イベントID 4657（レジストリの値が変更された）の見方

イベントID 4657 は、レジストリキーの値が変更されたときに記録されます。公式資料では、レジストリキーそのものの変更では記録されず、キーのSACLに「値の設定」の監査が設定されている場合にだけ記録されるとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4657 を絞り込みます。

見る項目

• Subject：変更した人
• Object Name / Object Value Name：変更されたキーと値の名前
• Old Value / New Value：変更前と変更後の値
• Process Information：変更したプロセス

使い方

• 起動時に実行される場所の監視：自動起動の登録に使われるキーに、監査を設定する。
• 設定する場所を絞らないと、ログが非常に多くなる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4657; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4663オブジェクトに対して、特定の操作が行われたときの記録。誰がファイルを読んだ・書いた・削除したかの調査に使う。
• 4688プロセスが起動するたびに記録される。コマンドラインも残すには別の設定が必要。

出典・参考

• 4657(S) A registry value was modified（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について