響を受けやすい

Event Viewerで見えるからといって、Get-WinEventでも必ず同じように取得できるとは限りません。

PowerShellの実行権限、管理者として起動しているか、対象ログのアクセス権限、リモート取得条件を確認します。

イベントビューアーで見えるかどうかだけでは、権限や取得方法の問題を判断できません。

特にSecurityログは、Application/Systemログと同じ感覚で扱うと詰まりやすいです。

Event Viewer、Get-WinEvent、リモート取得では、必要な権限や前提が異なる場合があります。

ここから先では、Securityログの権限、Get-WinEventエラー、リモート取得、ログ保持期間を実務目線で整理します。