イベントID 4663（オブジェクトへのアクセスが試行された）の見方
イベントID 4663 は、オブジェクトに対して特定の操作が行われたことを示します。オブジェクトは、ファイルシステム、カーネル、レジストリのオブジェクトなどです。公式資料では、オブジェクトのSACLに必要なACEがある場合にだけ記録されるとされ、4656 との主な違いは、4663 が、アクセス権が実際に使われたことを示す点です。
どこで確認するか
イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4663 を絞り込みます。
見る項目
- Subject：操作したアカウント
- Object Name：対象のファイル・フォルダー・レジストリキー
- Accesses / Access Mask：行われた操作（読み取り・書き込み・削除など）
- Process Information：操作したプロセス
使い方
- ファイルの持ち出し・削除の調査：対象の場所に監査を設定し、4663 を時刻順に追う。
- 件数が非常に多くなるため、記録の対象を、重要な共有・フォルダーに絞る。
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4663; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
ファイルサーバーのすべてのアクセスを記録できますか？
技術的には可能ですが、ログの量が大きくなります。重要なフォルダーに絞り、ログの保管量と保存期間を、先に決めてください。
あわせて読みたい
- 4656ファイル・レジストリなどのオブジェクトへのアクセスが要求されたときの記録。SACLの設定がないと出ない。
- 5145共有の中のファイル・フォルダーへのアクセスのたびに記録される。失敗は共有レベルの拒否のときだけ記録される。
出典・参考
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-10-28 掲載内容について