イベントID 4674（特権のあるオブジェクトに対して操作が試みられた）の見方

イベントID 4674 は、保護されたサブシステムのオブジェクトがすでに開かれたあとで、特権が必要な操作を試みたときに記録されます。たとえば、SeShutdownPrivilege・SeRemoteShutdownPrivilege・SeSecurityPrivilege が使われたときです。操作に失敗した場合は、失敗イベントが記録されます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4674 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「重要な特権の使用の監査」（Audit Sensitive Privilege Use）と「重要でない特権の使用の監査」（Audit Non Sensitive Privilege Use）です。

見る項目

• Subject の Account Name：操作を要求したアカウント
• Object の Object Server：呼び出したサブシステムの名前（例：Security・Security Account Manager・SC Manager・LSA）
• Object の Object Type・Object Name：操作の対象になったオブジェクトの種類（File・Key・Process など）と名前
• Object Handle：4656 などの他のイベントの Handle ID と突き合わせられる値（取得できないときは 0x0）
• Requested Operation の Privileges：要求された特権（例：SeSecurityPrivilege）
• Process Information の Process Name：操作を試みたプロセスの実行ファイルのフルパス

公式資料が挙げる監視の考え方

• Subject の Security ID が LOCAL SYSTEM・NETWORK SERVICE・LOCAL SERVICE ではなく、かつ、その特権を使うはずの管理用アカウントでもないものを監視する。特に失敗イベントを確認する。
• Object Server（例：LSA・Security Account Manager）や Object Type（例：File・Key）で、見たい対象を絞って監視する。
• Process Name が、標準のフォルダーの外にあるものや、定義済みの名前と違うものを監視する。
• 使われないはずの特権（例：SeDebugPrivilege）や、使われるたびに報告したい特権（例：SeRemoteShutdownPrivilege）は、その特権名で通知を出す。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4674; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4673特権が必要なシステムサービスの操作が試みられたときの記録。使われた特権名（Privileges）と呼び出したプロセスを見る。
• 4656ファイル・レジストリなどのオブジェクトへのアクセスが要求されたときの記録。SACLの設定がないと出ない。
• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。

出典・参考

• 4674(S, F) An operation was attempted on a privileged object（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-30　掲載内容について