イベントID 4673（特権のあるサービスが呼び出された）の見方

イベントID 4673 は、特権が必要なシステムサービスの操作が試みられたときに記録されます。たとえば、SeSystemtimePrivilege・SeCreateGlobalPrivilege・SeTcbPrivilege が使われたときです。サービスの呼び出しに失敗した場合は、失敗イベントが記録されます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4673 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「重要な特権の使用の監査」（Audit Sensitive Privilege Use）と「重要でない特権の使用の監査」（Audit Non Sensitive Privilege Use）です。

見る項目

• Subject の Account Name：特権のある操作を要求したアカウント
• Service の Server：呼び出したサブシステムの名前（例：Security・Security Account Manager・NT Local Security Authority / Authentication Service・SC Manager・LSA）
• Service の Service Name：呼び出された特権サービスや関数の名前（例：LsaRegisterLogonProcess()）
• Service Request Information の Privileges：要求された特権（例：SeTcbPrivilege）。どの特権が出るかは、サブカテゴリによって異なる
• Process の Process Name：呼び出したプロセスの実行ファイルのフルパス。Process ID は 4688 の New Process ID と突き合わせられる

公式資料が挙げる監視の考え方

• Subject の Security ID が LOCAL SYSTEM・NETWORK SERVICE・LOCAL SERVICE ではなく、かつ、その特権を使うはずの管理用アカウントでもないものを監視する。
• Process Name が、標準のフォルダー（System32・Program Files など）の外にある、または、制限したいフォルダー（Temporary Internet Files など）にあるものを監視する。
• 一部のアカウントしか使わないはずの特権（例：SeDebugPrivilege）や、使われるたびに報告したい特権（例：SeRemoteShutdownPrivilege）は、その特権名で通知を出す。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4673; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4674すでに開かれたオブジェクトに、特権が必要な操作を試みたときの記録。失敗の記録は特に確認する。
• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。
• 4688プロセスが起動するたびに記録される。コマンドラインも残すには別の設定が必要。

出典・参考

• 4673(S, F) A privileged service was called（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-30　掲載内容について