イベントID 4616（システム時刻が変更された）の見方

イベントID 4616 は、システムの時刻が変更されるたびに記録されます。公式資料では、「監査のセキュリティ状態の変更」のサブカテゴリの設定にかかわらず、常に記録されるとされています。Subject の Security ID が LOCAL SERVICE のものは、通常の時刻補正の動作とされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4616 を絞り込みます。

見る項目

Subject：時刻を変更したアカウント
Previous Time / New Time：変更の前後の時刻
Process Information：変更したプロセス

確認の流れ

LOCAL SERVICE による小さな変更は、時刻の自動補正なので、通常は気にしなくてよい。
人のアカウントが、大きく時刻を変えている場合は、変更の理由を確認する。時刻が変わると、ログの時系列や、証明書・Kerberos認証に影響することがある。
心当たりがない変更は、4624（ログオン）や 4672（特権の割り当て）と合わせて調べる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4616; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

時刻がずれるとどうなりますか？

ドメインの認証（Kerberos）は、時刻のずれに敏感です。ログの時刻が合わないと、調査もしにくくなります。時刻の同期の設定を確認してください。

出典・参考

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。

確認日: 2026-10-28　掲載内容について