イベントID 4697（システムにサービスがインストールされた）の見方

イベントID 4697 は、システムに新しいサービスがインストールされたときに記録されます。サービスは、自動起動し、強い権限で動くことがあるため、予定にないインストールは確認が必要です。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4697 を絞り込みます。

見る項目

• Subject：インストールした人
• Service Name：サービス名
• Service File Name：サービスの実行ファイルのパス
• Service Account：サービスの実行アカウント

確認の流れ

1. サービス名と実行ファイルのパスが、導入したソフトのものか確認する。
2. 一般的でない場所（ユーザーの一時フォルダーなど）のファイルを指している場合は、詳しく調べる。
3. 実行アカウントが、必要以上に強くないか確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4697; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4698タスクスケジューラに新しいタスクが作られるたびに記録される。見覚えのないタスクは要確認。
• 4688プロセスが起動するたびに記録される。コマンドラインも残すには別の設定が必要。

出典・参考

• 4697(S) A service was installed in the system（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について