イベントID 4778（セッションがウィンドウステーションに再接続された）の見方

イベントID 4778 は、ユーザーがターミナルサービス（リモートデスクトップ）の既存セッションに再接続したとき、または、ユーザーの簡易切り替え（Fast User Switching）で既存のデスクトップに切り替えたときに記録されます。Hyper-V の拡張セッションに再接続したときにも記録されます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4778 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「その他のログオン/ログオフ イベントの監査」（Audit Other Logon/Logoff Events）です。

見る項目

• Account Name・Account Domain：セッションに再接続したアカウントの名前とドメイン（またはコンピューター名）
• Logon ID：16進数の値。4624 など、同じ Logon ID を持つ近い時刻のイベントとの突き合わせに使える
• Session Name：再接続したセッションの名前。RDP の場合は RDP-Tcp#N の形式、簡易切り替えの場合は Console
• Client Name：再接続したコンピューター名（コンソールセッションでは Unknown）
• Client Address：再接続したコンピューターのIPアドレス（コンソールセッションでは LOCAL。::1 や 127.0.0.1 は localhost）

公式資料が挙げる監視の考え方

• 高い権限のアカウントなど、操作を一つずつ監視したいアカウントがある場合は、Account Name で絞り込む。
• 勤務時間外の利用など、異常な使われ方を検出したい場合は、Account Name と他の情報を組み合わせて確認する。
• 使われるはずのないアカウント（無効・ゲストなど）が対象になっていないか確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4778; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4779リモートデスクトップ（ターミナルサービス）のセッションの切断や、ユーザーの簡易切り替えで記録される。
• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。
• 4634ログオンセッションが終了して、もう存在しないことを示す記録。4647（ユーザーによるログオフの開始）との違いに注意。

出典・参考

• 4778(S) A session was reconnected to a Window Station（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-11-01　掲載内容について