イベントID 4688（新しいプロセスが作成された）とコマンドラインの記録

イベントID 4688 は、新しいプロセスが起動するたびに記録されます。何が実行されたかを調べる手がかりになりますが、既定ではコマンドラインまでは記録されません。コマンドラインも残すには、グループポリシーで「プロセス作成イベントにコマンドラインを含める」を有効にします。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4688 を絞り込みます。「プロセス作成の監査」が有効でないと記録されません。

プロセス作成の監査：グループポリシー →「高度な監査ポリシーの構成」→「詳細追跡」→「プロセス作成の監査」
コマンドラインを含める：「コンピューターの構成」→「管理用テンプレート」→「システム」→「プロセス作成の監査」→「プロセス作成イベントにコマンドラインを含める」

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4688; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

有効にすると、どのくらいログが増えますか？

PCの使い方によって大きく変わります。まず一部のPCで有効にして、1日あたりの件数とサイズを測ってから広げます。

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。