イベントID 5140（ネットワーク共有オブジェクトにアクセスがあった）の見方

イベントID 5140 は、ネットワーク共有オブジェクトにアクセスがあったときに記録されます。公式資料では、セッションごとに、最初のアクセスの試行のときに1回だけ記録されるとされています。「誰が、どの共有に、どこから」接続したかを調べる手がかりになります。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 5140 を絞り込みます。

見る項目

• Subject：接続したアカウント
• Network Information の Source Address：接続元のIPアドレス
• Share Information の Share Name：接続された共有名

5145 との違い

• 5140：共有への接続（セッションごとに1回）
• 5145：共有の中の、ファイルやフォルダーごとのアクセス確認。件数が多くなる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 5140; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 5145共有の中のファイル・フォルダーへのアクセスのたびに記録される。失敗は共有レベルの拒否のときだけ記録される。
• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。

出典・参考

• 5140(S, F) A network share object was accessed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について