イベント ビューアーまたは Netwrix Auditor で AD ログを表示する方法

Netwrix Auditor for Active Directory

• Netwrix Auditor を実行 → 「Search」に移動 → 選択されていない場合は「Advanced mode」をクリック → 次のフィルターを設定します：
  • フィルター = “Data source”
    演算子 = “Equals”
    値 = “Active Directory”
  • フィルター = “Details”
    演算子 = “Contains”
    値 = “User Account Enabled”
• 「Search」ボタンをクリックしてレポートを確認します。

---

ネイティブ ソリューション

AD イベントを登録するには、まず監査（auditing）を設定する必要があります:

1. 対象ドメイン内の任意のドメイン コントローラーで Group Policy Management コンソール（gpmc.msc）を開きます → Start をクリック → Windows Administrative Tools（Windows Server 2016）または Administrative Tools → 「Group Policy Management」を選択します。
2. 次に移動します: Domain Controllers 。有効なドメイン コントローラーのポリシーを右クリックし、Edit を選択します。
3. Group Policy Management Editor で Computer Configuration → に移動し、Policies → へ進みます。Windows Settings → 次に Security Settings → 次へ Local Policies → さらに Audit Policy。次の監査ポリシーを設定します:

• アカウント管理の監査: "成功"
• ディレクトリ サービス アクセスを監査: "成功"
• ログオン イベントを監査: "成功" と "失敗"

代わりに、詳細な監査ポリシーを設定できます。 Group Policy Management Editor で コンピューターの構成 → に移動 ポリシー → に移動 Windows の設定 → に移動 セキュリティの設定 → に移動 詳細な監査ポリシーの構成 → に移動 Audit Policies 。次の監査ポリシーを設定します:

• アカウント管理
  • コンピューター アカウント管理を監査: "成功"
  • 配布グループの管理を監査: "成功"
  • セキュリティ グループの管理を監査: "成功"
  • ユーザー アカウントの管理を監査: "成功"
• DS アクセス
  • ディレクトリ サービスへのアクセスを監査: "成功"
• ログオン/ログオフ
  • 監査のログオフ：「成功」
  • 監査のログオン：「成功」

ログ内の各イベント種別には、それぞれ固有のイベント ID があります。以下では「ユーザー アカウントが有効化された」イベントを探します。

1. 右クリック スタート → 選択 イベント ビューアー。
2. クリック Windows ログ → Security ログを選択します。
3. 「Filter Current Log」をクリックします。
4. イベント ID「4722」を指定して OK。
5. 結果を確認してください。

Netwrix Auditor for Active Directory の詳細を確認する

---

Active Directory の変更を常に監視する

Active Directory（AD）は、コンピューターアカウントとユーザーアカウントの両方を含むアカウント管理に不可欠です。特に、Active Directory サービスにより、ファイルサーバーやネットワーク上の他のコンポーネントにあるデータおよびアプリケーションへのアクセスを制御できます。そのため、インフラストラクチャとデータのセキュリティを確保するには、Active Directory の変更を継続的に把握し、悪意のある、または不適切な活動があれば速やかに見つけることが重要です。たとえば、GPO の変更を追跡する必要があります。

Event Viewer は、セキュリティログを確認するための標準の（ネイティブな）ソリューションです。無料で、すべての Microsoft Windows システムに含まれる管理ツールのパッケージに含まれています。Active Directory の監査を有効にすると、Windows Server はドメイン コントローラー上の Security ログにイベントを書き込みます。セキュリティ イベント ログには、次の情報が登録されます：

• 実行された操作
• 操作を実行したユーザー
• イベントの成功と、発生したすべてのエラー
• イベントが発生した時刻

イベント ビューアー（Event Viewer）からイベントをエクスポートできます。しかし、イベントの種類によってスキーマが異なるため、イベント監査ファイルを解析することが難しくなります。さらに、Event Viewer では、検索対象やフィルター条件として使いたい特定のイベント ID 番号を管理者が学ぶ必要があり、AD オブジェクトの変更の監視が一層複雑になります。たとえば、上記の記事では「a user account was enabled」イベントのログをフィルターする方法を示しています。

さらに、ネイティブの監査ソリューションでは、必要な完全な可視性は得られません。書式がないことや、暗号めいた（分かりにくい）説明のため、データが読みづらいのです。加えて、イベント ログ検索が遅い点も問題です。たとえ既定のログ サイズでも、検索が完了するまでかなりの時間待つ必要があり、その結果、脅威への対応が遅れてしまいます。

ネイティブのソリューションとは異なり、Netwrix Auditor for Active Directory は、Active Directory ログからのイベント データを明確で読みやすい形式に変換する、事前に用意されたアラートおよびカスタム レポートを提供します。Event Viewer でログ ファイルを何時間も探し回る代わりに、Netwrix Auditor は必要なデータを素早く簡単に提供し、脅威対応を迅速化し、コンプライアンス監査の準備を簡素化するのに役立ちます。