イベントID 4719（システムの監査ポリシーが変更された）の意味

イベントID 4719 は、コンピューターの監査ポリシーが変更されたときに記録されます。公式資料では、「監査ポリシーの変更」のサブカテゴリの設定にかかわらず、常に記録されるとされています。監査の対象を減らす変更は、あとで調査ができなくなる原因になるため、変更内容を確認します。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4719 を絞り込みます。

見る項目

• Subject の Account Name：操作を行ったアカウント（実行者）
• 発生時刻：作業の予定や申請と合っているか

確認の流れ

1. 変更した人が、本来その権限のある管理者か確認する。
2. どのカテゴリの監査が、成功／失敗のどちらで、有効から無効に変わったか確認する。
3. 作業の予定にない変更なら、1102（監査ログの消去）も合わせて確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4719; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 1102セキュリティの監査ログが消去されたことを示す記録。誰が消したかを必ず確認する。
• 4688プロセスが起動するたびに記録される。コマンドラインも残すには別の設定が必要。

出典・参考

• 4719(S) System audit policy was changed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について