イベントID 4656（オブジェクトへのハンドルが要求された）の見方

イベントID 4656 は、オブジェクトへの特定のアクセスが要求されたことを示します。オブジェクトは、ファイルシステム、カーネル、レジストリのオブジェクト、リムーバブルストレージやデバイス上のファイルシステムオブジェクトなどです。アクセスが拒否された場合は、失敗のイベントが記録されます。公式資料では、オブジェクトのSACLに必要なACEがある場合にだけ記録されるとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4656 を絞り込みます。

見る項目

Subject：要求したアカウント
Object の Object Name / Object Type：対象のオブジェクト
Access Request Information：要求された権限

4663 との違い

4656：アクセスの権限が、要求された。
4663：実際に、その権限を使った操作が行われた。
何が実行されたかは 4663 で、拒否されたかは 4656 の失敗で見る。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4656; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

ファイルの監査を有効にするには？

対象のファイル・フォルダーの「監査」の設定（SACL）で、記録したい操作を指定し、監査ポリシーも有効にします。設定を広げすぎるとログが大量になるため、重要な場所に絞ってください。

出典・参考

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。

確認日: 2026-10-28　掲載内容について