イベントID 4648（明示的な資格情報を使ってログオンが試行された）

イベントID 4648 は、プロセスが、アカウントの資格情報を明示的に指定してログオンを試みたときに記録されます。公式資料では、タスクスケジューラのようなバッチ処理や、runas コマンドの利用で最もよく起きるとされ、OSの通常の動作の中でも定期的に起きる、普通のイベントだとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4648 を絞り込みます。

見る項目

• Subject：操作を行ったアカウント（誰が資格情報を指定したか）
• Account Whose Credentials Were Used：指定された資格情報のアカウント
• Target Server：接続先
• Process Information：どのプロセスが行ったか

確認の流れ

1. 出ていること自体は、通常の動作でも起きる。まず、Process Information のプロセスが、心当たりのあるもの（タスク、管理ツールなど）か確認する。
2. 心当たりのないプロセスが、管理者のアカウントの資格情報を指定している場合は、詳しく調べる。
3. 同じ時刻の 4624（ログオン成功）と 4672（特権の割り当て）も合わせて見る。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4648; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。
• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。

出典・参考

• 4648(S) A logon was attempted using explicit credentials（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について