イベントID 4624（ログオンに成功）とログオンの種類の見方

イベントID 4624 は、サインインに成功してログオンセッションが作られたときの記録です。正常な操作でも大量に出るため、見るポイントは「ログオンの種類」と「誰が・どこから」です。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4624 を絞り込みます。

ログオンの種類（Logon Type）

• 2（Interactive）：そのPCの画面・キーボードでのサインイン
• 3（Network）：ネットワーク越しのアクセス（共有フォルダーなど）
• 4（Batch）：タスクスケジューラなどのバッチ処理
• 5（Service）：サービスの起動
• 7（Unlock）：ロック画面の解除
• 8（NetworkCleartext）：ネットワーク越しで、パスワードが平文で渡る方式
• 9（NewCredentials）：別の資格情報での接続（runas の /netonly など）
• 10（RemoteInteractive）：リモートデスクトップ（ターミナルサービス）
• 11（CachedInteractive）：キャッシュされた資格情報でのサインイン（ドメインに接続できないとき）

調査で見る項目

• New Logon の Account Name：サインインしたアカウント
• Network Information の Source Network Address：接続元のIPアドレス
• Process Information：サインインを受け付けたプロセス

よくある使い方

• 誰がいつ使ったかを調べる：種類10（リモートデスクトップ）を絞り込み、接続元を確認する。
• 夜間・休日の不審なサインイン：時間帯と接続元を見る。管理者アカウントの場合は、特権が割り当てられたことを示す 4672 とセットで確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4624; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4625アカウントのログオンに失敗した記録。失敗の理由は「状態」「サブ状態」のコードで分かる。
• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。
• 4776ドメインコントローラーがNTLM認証の資格情報を検証した記録。エラーコードが 0x0 以外なら失敗。

出典・参考

• 4624(S) An account was successfully logged on（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について