イベントID 4779（セッションがウィンドウステーションから切断された）の見方
イベントID 4779 は、ユーザーがターミナルサービス（リモートデスクトップ）の既存セッションから切断したとき、または、ユーザーの簡易切り替え（Fast User Switching）で既存のデスクトップから離れたときに記録されます。Hyper-V の拡張セッションから切断したときにも記録されます。
どこで確認するか
イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4779 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「その他のログオン/ログオフ イベントの監査」（Audit Other Logon/Logoff Events）です。
見る項目
- Account Name・Account Domain：セッションが切断されたアカウントの名前とドメイン（またはコンピューター名）
- Logon ID：16進数の値。4624 など、同じ Logon ID を持つ近い時刻のイベントとの突き合わせに使える
- Session Name：切断されたセッションの名前。RDP の場合は RDP-Tcp#N の形式、簡易切り替えの場合は Console
- Client Name：切断元のコンピューター名（コンソールセッションでは Unknown）
- Client Address：切断元のコンピューターのIPアドレス（コンソールセッションでは LOCAL。::1 や 127.0.0.1 は localhost）
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4779; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
4779 はログオフ（4634）と同じですか？
同じではありません。4779 はセッションからの切断の記録です。公式資料では、ターミナルサービスのセッションの切断または簡易切り替えで生成されるとされています。
切断したセッションに再接続すると何が記録されますか？
再接続は 4778 として記録されます。
あわせて読みたい
- 4778リモートデスクトップ（ターミナルサービス）の既存セッションへの再接続や、ユーザーの簡易切り替えで記録される。
- 4634ログオンセッションが終了して、もう存在しないことを示す記録。4647（ユーザーによるログオフの開始）との違いに注意。
- 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。
出典・参考
- 4779(S) A session was disconnected from a Window Station（Microsoft Learn）
- Get-WinEvent（Microsoft Learn）
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-11-01 掲載内容について