イベントID 4625（ログオンに失敗）の意味と原因の見つけ方

イベントID 4625 は、サインインに失敗したときにセキュリティログへ残る記録です。理由は「Status」と「Sub Status」のコードで見分けます。1回きりなら入力ミス、短時間に何度も出るなら総当たり攻撃や設定の不整合を疑います。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4625 を絞り込みます。ログオンを受けた側のコンピューター（サーバーなら、そのサーバー）に記録されます。

公式資料には、次のコードの意味が載っています。

同じアカウントで 0xC000006A が散発：入力ミスが多い。保存済みの古いパスワードを使うアプリ・共有ドライブ・スマホのメール設定が残っていないか確認する。
存在しないユーザー名（0xC0000064）が短時間に大量に出る：外部から総当たりをされている可能性がある。Source Network Address を見て、外部に公開しているリモートデスクトップなどがないか確認する。
0xC0000234 が出る：ロックアウト済み。4740 の記事で、ロックアウト元のコンピューターを探す。

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

4625 が1件だけ出ていますが問題ですか？

1件だけなら入力ミスであることが多いです。同じIPアドレスから短時間に何件も続くときや、存在しないユーザー名が並ぶときは、注意して調べます。

ログに 4625 が出ない場合は？

「ログオンの監査（失敗）」が有効でないと記録されません。グループポリシーの監査ポリシーを確認します。

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。