イベントID 4698（スケジュールされたタスクが作成された）の見方

イベントID 4698 は、スケジュールされたタスクが新しく作られるたびに記録されます。定期的に自動実行されるため、予定にないタスクの作成は、確認が必要です。更新は 4702、削除は 4699 に記録されます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4698 を絞り込みます。

見る項目

• Subject：作成した人
• Task Name：タスク名
• Task Content：タスクの内容（実行するコマンド、実行の契機、実行アカウント）

確認の流れ

1. タスク名と実行するコマンドが、導入したソフトや管理者の作業のものか確認する。
2. 実行アカウントが、強い権限になっていないか確認する。
3. 心当たりがない場合は、作成者のサインイン（4624）の接続元も確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4698; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4699タスクスケジューラのタスクが削除されるたびに記録される。作成（4698）・更新（4702）とセットで見る。
• 4702タスクスケジューラのタスクの内容が変更されたときの記録。実行内容や実行アカウントの変更を確認できる。
• 4697新しいサービスがインストールされたときの記録。見覚えのないサービスの追加は要確認。

出典・参考

• 4698(S) A scheduled task was created（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について