イベントID 4799（セキュリティ有効なローカルグループのメンバーシップが列挙された）の見方

イベントID 4799 は、プロセスがコンピューター（またはデバイス）上の、セキュリティ有効なローカルグループのメンバーを列挙したときに記録されます。公式資料では、Active Directory ユーザーとコンピューターのスナップインでメンバーを列挙した場合は、このイベントは生成されないとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4799 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「セキュリティ グループの管理の監査」（Audit Security Group Management）です。公式資料では、Windows Server 2016・Windows 10 以降が対象です。

見る項目

• Subject の Security ID・Account Name・Account Domain：メンバーの列挙を要求したアカウント
• Subject の Logon ID：16進数の値。4624 など、同じ Logon ID を持つ近い時刻のイベントとの突き合わせに使える
• Group の Security ID・Group Name・Group Domain：メンバーを列挙されたグループ（組み込みグループの場合、Group Domain は Builtin）
• Process Information の Process ID：列挙したプロセスのID（16進数）。4688 の New Process ID と突き合わせられる
• Process Information の Process Name：列挙したプロセスの実行ファイルのフルパス

公式資料が挙げる監視の考え方

• 重要なローカルグループ（組み込みの Administrators、Backup Operators など）の一覧がある場合は、Group Name がそのグループに当たるイベントを監視する。
• ローカルまたはドメインのセキュリティグループのメンバーが、いつ、誰に列挙されたかを知りたい場合は、このイベントを監視する。通常は情報としてのイベントで、必要なときに確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4799; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4798あるプロセスが、ユーザーが属するセキュリティ有効なローカルグループを列挙したときに記録される。
• 4688プロセスが起動するたびに記録される。コマンドラインも残すには別の設定が必要。
• 4732セキュリティが有効なローカルグループにメンバーが追加されるたびに記録される。Administrators への追加は要確認。

出典・参考

• 4799(S) A security-enabled local group membership was enumerated（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-11-02　掲載内容について