イベントID 4798（ユーザーのローカルグループメンバーシップが列挙された）の見方

イベントID 4798 は、プロセスがコンピューター上で、あるユーザーが属するセキュリティ有効なローカルグループを列挙したときに記録されます。公式資料では、Windows Server 2016・Windows 10 以降が対象です。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4798 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「ユーザーアカウント管理の監査」（Audit User Account Management）です。

Subject の Security ID・Account Name：列挙の操作を要求したアカウント
User の Security ID・Account Name：グループを列挙された対象のアカウント
Process Information の Process ID：列挙したプロセスのID（16進数）。4688 の New Process ID と突き合わせられる
Process Information の Process Name：列挙したプロセスの実行ファイルのフルパス

高い権限のアカウントのグループ列挙を監視したい場合は、Subject の Security ID で絞り込む。
決まったプロセス名がある場合は、それ以外の Process Name のイベントを監視する。
Process Name が標準のフォルダー（System32・Program Files など）にない、または制限したいフォルダー（Temporary Internet Files など）にある場合を監視する。

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4798; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

4798 が大量に出ます。異常ですか？

公式資料では、プロセスがグループを列挙するたびに記録されるとされています。異常かどうかは、Process Name や Subject を見て判断します。公式資料の例では、管理ツール（mmc.exe）による列挙が記録されています。

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。