イベントID 1102（監査ログがクリアされた）が出たときの対応

イベントID 1102 は、Windowsのセキュリティ監査ログが消去されるたびに記録されます。ログを消す作業は管理上の理由でも行われますが、記録を消す行為は攻撃の痕跡隠しでも使われます。誰が・いつ消したかを確認します。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 1102 を絞り込みます。ログを消去しても、消去したという記録が新しいログの先頭に残ります。

確認する項目

• Subject の Account Name：消去したアカウント
• 発生時刻が、保守作業の予定と合っているか

対応の流れ

1. 作業の予定や申請と照らし合わせ、正当な操作か確認する。
2. 心当たりがなければ、そのアカウントの直前のサインイン（4624）と特権の割り当て（4672）を調べる。
3. 必要なら、ログを外部の保管先（ログ収集サーバーなど）に転送しておく運用を検討する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 1102; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。

出典・参考

• 1102(S) The audit log was cleared（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について